Sites の管理

このガイドを参考に、ワークスペースで誰がサイトを作成、変更、利用できるようにするか、また組織としてどのようにサイトをレビューし、保守するかを決めてください。サイトの作成方法や使い方は、Sites を参照してください。

事前準備

管理対象のワークスペースにサインインします。誰にサイトの作成と公開を任せるか、どの範囲まで共有するのが適切か、誰がレビュー、サポート、削除依頼に対応するかを決めます。

まず、具体的な用途を想定してください。たとえば、承認済みの参考資料を掲載するオンボーディング用サイトでは、従業員情報を収集する申請管理ツールや、接続済みアプリを利用するダッシュボードとはレビューの観点が異なります。次の点について、関係者間で合意しておきます。

• 想定する利用者と、外部への共有や一般公開の可否
• サイトが表示、収集、保存する情報と、他のサービスに送信する情報
• サイトのコンテンツ、アプリケーションの動作、継続的なサポートの各担当者
• 初回公開前と重要な変更後に必要なレビュー

サイトの仕組み

サイトには、ページやアプリケーションコードのほか、訪問者の情報が含まれることがあります。共有する前に、サイトがどのような情報を公開し、収集するかを確認してください。作成者向けの手順は、サイトの作成を参照してください。

作成できるもの

Sites では、資料を掲載するページ、フォーム、進捗管理ツール、対話型ダッシュボードなどを作成できます。レビューの内容は、アプリケーションの機能に合わせてください。資料を掲載するページでは、内容と共有範囲を確認します。フォームでは、どのような回答を収集し、誰が閲覧できるようにするかも決めます。外部サービスに接続するダッシュボードでは、接続に使うアカウントや権限、接続を通じて利用する情報を確認します。

サイトに保存される情報と閲覧できる情報

プロンプト、会話のコンテキスト、アップロードしたファイルや参照先のファイルに含まれる情報が、サイトに取り込まれることがあります。作成されたページ、サンプルレコード、ダウンロードできるファイル、生成されたコンテンツに、想定する利用者に開示すべきでない情報が含まれていないか確認してください。

サイトにコピーした情報と、接続先から取得する情報は区別してください。たとえば、アップロードしたスプレッドシートは、その時点の内容がサイト上で共有されることがあります。一方、訪問者が自分のアカウントで接続する場合、アクセスできる範囲はサイト作成者と異なることがあります。作成者のプレビューだけでは他の訪問者に何が見えるかはわからないため、実際の動作をテストしてください。

サイト作成時の手順は、データと接続を参照してください。

ホスティングやデータ処理を担う事業者については、OpenAI のサブプロセッサー一覧を参照してください。

Sites の有効化と権限設定

ワークスペースの権限、サイトの共有・編集権限、アプリケーションがコードで制御する権限の 3 つを確認してください。

ワークスペース管理者による権限設定

サイトを作成、公開できるユーザーは、ワークスペースの権限で決まります。Enterprise では、一般公開はデフォルトで無効です。メンバーが外部の訪問者を個別に招待できるようにするには、メンバーが外部の訪問者をサイトに招待することを許可するを有効にします。この設定は、ワークスペース設定 > 権限とロールにあります。一般公開を無効にしたまま、外部の訪問者の招待を許可できます。

Business ワークスペースでは、Sites が有効で、そのアカウントに Sites の利用権限があれば、外部の訪問者を招待できます。Business には、外部の訪問者の招待だけを切り替える設定はありません。

設定手順と各ロールの最新の権限は、ワークスペース管理ガイドを参照してください。

サイトのオーナーと共同編集者による管理

サイトのオーナーは、管理者がワークスペースに設定した範囲内で、訪問者と編集者を選びます。

利用者と共有範囲

サイトの共有範囲を見直す際は、個別の招待、グループへの共有、ワークスペース全体への共有、一般公開の設定を確認してください。同じ人に複数の方法でアクセス権が付与されている場合があります。オーナーは、サイトを閲覧できる人を選ぶことも、外部の訪問者を招待することもできます。

編集者と共同作業

誰に編集権限があるかを確認してください。オーナーが初回の公開を済ませると、編集者はオーナーの承認を別途得ずに更新を公開できます。組織でレビューが必要な場合は、編集者がどのようにレビューを依頼し、その結果を記録するかを決めておきます。編集者の権限と招待方法は、サイトの共同編集を参照してください。

アプリケーションの権限

サイトへのアクセス権と個々のレコードへのアクセス権は別です。非公開のアプリケーションデータについては、サーバー側のコードでレコードへのアクセスを制御し、一般の訪問者アカウントでテストしてください。

たとえば、申請管理ツールでは、ワークスペースの全メンバーがサイトを開けても、閲覧できるのは自分の申請だけという場合があります。アプリケーションは、レコードを返すときや操作を受け付けるときに、この条件を満たしているか確認する必要があります。ページ上の要素を非表示にするだけではアクセスを制限できません。同じレコードに対してアクセスを許可するアカウントと許可しないアカウントを用意し、それぞれでテストしてください。

接続の設定

サイトを作成または共有しただけでは、接続済みアプリへのアクセスは許可されません。ヘルプセンターの接続済みアプリに関するガイドを参照し、組織の承認、プラグインの設定、各訪問者が接続に使うアカウントとその権限を確認してください。

サイトのレビューには接続も含めてください。サイトがどのサービスを使い、どの情報を要求するか、そのアクセスを誰が許可すべきかを明確にします。サイトを誰と共有するかは、接続先サービスの権限とは別に判断してください。

プロンプト、添付ファイル、サイト上で閲覧できるコンテンツに認証情報を含めないでください。

訪問者から見た動作の確認

外部サービスに接続するサイトの共有範囲は、そのワークスペース内に限定してください。ワークスペース内で共有範囲を広げる前に、利用条件を満たす別のメンバーに、自分のアカウントで接続してサイトをテストしてもらいます。そのメンバーがすでに持っている権限に応じた情報が表示されることを確認してください。

訪問者が接続先へのアクセスを許可しなかった場合の表示もテストしてください。どの機能に接続が必要かがサイト上でわかることと、データを取得できなかった場合と取得できた場合とを表示で区別できることを確認します。訪問者の操作手順は、訪問者が自分で接続を選ぶ方法を参照してください。

サイトのレビューと管理

バージョンの保存と公開

保存したバージョンを公開前に誰がレビューするかを決めてください。レビューの手順は組織で定めます。オーナーまたは公開権限のある編集者は、Sites 上で別途承認を得ずに公開できます。公開手順は、更新の公開を参照してください。

責任分担

サイトのコンテンツ、アクセスルール、生成されたコード、接続先サービスのそれぞれについて、レビューの担当者を決めてください。サイトが扱うデータとその用途をよく知っている人を選びます。

公開前のレビュー

サイトのオーナーに、共有前のサイトレビューを依頼してください。初回公開前と重要な変更後には、レビュー担当者に次の点を確認してもらいます。

• 想定する利用者がサイトを開けることと、共有対象外の訪問者は開けないことを確認します。
• 別々のアカウントでレコードへのアクセスをテストします。たとえば、フォームで非公開の申請を受け付ける場合は、ある訪問者が別の訪問者の申請内容を閲覧または変更できてしまわないかを確認します。
• フォームで何を収集するか、回答の送信先はどこか、誰が回答を閲覧できるか、訪問者が自分のデータについてどのように問い合わせられるかを確認します。
• サイトがどのサービスに接続し、どのようなアクセス権を要求するかを確認します。ページ、ダウンロードできるファイル、エラーメッセージに機密情報が含まれていないかも確認します。

継続的な保守

本番運用するサイトごとにオーナーを決め、アクセス、データ、サービスに関する問題の報告窓口を設けてください。オーナーの引き継ぎやサイトの廃止は、ワークスペース管理者とともに計画します。

共有先や編集者、データソース、接続、フォーム、アプリケーション機能を追加したら、改めてサイトをレビューしてください。共有範囲と編集者の一覧が今もサイトの目的に合っているか、コンテンツが最新か、想定する訪問者が引き続き接続を利用できるかを定期的に確認します。

アクセスに関するトラブルシューティング

まず、問題が起きたユーザーのアカウント、ロール、試みた操作を確認してください。作成者がプレビューできても、他のユーザーがサイトを閲覧、編集、公開できるか、接続を利用できるかは判断できません。

ワークスペースで利用できる管理設定の確認や、アクセスに関する問題の解決には、ヘルプセンターのガイドを参照してください。

セキュリティとプライバシー

サイトに保存する情報を決める前に、ホスティング、データレジデンシー、データに関する最新の要件を組織のポリシーと照らし合わせてください。

訪問者のプライバシーと個人情報

フォームやサインイン機能など、訪問者の情報を収集する仕組みを追加する前に、その情報が必要な理由と利用方法を明確にしてください。送信された内容に誰がアクセスできるか、サイトがその情報を他のサービスに送信するか、他の訪問者に表示するかを確認します。

訪問者に提示するプライバシー通知の内容と、問い合わせ窓口を決めてください。以下の資料を参考に、組織のプライバシー担当者とともに、通知に記載する事項と情報の取り扱い手順を検討します。

責任の範囲やプライバシーに関する指針は、次の資料を参照してください。

• 「ChatGPT Sites 利用規約」を確認してください。
• 「サイト運営者の責任」を確認してください。
• 「データ保護に関する責任」を確認してください。
• 「プライバシーポリシーに関するガイド」を確認してください。