高等教育機関向け ChatGPT Edu ワークスペース設定のベストプラクティス

学内のアクセス権は、推奨する 5 つのカスタムロール Core、Plus、Advanced、Power、TEST を使って設定します。以下の表で各ロールに付与する権限を選び、モデルへのアクセスと利用上限はそれぞれ別に設定します。

権限名とセクションの順序は、2026 年 10 月 19 日と 21 日に確認した Edu 管理コンソールの画面に基づいています。表の値は推奨設定であり、確認に使ったワークスペースの設定をそのまま掲載したものではありません。利用できる機能は、ワークスペースや提供状況によって異なります。

推奨ロールの選び方

これらは、各機関で作成できるカスタムロールの名称例です。ここでいう Plus はサブスクリプションの ChatGPT Plus とは異なります。いずれの名称も Edu のプランや組み込みの管理ロールを指すものではありません。ロールは本人が行う作業に応じて選びます。教員、学生、職員のいずれにも、作業に適したレベルのロールを割り当てられます。

大半の利用者には組み込みの メンバー ロールを使います。組み込みロールによる管理権限は、次のように別途割り当てます。

カスタムロールの作成と割り当ては、ワークスペースのオーナーが行います。カスタムロールを割り当てても、オーナーや管理者の権限は付与されません。詳しくは、ワークスペースのロールを参照してください。

権限表の適用方法

管理コンソールを開き、対象の Edu ワークスペースを選択して、ポリシーとセキュリティ → 権限 に移動します。学内の標準設定には ワークスペースのデフォルト を使い、ロールごとに設定を上書きするには ロール を使います。

ワークスペースのデフォルト は Core 列に合わせ、「要検討」の項目は判断が済むまでオフにします。各カスタムロールで デフォルト を使うのは、ワークスペースの設定値がそのロールに適している場合だけです。それ以外はオンまたはオフを明示的に設定します。オンとオフしか選べない項目もあります。

通常のロールでは、各ロールで付与された権限が合算されます。あるロールでオフにしても、別のロールでオンになっている権限は取り消されません。直接割り当てたロールと、グループを通じて割り当てたロールの両方を確認してください。ロックダウンモードによる制限は別途適用される場合があります。親の権限が無効だと子の設定項目が表示されないことがあります。子の権限を設定する前に、承認済みの親の権限を有効にしてください。詳しくは、RBAC の仕組みを参照してください。

ロール別の権限

ロールを選ぶと、すべての権限表とモデル表に、そのロールの推奨設定が表示されます。表全体を比較するには すべてのロール を選びます。以下のセクションは 権限 → ワークスペースのデフォルト の表示順に並んでいます。ローカルコンピューターへのアクセスを許可 という項目が 2 つあるため、どのセクションに属するかで区別してください。

Chat

日常の学習、研究、共同作業に必要な機能は、どのロールでも利用できるようにします。録音、画面共有、保存ファイル、ネットワークに接続するコードには、機関の規則を適用します。要検討 の権限を有効にする前に、承認済みの授業、チーム、ワークフロー、共有先を明確にしてください。

エージェントの作成権限は、承認済みのワークフローを保守する人に付与します。ワークスペース全体への公開は、指定された公開担当者に限定します。エージェント自身が所有する接続を使う場合は、共有アカウント、参照元のデータ、許可する操作、共有先を別途審査してください。ユーザー自身の接続を使える場合は、そちらを優先します。詳しくは、ワークスペースのエージェント管理を参照してください。

繰り返し利用するワークフローを新しく作る場合は、プラグインを使います。GPT の作成はオフのままにし、移行が引き続きサポートされている場合に限り、移行用の権限を一時的に付与します。カスタム GPT は 2026 年 12 月 11 日に提供終了予定です。該当する GPT を所有するワークスペースの通知に従ってください。カスタムアクションと共有設定は移行されません。詳しくは、GPT 移行ガイドを参照してください。

Work

推奨設定では、利用資格のあるメンバーが広く Work を使えるようにします。ローカルでの作業、クラウドでの作業、クラウドタスクから接続済みコンピューターへのアクセスは、それぞれ個別に判断します。ローカルコンピューターへのアクセスを許可 は、承認済みのファイル、アプリケーション、デバイスを対象とする場合に限り、該当するエージェントのセキュリティ設定を適用したうえで有効にします。

イベントをトリガーとするタスクでは、トリガー、接続するアプリ、許可する操作、責任者、監視方法を承認します。メンバーには Work とアプリへのアクセス権も必要です。スケジュール済みタスクの共有は Chat で別途設定します。Work と Codex の利用条件・スケジュール済みタスクの設定を参照してください。

Codex

プログラミング科目の履修者を含め、対象となるすべてのロールでコーディング機能を使えるようにします。リポジトリへのアクセス、ローカル実行時のポリシー、クラウド環境は個別に確認します。デバイスコードによるサインインの設定は、項目名にある 4 つの製品すべてに適用されます。

コンピューター履歴へのアクセスを許可する前に、履歴の記録内容と、ユーザーが記録に同意する手順を確認します。ワークスペース環境を管理、Codex を管理、Codex Security を管理 の各権限は、後述の担当業務別ロールを通じて付与します。Power や TEST の割り当てだけでサービスの管理権限が付与されないようにしてください。詳しくは、Codex の権限の適用範囲を参照してください。

ワークスペースの機能：エージェントによるクラウドコンピューターの使用

設定を有効にする前に、Work Cloud、dot、チームのオートメーションへの影響を確認します。ブラウザの使用、ネットワークアクセス、コンピューターの使用はそれぞれ別の設定です。必要なネットワーク接続先とアプリケーションをワークフローごとに承認してください。

ワークスペースの機能：dot

確認したコンソールでは、dot に ベータ と表示されています。有効にする前に、継続的に任せる業務、メッセージの送信先、適用するルールを承認します。この表の ローカルコンピューターへのアクセスを許可 は dot の権限です。Work にある同名の設定とは別に適用されます。詳しくは、dot の利用ガイドを参照してください。

ワークスペースの機能：プラグインとスキル

プラグイン → プラグイン と プラグイン → スキル で、各項目とその利用対象者を承認します。MCP を使うプラグインでは、連携の責任者を決め、認証方法を審査し、データへのアクセスと操作を承認する必要があります。ワークスペースへの公開や他のユーザー向けのインストールを担当する人には、後述の追加ロールを割り当てます。

プラグインへのアクセスを許可しても、プラグインに含まれるアプリの利用が許可されたり、接続先のサービスで権限が広がったりすることはありません。必要なアプリとアカウントの認可は別途確認してください。詳しくは、プラグインとアプリの管理設定を参照してください。

ワークスペースの機能：Sites

これらの権限を有効にする前に、サイトの所有者、掲載を許可するコンテンツ、画面に表示される Sites の利用規約を確認します。インターネット上にサイトを一般公開する権限は、機関の公開手続きに従って付与します。プライベートトンネルに関する 2 つの権限は、承認済みの技術連携に対して個別に付与し、学内の一般利用者向けロールではオフのままにします。デモ用ワークスペースにこれらの項目があっても、すべての Edu ワークスペースで利用できるとは限りません。

Sites を有効にする前に、お使いのワークスペースとリージョンでのサポート範囲を確認してください。データレジデンシーを米国または EU に設定したワークスペースでは、Sites で新たに作成したサイトのストレージとホスティングには、サポート対象の範囲でそのリージョンが使われます。既存のサイトは自動移行されません。Sites のホスティングと推論レジデンシーは別です。詳しくは、Sites の管理を参照してください。

ワークスペースの機能：チーム、メモリ、認証情報

チームごと、またチームのタスクごとに責任者を決めます。機関のどの情報をメモリに保持してよいか、対象の利用者にメンバーとグループの一覧を表示してよいかを定めます。機関の方針でいずれかの機能をオフにする必要がある場合は、対象となるすべてのロールで該当項目を変更してください。

パスワードマネージャーの利用は IT 部門と検討します。個人アクセストークンを許可するのは、責任者を決め、権限の範囲を必要最小限に絞り、有効期限または失効手続きを定めた承認済みの連携に限ります。トークンの作成権限を付与しても、ワークスペースの管理者キーは付与されません。

データのエクスポート

学生、教員、職員が機関を離れる際に、持ち出しが認められた成果物をどのように引き取るかを決めます。この権限の対象はメンバー自身のデータです。データレジデンシーを設定している Edu ワークスペースでは、メンバーによるエクスポートは利用できません。詳しくは、Edu のエクスポート要件を参照してください。

10 代の利用者向けの設定

18 歳未満の学生も含め、実際の利用者に合わせて設定します。ChatGPT の利用資格は、ロール名、クレジットの割当額、フィルターの設定では決まりません。

ChatGPT Space での共有

承認済みの共有先との共同作業を許可します。教材、研究資料、部門のファイルを共有する際は、ワークスペースリンクの公開範囲が想定する共有先に合っているかを確認します。共有権限は、新たに共有する操作とアクセス権を変更する操作を制御します。共有権限をオフにしても、すでに共有されているコンテンツへのメンバーのアクセス権は取り消されません。

公開・管理業務の割り当て

Power や TEST の全員に公開・管理権限を付与するのではなく、担当業務に必要な権限だけを持つロールを該当者に割り当てます。追加ロールがワークスペースのより広い権限を継承しないよう、各ロールで業務に関係のない権限はオフにします。

たとえば、教員には Plus とワークスペース公開担当者の両方を割り当て、プログラミング科目の履修者には Codex を利用できる Core を割り当てられます。研究者のクレジット割当額を増やすために、公開権限や管理権限を付与する必要はありません。

ロール別のモデルアクセス

ポリシーとセキュリティ → モデル を開きます。まず ワークスペースのデフォルト を設定し、次に ロール でロール別に設定します。表のモデル名と設定項目名は、確認したコンソールの表示に基づいています。お使いのワークスペースで利用できるモデルだけを有効にしてください。

モデルの推奨設定： 通常の Chat では 5.6 Sol を、日常的な Work と Codex の利用には 6 Luna を使えるようにします。必要に応じて、代替モデルとして 5.6 Luna も利用可能にしておきます。Power のワークフローには 6.1 Sol と 6 Sol を有効にし、Advanced の利用者については両モデルの必要性を検討します。Astra や Pro へのアクセスと高速なモードの利用は、想定する作業と予算に基づいて承認します。学内の一般利用者向けロールでは Daybreak Blue を無効にし、利用資格がある場合に限り、個別に承認するセキュリティ担当者向けロールでの利用を検討します。

デモ環境にモデルが表示されていたり、有効になっていたりしても、すべての Edu ワークスペースや製品で利用できるとは限りません。特に、6.1 Sol と 6 Luna は Work と Codex の選択肢であり、通常の Chat のデフォルトモデルではありません。モデル → テスト で、対象メンバーが利用できるモデルを確認してください。詳しくは、現在利用できるモデルを参照してください。

製品別のデフォルト設定

開始時のデフォルトを指定しても、モデルへのアクセス権は付与されません。推論強度の「中程度」「高」「超高」を許可 と Pro モデルを許可 は Chat に適用され、Fast モードを許可 と Ultra Fast モードを許可 は Work と Codex に適用されます。メンバーは、許可された他の選択肢に切り替えられます。ロールごとの上書き設定は製品別に確認してください。

利用上限の個別設定

請求 → 利用上限 で、ワークスペースのデフォルト、グループのデフォルト、ユーザーごとの上書き設定を使って、メンバーの利用上限を設定します。共有クレジットの残高とワークスペースの超過利用上限は、請求 で別途確認してください。以下はクレジット制の利用上限の例です。機関の契約内容、購入済みクレジット、想定利用量、画面に表示される上限の適用期間を踏まえて承認します。

グループの利用上限を設定しても、権限ロールが作成されたり、機能の利用が許可されたりすることはありません。対象メンバーが一致する場合は対応するグループを使い、アクセス権と予算で対象者が異なる場合はグループを分けます。どのグループにも割り当てられていないユーザーには、学内の標準上限が適用されるように設定します。

クレジット制の契約では、追加支出が承認されるまで、ワークスペースの超過利用上限を 0 にします。ユーザーごとの上書き設定はグループの上限より優先されます。上書き設定がない場合は、該当するグループの上限のうち最も高い値がワークスペースのデフォルトより優先されます。アラートは指定した宛先に通知するだけで、利用を停止しません。実行中の作業にかかった利用分は、上限に達した後に確定する場合があります。詳しくは、利用上限と超過利用を参照してください。

契約に含まれる利用枠と課金対象の利用については、最新の料金表を確認してください。

Admin プラグインによる変更の準備と確認

Admin プラグインでは、ロールと権限を確認できます。また、利用者の確認を受けた後で、既存のロールを既存のグループに割り当てられます。ロールの作成や権限の編集はできません。まず管理コンソールでロールと権限を設定してください。詳しくは、Admin プラグインで可能な操作を参照してください。

機関で承認した権限表を添付し、「要検討」の項目をすべて確定させてから、以下のプレースホルダーを実際の値に置き換えてください。

ワークスペースと権限表の比較

設定済みロールのグループへの割り当て

割り当てと権限の重複の確認

設定と検証

1. ID とアクセス → グループとロール → ロール で ロールを追加 を選びます。ロール名と説明を入力し、ロールを作成 を選びます。機関で必要なロールだけを作成してください。
2. ポリシーとセキュリティ → 権限 → ワークスペースのデフォルト で Core の標準設定を適用します。ロール で各ロールを開き、承認済みの権限表の値を適用します。変更を保存 を選びます。
3. グループとロール → ロール で対象のロールを開きます。ロールのグループ → グループを追加 で対象のグループを割り当てます。SCIM で同期するグループのメンバーは、ID プロバイダー側で管理します。
4. モデル → ワークスペースのデフォルト と モデル → ロール を設定してから、利用上限を設定します。個々のプラグイン、アプリ、スキル、およびデータ提供元のシステムへのアクセスは別途承認してください。
5. 権限 → ロール別の権限 で割り当てを比較し、テスト で実際に有効なアクセス権を確認します。権限の変更が反映されるまでに最大 5 分かかります。モデルへのアクセスは モデル → テスト で確認してください。
6. 複数のロールを持つ人を含め、代表的なメンバーで実際のワークフローを検証します。カスタムロール TEST で、許可した操作を実行し、意図的にブロックした操作も試します。検証後は一時的な権限を取り消してください。

比較画面には、権限を編集する画面と異なる旧名称が残っている場合があります。共有クラウドコンピューターへのアクセスは、ワークスペースの機能 → エージェントによるクラウドコンピューターの使用 で、ブラウザを使用、ネットワークアクセスを許可、コンピューターの使用を許可 の各項目を設定してください。

各学期に加え、新しい権限が追加された際にもロールを見直してください。管理者向けプレビュー が提供される場合は、プレビュー期間中のアクセスと正式提供時のアクセスを別々に判断します。ワークスペースの一般設定、ID ポリシー、エージェントのセキュリティ、アプリのアクション、データ保持は、これらのロール別の権限表とは別に管理します。