組織の ChatGPT 利用環境では、領域ごとに異なる設定が適用されます。ある領域へのアクセス権を付与しても、別の領域へのアクセス権が自動的に付与されるわけではありません。このページで 6 つの制御境界がどのように連携するかを確認し、最新の設定手順についてはリンク先のガイドを参照してください。
ワークスペース設定では、 Codex Local は一部のローカルアクセスとアクセストークンに関する制御をまとめたラベルであり、 独立した製品やクライアントではありません。グループ内の各制御項目は、 適用範囲が異なる場合があります。現在のワークスペース権限である メンバーに Codex Local の使用を許可 は、ChatGPT デスクトップアプリ、 Codex CLI、IDE 拡張機能でのローカル利用を対象としています。管理対象の設定は別の制御レイヤーであり、 これらのクライアントで対象となる機能について、サポートされるランタイム動作を制限します。 利用できる機能と実際に適用される要件は、クライアントやバージョンによって異なる場合があります。
制御境界の理解
| 境界 | 制御対象 | 制御対象外 | 最新情報の参照先 |
|---|---|---|---|
| ChatGPT ワークスペース | メンバーシップ、シート、組み込みの管理ロール、サポート対象のワークスペース機能へのロールベースのアクセス | ローカルエージェントの権限、Platform API の組織へのアクセス、接続先サービスでの権限 | ChatGPT ワークスペースへのアクセスと RBAC |
| ローカルクライアント | ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能における対象機能のランタイム動作（承認、ファイルシステムとネットワークへのアクセス、権限プロファイル、許可された連携を含む） | ChatGPT のシート、機能またはモデルの利用権限、外部データへのアクセス | 管理対象の設定と権限 |
| Codex Cloud | ホスト型 Codex ワークフローと、ユーザーに提供されるクラウド環境の利用資格 | ローカルランタイムポリシー、ソースシステムによって付与されるリポジトリ権限 | クラウド環境 |
| Platform API | API 認証による作業に関する組織とプロジェクトのメンバーシップ、API キー、モデルへのアクセス、使用量、請求 | ChatGPT ワークスペースのメンバーシップ、ローカルクライアントへのアクセス、Codex Cloud へのアクセス | OpenAI API プラットフォーム |
| プラグイン | プラグインの利用可否とインストール、同梱されるスキル、コネクタへのアクセス、サポート対象のコネクタ操作 | 接続先サービスでの認可、より広範なローカルおよびクラウドのランタイム権限 | プラグインの制御 |
| 接続先システム | 認証済みアカウントがソースシステムでアクセスできるリポジトリ、ファイル、メッセージ、操作 | ChatGPT ワークスペース、プラグイン、Codex Cloud、Platform API の利用権限 | 接続先サービス側の管理およびアクセス制御 |
リクエストは、適用されるすべての制御境界を通過する必要があります。たとえば、ワークスペースへのアクセスによってプラグインを利用できるようになっても、サインインしたアカウントが読み取れるデータは、引き続き接続先サービスが決定します。ローカルの権限プロファイルでは、サポート対象のローカルクライアントでの実行を制限できますが、ワークスペースの機能やモデルの利用権限を付与することはできません。
ワークスペースへのアクセス権の割り当て
ChatGPT ワークスペースの管理では、製品へのアクセス権と管理権限が区別されます。
シート、管理者ロール、カスタムロールの違い
シートによって、メンバーがどの製品インターフェースを利用できるかが決まります。ワークスペースのプランによっては、利用可能なシートの種類に ChatGPT シートや Codex シートが含まれる場合があります。
組み込みのワークスペースロールによって、管理権限が決まります。 オーナー ロールはワークスペース全体の設定を管理します。 管理者 ロールはサポート対象のオペレーションとグループを管理します。 メンバー ロールには管理権限がありません。 分析閲覧者 ロールはワークスペースの分析にアクセスできます。
カスタムロールによって、サポート対象機能のうちメンバーが利用できるものが決まります。ただし、シートやプランの利用資格に代わるものではなく、接続先システムでの権限を付与したり、ローカルランタイムの要件を変更したりすることもできません。
ワークスペースのデフォルト設定後に目的別カスタムロールを作成
ロールベースのアクセス制御（RBAC）の設定とカスタムロールの作成は、ワークスペースのオーナーだけが行えます。ワークスペースの設定によって、対象となる権限の基本設定が決まります。オーナーは、手動で管理するグループまたは SCIM で同期したグループを通じてカスタムロールを割り当てることができ、対応している場合は個々のメンバーに直接割り当てることもできます。1 人のメンバーに複数のカスタムロールを割り当てることもできます。
対象となる権限では、 デフォルト はワークスペースの設定を引き継ぎ、 オンはアクセスを許可します。 オフ はアクセスを明示的に拒否します。いずれかの適用対象ロールに オフ が明示的に設定されている場合は、 別のロールでアクセスが許可されていてもブロックされます。 利用可能な権限の設定状態は、機能によって異なる場合があります。
Work Local と Work Cloud の権限の確認
ワークスペースで Work Local と Work Cloud が提供されている場合は、 ワークスペースのデフォルト設定と該当する各カスタムロールの両方を確認してください。Work を利用できるのは対象のワークスペースに限られます。 利用可能な制御項目は、プランやワークスペースの設定、 ロールアウトの状況によって異なる場合があります。 ロールによって、メンバーのシートで許可されているアクセス範囲を拡大することはできません。
Work Cloud は、クラウドで実行されるサポート対象の ChatGPT Work タスクを制御します。 Work Local が許可されていても、 Work Cloud が許可されていない場合は、ChatGPT デスクトップアプリでローカル作業はできますが、 メンバーはクラウドタスクを開始できません。一方、Codex Local へのアクセスには、 独立した権限である メンバーに Codex Local の使用を許可 を使用します。 Work の権限を変更しても、Codex Local へのアクセスは変わりません。 ローカルランタイムの要件に代わることもありません。
最新の利用条件と設定については、 ChatGPT Work と Codex を参照してください。
利用できるシート、ロール、権限は製品やプランの更新に伴って変わるため、最新の権限一覧と設定手順については、以下のヘルプセンターの記事を参照してください：
コンピューターの使用履歴へのアクセス制御
コンピューターの使用履歴は、Business とエンタープライズのワークスペースではデフォルトで無効です。 管理者がアクセス権を明示的に付与するまで、 メンバーはこの機能を有効にできません。 エンタープライズの管理者は、ロールごとにアクセス権を付与できます：
- ワークスペース設定 > 権限とロールを開きます。
- コンピューターの使用履歴 を探し、 アクセスを許可するワークスペースのロールを選択します。
- 該当するロールの コンピューターの使用履歴を有効にする をオンにします。
この権限は、割り当てられたメンバーがコンピューターの使用履歴を有効にできるようにするだけで、機能そのものを自動的に有効にするわけではありません。各メンバーが macOS の ChatGPT デスクトップアプリで自ら利用を有効にする必要があり、履歴に含めるアプリやウェブサイトを選択できます。必要なワークスペース権限を持たないメンバーは、ローカル設定からこの機能を有効にできません。
ローカルランタイムポリシーの適用
ローカルランタイムポリシーは、ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能で対象となる機能を制限します。クラウド管理の要件は、サポート対象の ChatGPT へのサインインとプランの利用資格にも依存します。権限プロファイルと管理対象の要件により、コマンド、ファイルシステムへのアクセス、ネットワークへのアクセス、承認、その他のローカルランタイム動作を制限できます。これらによって、ユーザーのシート、ワークスペースでのロール、モデルの利用権限、外部システムでの権限が変わることはありません。
ユーザーは、ローカルポリシーで許可されている場合、組み込みまたはカスタムの権限プロファイルを選択できます。 管理者は、管理対象の設定に対応するチャネルを通じて、 デフォルト値と要件を配布できます。プロファイルの動作については権限を参照してください。 管理対象の設定では、 要件、配布方法、優先順位を確認できます。