ユーザーのライフサイクル管理

このガイドでは、従業員の入社時に ChatGPT ワークスペースへの適切なアクセス権を付与し、担当業務の変更時に更新し、退職時に削除する手順を説明します。ワークスペースのシート、グループに割り当てるロール、Codex アクセストークン、独自のアクセス制御を持つ接続先システムも対象です。

シングルサインオン（SSO）は従業員の本人確認を行います。プロビジョニングは従業員をワークスペースに追加します。どちらの操作も、それだけで従業員のシート、機能の利用権限、ローカル実行環境のポリシー、外部システムへのアクセス権が決まるわけではありません。

従業員のアクセス権は、次の 3 つの段階で管理します。

• 入社時： ワークスペースへのアクセス権を付与し、グループ、ロール、適切なシートを割り当てます。
• 異動時： 従業員の所属グループを更新し、直接割り当てたロールのうち不要になったものだけを削除します。
• 退職時： ワークスペースへのアクセス権を削除し、トークンを失効させ、接続先システムのアクセス権を確認します。

前提条件の確認と担当者の割り当て

従業員を受け入れる前に、ライフサイクルの各段階で誰が何を管理するかを明確にします。

対象のワークスペースを確認し、必要に応じて組織のメールドメインを検証します。ディレクトリ同期を有効にできるワークスペースオーナーを特定してから、ワークスペースのプランで利用できる管理機能を確認します。

SCIM は System for Cross-domain Identity Management の略称です。Business ワークスペースでは SCIM を利用できなくても Codex アクセストークンを利用できます。一方、Edu ワークスペースでは SCIM を利用できますが、Codex アクセストークンや Codex 専用シートは利用できません。お使いのワークスペースで利用できる管理機能だけを適用してください。

Business ワークスペースで Codex 専用シートを引き続き利用したり追加したりできるのは、2026 年 6 月 24 日より前に Codex シートがあった場合、または同日時点で条件を満たす Codex シートの招待が保留中だった場合に限られます。新規の Business ワークスペースや、条件を満たすシートも招待もなかったワークスペースでは、最初の Codex 専用シートを追加できません。詳しくは、ChatGPT Business でのワークスペースのライフサイクル管理と移行を参照してください。

複数のシートタイプに対応するワークスペースでは、自動プロビジョニングを有効にする前に、ワークスペース設定 > ID とアクセスでデフォルトのシートタイプを確認します。SCIM でプロビジョニングされたユーザーには、このデフォルトが適用されます。利用できる製品の画面や環境はシートによって決まります。シートに含まれていないアクセス権は、カスタムロールでも付与できません。

権限とロールで、ローカルアクセス、アクセストークン、認証情報の有効期間、リモートデバイスの設定を確認します。一部のワークスペースでは、Codex と Work のローカル利用にローカルアクセスの設定がまとめられており、メンバーによる Codex と Work のローカル利用を許可で両方を設定します。個別に設定するワークスペースでは、Codex のローカル利用にあるメンバーによる Codex のローカル利用を許可と、Work のローカル利用にあるWork をローカルで使用を使います。個別設定の場合、一方を許可しても他方のアクセス権は付与されません。トークンの設定は、ローカルアクセスのセクションまたは独立したアクセストークンセクションに表示されます。これらの設定は、グループへの所属や割り当てられたシートタイプとは別に管理します。

次の例では、Codex と Work のローカル利用の設定がまとめられ、アクセストークンが別のセクションに表示されています。

最新の前提条件とサポートされている ID 管理の構成については、ID とプロビジョニングおよびメンバー、シートタイプ、ロール、アクセス権の管理を参照してください。

従業員のワークスペース参加方法の選択

対象者ごとに、主なプロビジョニング方法を 1 つ選びます。

ディレクトリ同期の管理対象外のユーザーには、手動招待を使用します。入社、異動、退職に伴い、ワークスペースのメンバー構成を ID プロバイダーに合わせて更新する場合は、SCIM を使用します。

アカウントの自動作成と SCIM を同時に有効にしないでください。自動作成で追加されたユーザーは SCIM の管理対象にならない場合があります。その場合、ID プロバイダーのグループから削除してもワークスペースへのアクセス権が残ることがあります。最新のガイダンスは、SCIM 統合に関するよくある質問を参照してください。

承認された ID 管理の構成に応じて、SCIM の接続先には、単一の ChatGPT ワークスペースまたは組織のテナントを指定できます。ワークスペースと製品の割り当ては個別に明示してください。ディレクトリ接続を共有しても、すべてのワークスペースや Platform API の組織でアクセス権が自動的に付与または削除されるわけではありません。

プロビジョニンググループと対象ワークスペースの接続

従業員をプロビジョニングする前に接続を設定します。ワークスペースオーナーと ID 管理者は、それぞれ次の作業を担当します。

1. ワークスペースオーナーは、対象の ChatGPT ワークスペースを選び、ワークスペース設定 > グループを開きます。既存のグループ名、メンバー、カスタムロールの割り当て、関連するプロジェクトや GPT の共有状況を記録します。
2. ID 管理者は、ID プロバイダーで同期対象のグループを特定します。その名前とメンバー構成を、ワークスペース内のすべての既存グループと照合します。
3. 同期対象のグループと既存のワークスペースグループが同名の場合は、同期を有効にする前に両者の構成をすり合わせるか、競合するグループの名前を変更します。調整後のメンバー構成、継承されるロール、共有状況について、ワークスペースオーナーの承認を得ます。名前が一致する既存グループは SCIM の管理対象となり、そのメンバー構成は ID プロバイダーで管理されるようになります。
4. プロビジョニングするグループを選び、対象ワークスペース、想定されるメンバー、グループに割り当てるロールを記録します。
5. ワークスペースオーナーは、ワークスペース設定 > ID とアクセスを開き、ディレクトリ同期を有効にするを選びます。選択を求められた場合、ワークスペース単位でプロビジョニングするにはこのワークスペースでのみ SCIM を使用を、承認済みのテナント単位のプロビジョニングには複数の製品に拡張するオプションを維持を選びます。テナント単位の SCIM がすでに有効な場合は、ワークスペース用の接続を追加せず、既存の接続を管理します。
6. ID 管理者は ID プロバイダーの接続設定を完了し、ChatGPT アプリケーションを選びます。承認済みのグループを割り当て、対象のワークスペースにメンバーをプロビジョニングします。
7. ワークスペース設定 > グループで、選択したグループに SCIM バッジが表示されていることを確認します。このグループをアクセス権の付与に使う前に、グループ名、同期されたメンバー、対象ワークスペースを確認します。
8. ワークスペースオーナーは、権限とロール > カスタムロールを開き、承認済みのロールを作成または選択して、同期されたグループに割り当てます。ロールの設定は Web で行い、ワークスペースオーナーの権限が必要です。
9. 従業員をプロビジョニングする前に、グループの実効権限とワークスペースのデフォルトのシートタイプを確認します。

ID プロバイダーの管理者は、アプリケーションの割り当てとグループのメンバー構成を管理します。ワークスペースオーナーは、ディレクトリ同期とワークスペース内のロールの割り当てを管理します。プロバイダーごとの最新の手順と対応状況は、SCIM 統合に関するよくある質問およびロールベースのアクセス制御の設定を参照してください。

新入社員のプロビジョニング

SCIM で管理する従業員には、次の手順を適用します。

1. 対象ワークスペース、検証済みのメールアドレス、デフォルトのシートタイプ、ID プロバイダーのグループを確認します。
2. ID プロバイダーで、従業員を ChatGPT アプリケーションまたはアクセス権を付与するグループに割り当てます。
3. ディレクトリ同期が完了するまで待ちます。従業員が表示されない場合は、ID プロバイダーで現在の同期状況を確認します。
4. ワークスペース設定 > メンバーで、従業員のメールアドレス、参加状況または保留中の招待、シートタイプ、SCIM バッジを確認します。
5. ワークスペース設定 > グループで、従業員が対象の同期グループに所属していることを確認します。ワークスペースオーナーは、そのグループに割り当てたカスタムロールを確認します。
6. 代表の従業員に対象のワークスペースにサインインしてもらい、業務に必要な製品の画面や環境、機能、接続先システムを利用できることを確認してもらいます。
7. 組織で承認された手順に従い、アクセス管理の責任者と、必要なアクセス権を確認できたことを記録します。

従業員を手動で追加する場合は、ワークスペースのメンバー管理画面から招待を送信し、シート、グループ、ロール、サインインについて同じ確認を行います。

グループはメンバーをまとめるためのもので、所属するだけですべての機能へのアクセス権が付与されるわけではありません。最新のロール割り当て手順は、ロールとワークスペースの権限およびロールベースのアクセス制御の設定を参照してください。

異動時のアクセス権の更新

従業員が異動しても、以前のグループやロールの割り当てによるアクセス権が残ることがあります。新しいアクセス権を確認する前に、所属を管理しているシステムで割り当てを更新します。

1. 異動先のチーム、必要なワークスペースとシート、承認済みの機能の利用権限、異動先のグループを特定します。
2. 異動中もワークスペースへのアクセスを維持する必要がある場合は、承認済みの異動先グループに従業員を追加してから、以前のグループから削除します。SCIM 管理下の所属情報は ID プロバイダーで、手動管理の所属情報はワークスペースの管理画面で更新します。
3. 承認済みのロールが異動先のグループにすでに割り当てられていることを確認します。他のメンバーが承認済みのアクセス権を維持できるように、共有グループへの既存のロール割り当ては維持します。
4. グループに割り当てるロールを変更する場合、ワークスペースオーナーは、グループ全体のポリシー変更を異動とは別に承認し、すべてのメンバーへの影響を確認したうえで変更します。
5. ワークスペースオーナーは従業員のプロフィールを開き、直接割り当てられたロールを確認して、不要になった直接割り当てを削除します。
6. 異動を承認する前に、直接またはグループ経由で割り当てられたすべてのロールを考慮し、従業員の実効権限を確認します。
7. ワークスペースが複数のシートタイプに対応している場合、ワークスペースオーナーはワークスペース設定 > メンバー > シートタイプを変更を開き、従業員が利用する予定の製品を確認します。
8. ChatGPT シートを Codex 専用シートに切り替える前に、従業員がチャット、メモリ、プロジェクトなどの ChatGPT 機能を利用できなくなってよいかを確認します。元のデータは削除されず、ChatGPT シートに戻すと再び利用できます。
9. 同期と権限の更新が完了したら、新たに許可した操作ができることと、許可を取り消した操作ができなくなったことの両方を確認します。

従業員が自動化ワークフローのオーナーである場合は、その Codex トークン、シークレットマネージャーのエントリ、接続先サービスの認可を、承認済みの別のオーナーに引き継ぐ必要があるか確認します。従業員の Codex のローカル利用権限を削除すると、その従業員の Codex トークンは一時停止されますが、失効はしません。権限を戻すとトークンが再び有効になるため、アクセス権を恒久的に取り消す必要がある認証情報は失効させてください。

退職者のアクセス権の削除

まず、従業員のワークスペースへの所属を管理しているシステムで手続きを行います。

1. 従業員が SCIM の管理対象か、管理者が手動で追加したメンバーかを確認します。
2. SCIM 管理下の従業員の場合は、ID プロバイダーでその従業員への ChatGPT アプリケーションの割り当てを解除し、アクセス権を付与するすべてのプロビジョニンググループから従業員を削除します。共有グループ自体は削除しないでください。
3. SCIM の管理対象外の従業員の場合は、ワークスペースのオーナーまたは管理者がワークスペース設定 > メンバーから該当するメンバーを削除します。
4. その退職者が対象ワークスペースのメンバー一覧に表示されなくなったことを確認します。SCIM でアクセス権を管理している場合は、同期が完了し、その退職者が再びワークスペースに追加されるような割り当てが ID プロバイダーに残っていないことを確認します。
5. 削除の完了を記録し、トークン、接続先システム、保持されるデータの確認担当者を割り当てます。

ID プロバイダーで従業員が SCIM 管理下のグループに割り当てられている間は、ワークスペース側だけで削除を済ませないでください。その後の同期で従業員がワークスペースに再び追加されることがあります。

Codex アクセストークンの失効とオートメーションの引き継ぎ

従業員をワークスペースから削除した後も、信頼済みのオートメーションが使用する認証情報は個別に確認する必要があります。以下の手順は、ワークスペースが Codex アクセストークンに対応し、この機能を有効にしている場合にのみ適用してください。

Codex のローカル利用権限を削除すると、既存のトークンは一時停止されますが、失効はしません。ワークスペースオーナーが権限を戻すと再び使用できるため、アクセス権を恒久的に取り消す必要がある認証情報は明示的に失効させてください。

アクセストークンページでは、各トークンの作成者とステータスを確認できます。有効なトークンのアクセス権を取り消すには、失効を選びます。

1. ワークスペースのオーナーまたは管理者がアクセストークンを開きます。
2. 退職者が作成したトークンと、そのトークンを使用しているワークフローを特定します。
3. 引き継ぎ先のアカウントを選びます。対象の従量課金プランで、人の操作を介さず継続的に実行するワークフローには、承認済みの専用サービスアカウントを使用します。それ以外の場合は、現在有効なアカウントを持つ、承認済みのワークフローオーナーを特定します。ワークスペースオーナーは、必要に応じてその人にアクセストークンの作成権限を付与し、Codex のローカル利用権限があることを確認します。
4. 代替トークンを作成します。権限を持つサービスアカウントのオペレーターは、そのアカウントの詳細ページからトークンを作成できます。個人用トークンで引き継ぐ場合は、新しいワークフローオーナーが、自分の ChatGPT ワークスペースアカウント用のトークンを作成します。ダイアログにスコープが表示される場合は、Codex を選びます。他のスコープは、ワークフローで必要な場合にのみ選びます。スコープが表示されないダイアログでは、Codex 専用トークンが作成されます。管理者が他のユーザーに代わって個人用トークンを作成することはできません。
5. ワークフローに保存されているシークレットを更新し、代替トークンでワークフローが正常に実行されることを確認します。
6. ワークスペースのオーナーまたは管理者が、退職者のトークンと置き換え済みの認証情報を失効させます。
7. 失効したトークンでは認証を伴う新たな実行を開始できないことを確認します。

承認済みの後任オーナーがトークンを作成する際は、対象のワークフローが分かる名前を付け、組織のポリシーで許可されている最短の有効期間を選びます。スコープが表示されたら Codex を選び、ワークフローに不要な権限は付与しないでください。次の例は、スコープを選択できる画面です。

ワークスペースのオーナーと管理者は、そのワークスペース内のどのトークンでも失効させることができます。アクセストークンの利用権限を持つメンバーが失効させられるのは、自分で作成したトークンだけです。トークンに関する最新の権限とローテーション手順は、アクセストークンを参照してください。

接続先システムと保持データの確認

メンバーが Work クラウドでローカルコンピューターへのアクセスを利用していた場合は、退職時にローカルコンピューターへのアクセスを許可の権限と接続済みコンピューターも確認します。ワークスペースとロールの割り当てに加え、各接続先システムでのアクセス権を確認してください。

ローカルコンピューターへのアクセスを無効にすると、実行中の Work のターンが中断されます。ワークスペースへの所属状況、接続に使用する認証情報、保存データは、それぞれ個別に確認してください。

アクセス権を取り消した後は、次の 3 点を個別に確認します。

• 実行中のタスクについては、取り消し時に実行中だったタスクの状態を確認します。まだ動作している可能性があるタスクについては、Work のインシデント対応とアクセス権取り消しの確認済み手順に従います。

• 接続済みデバイスについては、以前接続したデバイスから引き続き Work にアクセスできるかを確認します。

• 保存データについては、会話の保持と削除を別途確認します。アクセス権を削除しただけでは、保存データが削除されたことにはなりません。

ワークスペースのプロビジョニングだけでは、すべてのシステムのアクセス権を管理できません。次のアクセス権については、各サービスの責任者に確認を依頼します。

• ソースリポジトリと接続済みの GitHub アカウント
• Google Drive、Slack、その他の接続済みアプリケーション
• インストール済みのプラグイン、同梱のスキル、コネクタ経由で利用する機能
• ホスト型の Codex 環境、共有オートメーション、保存済みのシークレット
• 管理対象デバイス、ローカルに保存された認証情報、サポート対象のリモートセッション
• 別の Platform API 組織、プロジェクト、API キー

ワークスペースのグループや SCIM の変更がすべての権限に反映されると想定せず、各システムの管理機能を使って変更してください。各システムで管理する権限の範囲についてはロールとワークスペースの権限を、プラグインの利用可否、同梱のスキル、接続済みアプリの権限についてはプラグインの管理を参照してください。

ワークスペースへのアクセス権の削除とコンテンツの削除は別の操作です。メンバーが退出すると、そのメンバーが所有していたプロジェクトとカスタム GPT の所有権は、自動的にワークスペースオーナーに移ります。これらの項目は削除対象としてマークされません。メンバーが再参加すると、所有権は元のメンバーに戻ります。

Enterprise および Edu ワークスペースのチャット、ファイル、canvas ドキュメントには、ワークスペースで設定した保持ポリシーが適用されます。Business ワークスペースでは、チャット、ファイル、canvas ドキュメントが無期限に保持されます。Healthcare ワークスペースにもデータ保持の管理機能があります。該当するワークスペースの設定とヘルスケア向け ChatGPT のガイダンスを確認してください。

プロジェクトや GPT の所有権を移しても、元のメンバーの非公開の会話やファイルは移管されません。所有権が移ったことで、ワークスペースオーナーがこれらの非公開コンテンツを閲覧できるようになることもありません。プランごとの最新の動作は、ワークスペースからのメンバー削除とデータ保持を参照してください。

セキュリティまたはコンプライアンス上、変更の証跡が必要な場合は、対象のワークスペース、従業員、ID プロバイダーでの割り当て、完了時刻、承認責任者、トークンの失効確認結果を、承認済みのシステムに記録します。サインインして管理 API リファレンスを開き、利用可能な記録、管理者の権限、記録の保持について確認してください。機密性の高いコンプライアンススコープには、ワークスペースオーナーの権限が必要な場合があります。製品の概要は、Compliance API と監査イベントを参照してください。このガイドから、記録対象のイベント、フィールド、保持期間を推定しないでください。

アクセス権が想定と異なる場合のトラブルシューティング

ほとんどの ID プロバイダーは 30～40 分間隔で同期しますが、更新を即時に反映するものもあります。カスタムロールの変更が反映されるまでには、約 5 分かかることがあります。SCIM の同期を強制することはできません。更新の遅れを回避するために、ワークスペースのメンバーを削除して再作成しないでください。

プロバイダーごとの通常の同期所要時間を過ぎても、アクセス権の削除やグループの更新が完了しない場合は、ID 管理者が次の情報を収集します。

• 対象のワークスペースと従業員のメールアドレス
• ID プロバイダー、アプリケーションの割り当て、プロビジョニンググループ
• 試みた変更の内容、操作時刻、最新の同期状況
• 引き続き確認が必要な直接割り当てのロール、グループ経由のロール、トークン

これらの情報を添えて、ヘルプセンターから OpenAI サポートに問い合わせてください。退職者にアクセス権が残っている場合は、セキュリティ上の例外として扱い、組織のインシデントのエスカレーション手順に従ってください。

プロバイダーごとの設定手順と同期の動作については、最新の SCIM 統合に関するよくある質問を参照してください。サインインや ID に関するエラーについては、認証のトラブルシューティングを参照してください。

従業員のライフサイクル全体の検証

本格展開の前に、代表的な従業員のテストアカウントを使って、次の 3 つの段階をすべて検証します。

各変更の承認者、検証した内容、アクセス権に関する未解決の例外に対処する責任者を記録します。組織の ID 管理とセキュリティのポリシーに従い、アクセス権を定期的に見直す予定を立ててください。

関連ドキュメント

• 管理者向け導入ガイド
• グループとプロビジョニング
• ロールとワークスペースの権限
• プラグインの管理
• アクセストークン
• サービスアカウント
• 認証
• 管理対象の構成
• Compliance API と監査イベント