ロールとワークスペースの権限

組織で ChatGPT を利用する際は、利用範囲ごとに設定が分かれています。ある範囲でアクセスを許可しても、別の範囲へのアクセスが自動的に許可されるわけではありません。このページで 6 つの管理範囲の関係を確認したうえで、各リンク先の最新の手順に沿って設定してください。

ワークスペース設定に Codex と Work のローカル利用セクションがある場合は、メンバーによる Codex と Work のローカル利用を許可で両方のローカルアクセスを管理します。ワークスペースによっては、Codex のローカル利用と Work のローカル利用が別々のセクションに分かれています。その場合は、メンバーによる Codex のローカル利用を許可で Codex のローカルアクセスを、Work をローカルで使用で Work のローカルアクセスを許可します。一方を有効にしても、もう一方へのアクセスは許可されません。これらのラベルはワークスペースの権限を示すもので、個別の製品やクライアントを指すものではありません。トークンの権限と認証情報の有効期間の上限は、ワークスペースに応じて、アクセストークンセクションまたはローカルアクセスのセクションに表示されます。これとは別に、管理対象の構成では、各クライアントが対応する機能について実行時の動作を制限します。利用できる機能や実際に適用される要件は、クライアントやバージョンによって異なる場合があります。

管理範囲ごとの違い

リクエストを実行するには、該当するすべての管理範囲で許可されている必要があります。たとえば、ワークスペースの権限でプラグインを利用できても、サインイン中のアカウントが読み取れるデータは接続先サービスが決定します。ローカルの権限プロファイルでは、対応するローカルクライアントでの実行を制限できますが、ワークスペースの機能やモデルの利用権限は付与できません。

ワークスペースのアクセス権の割り当て

ChatGPT ワークスペースでは、製品の利用権限と管理権限を分けて管理します。

シート、管理ロール、カスタムロールの違い

シートによって、メンバーが利用できる製品の範囲が決まります。ワークスペースのプランによっては、ChatGPT シートや Codex シートを利用できます。

管理権限は、ワークスペースの組み込みロールによって決まります。オーナーはワークスペース全体の設定を管理し、管理者は対象の操作とグループを管理します。メンバーには管理権限がありません。分析閲覧者はワークスペースの分析情報を閲覧できます。

カスタムロールでは、対象機能のうちメンバーが利用できるものを指定します。カスタムロールでシートやプランの利用条件を上書きしたり、接続先システムの権限を付与したり、ローカルランタイムの要件を変更したりすることはできません。

ワークスペースのデフォルト設定と対象別のカスタムロールの作成

ワークスペースのオーナーは、ロールベースのアクセス制御（RBAC) 用のカスタムロールを作成し、グループを通じて割り当てることができます。直接の割り当てに対応している場合は、メンバーに個別に割り当てることもできます。対象となる権限の基準はワークスペース設定で定めます。グループは手動で管理するか、SCIM で同期できます。メンバーには複数のカスタムロールを割り当てられます。

対象となる権限をデフォルトにすると、ワークスペース設定を継承します。オンにするとそのロールを通じてアクセス権が付与され、オフにするとそのロールからはアクセス権が付与されません。選択できる設定は機能によって異なる場合があります。

通常のロールでは、各ロールが付与する権限をすべて利用できます。たとえば、あるロールで機能がオンになっていれば、別のロールでオフになっていても、その機能を利用できます。直接割り当てたロールと、グループを通じて割り当てたロールの両方を確認してください。

通常のロールでアクセス権が付与されていても、ロックダウンモードの制限と製品の利用条件は引き続き適用されます。プラグインについては、プラグインのアクセスに関するトラブルシューティングを参照してください。

Work のローカル利用とクラウド利用の権限の確認

クラウドでのブラウザ利用とクラウドのネットワークアクセスは、管理コンソール > 権限とロール > ワークスペースの機能 > クラウドコンピューターの機能で設定します。これらはクラウドの Work と dot が共通で利用できる機能で、Work のクラウド利用権限とは別に設定できます。Work のタスクを実行するには、Work 自体の利用権限に加え、そのタスクに必要な各機能の利用権限が必要です。ブラウザへのアクセスと、コードやシェルからのネットワークアクセスは個別に確認してください。一方を無効にしても、もう一方が自動的に無効になることはありません。

ワークスペースに Work のローカル利用と Work のクラウド利用がある場合は、ワークスペースのデフォルト設定と、該当する各カスタムロールの設定を確認してください。Work を利用できるのは対象のワークスペースのみです。設定できる項目は、プラン、ワークスペース構成、提供状況によって異なる場合があります。ロールで付与できるアクセス権は、メンバーのシートで許可されている範囲に限られます。

Work のクラウド利用は、クラウドでの ChatGPT Work の対応タスクの実行を制御します。設定が独立している場合、Work のローカル利用を許可し、Work のクラウド利用を許可しなければ、メンバーは ChatGPT デスクトップアプリでローカル作業ができますが、クラウドタスクは開始できません。Codex のローカルアクセスを許可するには、メンバーによる Codex のローカル利用を許可を Codex のローカル利用セクションで設定します。Work をローカルで使用の設定を変更しても、Codex のローカルアクセスは変わらず、ローカルランタイムの要件も引き続き適用されます。

ワークスペースによっては、代わりに Codex と Work のローカル利用という共通のセクションが表示されます。その場合は、メンバーによる Codex と Work のローカル利用を許可で両方の製品のローカルアクセスを管理します。

最新の利用条件と設定については、ChatGPT Work と Codex を参照してください。

利用できるシート、ロール、権限は製品やプランの更新に伴って変わります。最新の権限一覧と設定手順は、ヘルプセンターで確認してください。

• メンバー、シートの種類、ロール、アクセス権の管理
• ロールベースのアクセス制御の設定
• グループの管理

Codex Cloud のアクセス権と環境の管理権限の確認

次の権限は個別に確認してください。

ワークスペース環境を管理はクラウドで Codex を使用の配下にあり、クラウドへのアクセス権が必要です。デフォルトではオフです。導入前に、誰にこの権限を付与しているかを確認してください。クラウドへのアクセス権を持つメンバーは、管理権限がなくても、自分の個人環境を作成、編集できます。共有環境にアクセスできるだけでは、その構成を変更する権限は付与されません。

環境を利用するメンバーのアカウントと、その環境を管理する担当者のアカウントで、それぞれのワークフローを検証してください。どちらのアカウントにも、接続先のリポジトリやサービスで適切なアクセス権が必要です。設定と共有についてはクラウド環境を、クラウドポリシーの策定については管理者向け導入ガイドを参照してください。

クラウドの Work からローカルコンピューターへのアクセス

ワークスペースのオーナーは、利用条件を満たすユーザーに対してローカルコンピューターへのアクセスを許可を有効にできます。利用を許可するユーザーには、まず Work のクラウド利用を有効にしてください。ローカルコンピューターへのアクセスを許可は、Work のクラウド利用の配下にあります。ChatGPT デスクトップアプリで Codex をローカルで使用を有効にする必要はありません。メンバーは ChatGPT で対象のワークスペースにサインインする必要があります。いずれかのクラウドポリシーで enforce_residency が有効になっている場合、Work と dot の両方でローカルコンピューターへのアクセスを許可が無効になります。この保護措置によってワークスペースのデータレジデンシーが設定されることはなく、これだけで Work のクラウド利用や dot が無効になることもありません。

同期を有効にする前に、ローカル実行に適用される Agent Security の要件を確認してください。現在 MDM のみでポリシーを配布している場合は、Agent Security を設定する前に、該当するローカルポリシーの優先順位を確認してください。ローカル実行では、MDM と従来の管理対象デバイスの要件が Agent Security より優先され、システムの要件ファイルの優先順位は Agent Security より低くなります。管理ポリシーが有効な場合、クラウドでの処理の調整には、対応するグローバルポリシーが適用されます。接続先のコンピューターにはローカル実行の要件が適用されます。Work のクラウドコンテナには、Work の既存のクラウドポリシーが引き続き適用されます。

グローバル設定の管理にはポリシー API を使用してください。ローカル設定や Codex Cloud 設定の管理には、Agent Security の UI を使用してください。移行後も、グローバル設定を管理する既存の API ワークフローを利用できます。スクリプトと Terraform 連携をテストし、ポリシーの割り当てと適用順序が変わっていないことを確認してください。

次の手順でアクセス権を設定し、検証してください。

• ワークスペースのデフォルト設定は、組織全体に適したものにしてください。

• アクセス権が必要なユーザーまたはグループに、対応するカスタムロールを割り当ててください。

• 該当するロールをすべて確認してください。ある通常のロールで権限をオフにしても、別のロールで付与されたアクセス権は取り消されません。

• 想定した権限を持つメンバーのアカウントでアクセスをテストしてください。

シート、接続先アプリへのアクセス権、OS の権限、Codex のローカル利用権限は、それぞれ個別に確認してください。ローカルコンピューターへのアクセスをオフにした後も、メンバーはワークスペースへのアクセス権を保持できます。実行中のタスクへの影響については、導入ガイドを参照してください。ポリシーの適用範囲と互換性の要件については、管理対象の構成と Work 管理者向け FAQ を参照してください。

コンピューターの履歴へのアクセス管理

コンピューターの履歴は、Business と Enterprise のワークスペースではデフォルトでオフです。ワークスペースのオーナーが明示的にアクセスを許可するまで、メンバーはこの機能をオンにできません。Enterprise ワークスペースのオーナーは、次の手順でロールごとにアクセスを許可できます。

1. ワークスペース設定 > 権限とロールを開きます。
2. コンピューターの履歴を探し、アクセスを許可するワークスペースのロールを選びます。
3. そのロールのコンピューターの履歴を有効にするをオンにします。

この権限を付与すると、対象のメンバーが自分でコンピューターの履歴をオンにできるようになります。機能が自動的にオンになることはありません。各メンバーは macOS 版の ChatGPT デスクトップアプリで自分でこの機能をオンにする必要があり、どのアプリやウェブサイトを履歴の対象にするかを選べます。必要なワークスペース権限を持たないメンバーは、ローカル設定でこの機能を有効にすることはできません。

ローカルランタイムポリシーの適用

ローカルランタイムポリシーは、ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能の対象機能を制限します。クラウドで管理する要件を適用するには、対応する ChatGPT サインイン方式を使用し、プランの利用条件も満たす必要があります。権限プロファイルと管理対象の要件では、コマンド、ファイルシステムへのアクセス、ネットワークアクセス、承認など、ローカルでの実行時の動作を制限できます。ユーザーのシート、ワークスペースのロール、モデルの利用資格、外部システムでの権限は変わりません。

ローカルポリシーで許可されている場合、ユーザーは組み込みまたはカスタムの権限プロファイルを選択できます。管理者は、管理対象の構成でサポートされている配布方法を使って、デフォルト設定と要件を配布できます。プロファイルの動作については権限を、要件、配布方法、優先順位については管理対象の構成を参照してください。

関連ドキュメント

• 管理者向け導入ガイド
• グループとプロビジョニング
• ユーザーのライフサイクル管理
• ワークスペースで利用可能なモデル
• アクセストークン
• 管理対象の構成
• 認証