Gerenciamento do ciclo de vida dos usuários

Use este guia para conceder aos funcionários o acesso adequado ao espaço de trabalho do ChatGPT quando entrarem na organização, atualizar esse acesso quando suas responsabilidades mudarem e removê-lo quando saírem. O processo também abrange licenças do espaço de trabalho, funções atribuídas por grupo, tokens de acesso do Codex e sistemas conectados com controles de acesso próprios.

O logon único (SSO) verifica a identidade do funcionário. O provisionamento adiciona o funcionário a um espaço de trabalho. Nenhuma dessas ações, por si só, determina a licença do funcionário, suas permissões de uso de recursos, a política de execução local ou seu acesso a um sistema externo.

Gerencie o acesso dos funcionários em três etapas do ciclo de vida:

• Entrada: Provisione o acesso ao espaço de trabalho, adicione o funcionário aos grupos corretos e atribua as funções e a licença adequadas.
• Mudança de equipe: Atualize os grupos do funcionário e remova apenas as funções atribuídas diretamente que deixaram de se aplicar.
• Saída: Remova o acesso ao espaço de trabalho, revogue os tokens e revise o acesso aos sistemas conectados.

Verifique os pré-requisitos e defina os responsáveis

Antes de integrar os funcionários, identifique quem controla cada parte do ciclo de vida:

Confirme o espaço de trabalho de destino, verifique o domínio de e-mail da organização quando necessário e identifique um proprietário do espaço de trabalho que possa habilitar a sincronização de diretório. Em seguida, confira quais controles estão disponíveis no plano do espaço de trabalho:

SCIM é a sigla de System for Cross-domain Identity Management (sistema de gerenciamento de identidades entre domínios). Um espaço de trabalho Business pode oferecer tokens de acesso do Codex sem SCIM, enquanto um espaço de trabalho Edu pode oferecer SCIM sem tokens de acesso do Codex nem licenças exclusivas do Codex. Aplique apenas os controles disponíveis no seu espaço de trabalho.

Um espaço de trabalho Business só pode manter e adicionar licenças exclusivas do Codex se já tinha uma licença do Codex antes de 24 de junho de 2026 ou se, nessa data, havia um convite pendente para uma licença do Codex que atendia aos critérios. Espaços de trabalho Business novos e aqueles sem licença ou convite que atenda aos critérios não podem adicionar sua primeira licença exclusiva do Codex. Consulte Gerenciar o ciclo de vida e a migração de espaços de trabalho no ChatGPT Business.

Se o espaço de trabalho oferecer mais de um tipo de licença, confira o tipo padrão em Configurações do espaço de trabalho > Identidade e acesso antes de habilitar o provisionamento automático. Os usuários provisionados via SCIM recebem a licença padrão, que determina a quais interfaces do produto eles têm acesso. Uma função personalizada não pode conceder acesso a algo que a licença não inclui.

Em Permissões e funções, confira os controles de acesso local, tokens de acesso, validade das credenciais e dispositivos remotos. Alguns espaços de trabalho agrupam o acesso local em Codex e Work locais, com o controle Permitir que os membros usem o Codex e o Work localmente. Outros separam Codex local, com Permitir que os membros usem o Codex localmente, de Work local, com Usar o Work localmente. Quando os controles são separados, conceder acesso ao Codex não concede acesso ao modo Work, e vice-versa. Os controles de token aparecem na seção de acesso local ou em uma seção separada, Tokens de acesso. Essas configurações são independentes dos grupos aos quais os membros pertencem e dos tipos de licença atribuídos.

O exemplo a seguir mostra os controles agrupados em Codex e Work locais e uma seção separada para Tokens de acesso:

Para consultar os pré-requisitos atuais e as configurações de identidade compatíveis, veja Identidade e provisionamento e Gerenciar membros, tipos de licença, funções e acesso.

Escolha como os funcionários entram no espaço de trabalho

Escolha um método principal de provisionamento para cada público:

Use convites manuais para usuários que não são gerenciados por meio da sincronização de diretório. Use SCIM quando a participação no espaço de trabalho precisar acompanhar as atribuições no provedor de identidade à medida que os funcionários entram, mudam de equipe ou saem.

Não habilite a criação automática de contas e o SCIM ao mesmo tempo. Os usuários adicionados pela criação automática de contas podem não ser gerenciados via SCIM. Nesse caso, removê-los de um grupo do provedor de identidade pode não remover seu acesso ao espaço de trabalho. Consulte as perguntas frequentes sobre a integração com SCIM para obter as orientações atuais.

O SCIM pode se conectar a um único espaço de trabalho do ChatGPT ou ao tenant de uma organização, dependendo da configuração de identidade aprovada. Defina explicitamente as atribuições para cada espaço de trabalho e produto. Uma conexão de diretório compartilhada não concede nem remove automaticamente o acesso em todos os espaços de trabalho ou organizações da API da plataforma.

Conecte um grupo de provisionamento ao espaço de trabalho correto

Configure a conexão antes de provisionar o acesso dos funcionários. O proprietário do espaço de trabalho e o administrador de identidade têm responsabilidades distintas:

1. Peça ao proprietário que selecione o espaço de trabalho do ChatGPT desejado e consulte Configurações do espaço de trabalho > Grupos. Registre os nomes e os membros dos grupos existentes, as funções personalizadas atribuídas e os compartilhamentos relevantes de projetos ou GPTs.
2. Peça ao administrador de identidade que identifique exatamente qual grupo do provedor de identidade deve ser sincronizado. Compare o nome e a lista de membros desse grupo com os de cada grupo existente no espaço de trabalho.
3. Se um grupo a sincronizar tiver o mesmo nome de um grupo existente no espaço de trabalho, resolva o conflito entre os grupos ou renomeie o grupo em conflito antes de habilitar a sincronização. Peça ao proprietário do espaço de trabalho que aprove a composição final do grupo, as funções herdadas e os compartilhamentos. Se os nomes coincidirem, o grupo existente passará a ser gerenciado via SCIM, e o provedor de identidade passará a controlar quem pertence a ele.
4. Selecione os grupos a provisionar e registre o espaço de trabalho de destino, os membros esperados e as funções atribuídas a cada grupo.
5. Peça ao proprietário do espaço de trabalho que abra Configurações do espaço de trabalho > Identidade e acesso e selecione Habilitar sincronização de diretório. Se solicitado, escolha Usar SCIM apenas neste espaço de trabalho para provisionar no âmbito do espaço de trabalho ou Manter a opção de expandir para outros produtos se o provisionamento no âmbito do tenant tiver sido aprovado. Se o SCIM já estiver ativo no tenant, gerencie a conexão existente em vez de criar uma segunda conexão para o espaço de trabalho.
6. Peça ao administrador de identidade que conclua a conexão com o provedor de identidade, selecione o aplicativo ChatGPT e atribua a ele o grupo aprovado para provisionar seus membros no espaço de trabalho desejado.
7. Em Configurações do espaço de trabalho > Grupos, confirme se o grupo selecionado exibe o selo SCIM. Verifique o nome do grupo, os membros sincronizados e o espaço de trabalho de destino antes de usar o grupo para conceder acesso.
8. Peça ao proprietário do espaço de trabalho que abra Permissões e funções > Funções personalizadas, crie ou selecione a função aprovada e a atribua ao grupo sincronizado. A configuração de funções está disponível na Web e exige acesso de proprietário do espaço de trabalho.
9. Revise as permissões efetivas do grupo e o tipo de licença padrão do espaço de trabalho antes de provisionar o acesso dos funcionários.

O administrador do provedor de identidade controla quem tem acesso ao aplicativo e quem pertence aos grupos. O proprietário do espaço de trabalho controla a sincronização de diretório e a atribuição de funções no espaço de trabalho. Consulte as perguntas frequentes sobre a integração com SCIM e Configurar o controle de acesso baseado em funções para conferir os procedimentos atuais e a disponibilidade por provedor.

Provisione o acesso de um novo funcionário

Para um funcionário gerenciado via SCIM:

1. Confirme o espaço de trabalho desejado, o endereço de e-mail verificado, o tipo de licença padrão e o grupo do provedor de identidade.
2. No provedor de identidade, atribua o funcionário ao aplicativo ChatGPT ou ao grupo que concede acesso.
3. Aguarde a conclusão da sincronização de diretório. Se o funcionário não aparecer, verifique o status atual no provedor de identidade.
4. Em Configurações do espaço de trabalho > Membros, confira o e-mail do funcionário, o tipo de licença e o selo SCIM. Verifique se ele já é membro ou se tem um convite pendente.
5. Em Configurações do espaço de trabalho > Grupos, confirme se o funcionário pertence ao grupo sincronizado correto. Peça ao proprietário do espaço de trabalho que verifique a função personalizada atribuída ao grupo.
6. Peça a um funcionário com perfil representativo que faça login no espaço de trabalho correto e verifique o acesso às interfaces do produto, aos recursos e aos sistemas conectados de que precisa.
7. Registre quem é responsável pelo acesso e o resultado bem-sucedido da verificação, seguindo o processo aprovado pela organização.

Se adicionar um funcionário manualmente, envie o convite pela área de administração de membros do espaço de trabalho. Em seguida, faça as mesmas verificações de licença, grupo, função e login.

Um grupo organiza os membros, mas, por si só, não concede acesso a todos os recursos. Para consultar o procedimento atual de atribuição de funções, veja Funções e permissões do espaço de trabalho e Configurar o controle de acesso baseado em funções.

Atualize o acesso quando um funcionário mudar de equipe

Ao mudar de equipe, um funcionário pode manter o acesso concedido por grupos ou funções anteriores. Antes de verificar o novo nível de acesso, atualize a participação nos grupos no sistema que a gerencia:

1. Identifique a nova equipe do funcionário, o espaço de trabalho necessário, a licença, as permissões de uso de recursos aprovadas e o grupo de destino.
2. Se o funcionário precisar permanecer no espaço de trabalho durante toda a mudança, adicione-o ao grupo de destino aprovado antes de removê-lo do grupo anterior. Para grupos gerenciados via SCIM, atualize a lista de membros no provedor de identidade. Para grupos gerenciados manualmente, faça a atualização na administração do espaço de trabalho.
3. Confirme se a função aprovada já está atribuída ao grupo de destino. Preserve as funções atribuídas aos grupos compartilhados para que os demais membros mantenham o acesso aprovado.
4. Peça ao proprietário do espaço de trabalho que só altere a função atribuída a um grupo após aprovar uma mudança de política separada para todo o grupo e avaliar o impacto sobre cada membro.
5. Peça ao proprietário do espaço de trabalho que abra o perfil do funcionário, revise Funções diretas e remova as atribuições diretas que não se aplicam mais.
6. Antes de aprovar a mudança de equipe, revise as permissões efetivas do funcionário, considerando todas as funções atribuídas diretamente ou por grupo.
7. Se o espaço de trabalho oferecer mais de um tipo de licença, peça ao proprietário que abra Configurações do espaço de trabalho > Membros > Alterar tipo de licença e confira a quais produtos o funcionário deve ter acesso.
8. Antes de converter uma licença do ChatGPT em uma licença exclusiva do Codex, confirme se o funcionário deve perder o acesso aos chats, às memórias, aos projetos e a outros recursos do ChatGPT. Os dados são preservados e voltam a ficar disponíveis se o funcionário voltar a usar uma licença do ChatGPT.
9. Após a conclusão da sincronização e das atualizações de permissões, verifique se o funcionário consegue executar as ações recém-liberadas e se as ações que ele já não tem permissão para executar estão bloqueadas.

Se o funcionário for responsável por um fluxo de automação, avalie se o token do Codex, a entrada no gerenciador de segredos ou a autorização no serviço conectado devem passar para outro responsável aprovado. Remover a permissão de uso local do Codex suspende os tokens do Codex desse funcionário, mas não os revoga. Restaurar a permissão reativa os tokens. Por isso, revogue as credenciais que devem perder o acesso permanentemente.

Remova o acesso de um funcionário que está saindo

Comece pelo sistema que controla a participação do funcionário no espaço de trabalho:

1. Verifique se o funcionário é gerenciado via SCIM ou se um administrador o adicionou manualmente.
2. Para um funcionário gerenciado via SCIM, remova a atribuição ao aplicativo ChatGPT e retire o funcionário de todos os grupos de provisionamento que concedem acesso no provedor de identidade. Não remova os grupos compartilhados em si.
3. Para um funcionário que não é gerenciado via SCIM, peça a um proprietário ou administrador do espaço de trabalho que remova o membro em Configurações do espaço de trabalho > Membros.
4. Confirme se o funcionário deixou de ser membro do espaço de trabalho desejado. Para acessos gerenciados via SCIM, verifique se a sincronização foi concluída e se nenhuma outra atribuição no provedor de identidade pode voltar a incluí-lo como membro.
5. Registre a conclusão da remoção e designe um responsável para revisar os tokens, os sistemas conectados e os dados retidos.

Não conte apenas com a remoção no espaço de trabalho se o provedor de identidade ainda mantiver o funcionário em um grupo gerenciado via SCIM. Uma sincronização posterior poderá adicioná-lo novamente ao espaço de trabalho.

Revogue tokens de acesso do Codex e transfira as automações

Mesmo depois de remover uma pessoa do espaço de trabalho, é necessário revisar explicitamente as credenciais usadas por automações confiáveis. Aplique este procedimento apenas se o espaço de trabalho oferecer tokens de acesso do Codex e esse recurso estiver habilitado.

Remover a permissão de uso local do Codex suspende os tokens existentes, mas não os revoga. Esses tokens podem voltar a funcionar se um proprietário do espaço de trabalho restaurar a permissão. Por isso, revogue explicitamente as credenciais que devem perder o acesso permanentemente.

A página Tokens de acesso mostra quem criou cada token e qual é seu status. Use Revogar para remover o acesso concedido por tokens ativos:

1. Peça a um proprietário ou administrador do espaço de trabalho que abra a página Tokens de acesso.
2. Identifique os tokens criados pelo funcionário que está saindo e os fluxos de trabalho que os utilizam.
3. Escolha a identidade substituta. Para um fluxo de trabalho de uso contínuo que opere sem intervenção humana em um plano elegível com cobrança por uso, utilize uma conta de serviço dedicada e aprovada. Nos demais casos, identifique um responsável ativo e aprovado para o fluxo. Peça a um proprietário do espaço de trabalho que, se necessário, conceda a essa pessoa permissão para criar tokens de acesso e que confirme que ela tem permissão de uso local do Codex.
4. Crie o token substituto. Um operador autorizado pode criar um token na página de detalhes da conta de serviço. Para substituir um token pessoal, peça ao novo responsável pelo fluxo que crie um token vinculado à própria identidade no espaço de trabalho do ChatGPT. Se a caixa de diálogo exibir Escopos, selecione Codex. Selecione outros escopos somente se o fluxo exigir. Quando a caixa de diálogo não exibe Escopos, o token criado é exclusivo do Codex. Um administrador não pode criar um token pessoal em nome de outro usuário.
5. Atualize o segredo armazenado para o fluxo de trabalho e verifique se o fluxo é executado com sucesso usando o token substituto.
6. Peça ao proprietário ou administrador do espaço de trabalho que revogue os tokens do funcionário que está saindo e todas as credenciais substituídas.
7. Confirme se os tokens revogados já não permitem iniciar novas execuções autenticadas.

Ao criar o token, o novo responsável aprovado deve usar um nome que descreva o fluxo de trabalho e escolher o menor prazo de validade permitido pela política da organização. Se Escopos aparecer, selecione Codex e evite permissões de que o fluxo não precisa. O exemplo a seguir mostra a interface com seleção de escopos:

Proprietários e administradores podem revogar qualquer token do próprio espaço de trabalho. Um membro com permissão para usar tokens de acesso só pode revogar os tokens que ele mesmo criou. Para consultar as permissões atuais e o procedimento de rotação, veja Tokens de acesso.

Revise os sistemas conectados e os dados retidos

Se o membro usava o acesso ao computador local com o modo Work na nuvem, inclua a permissão Permitir acesso ao computador local e os computadores conectados na revisão de desligamento. Verifique as atribuições de espaços de trabalho e funções, além do acesso em cada sistema conectado.

Desativar o acesso ao computador local interrompe os turnos em andamento no modo Work. Revise separadamente a participação do membro no espaço de trabalho, as credenciais vinculadas aos sistemas conectados e os dados armazenados.

Após a revogação, verifique separadamente três aspectos:

• Tarefas ativas. Verifique o que acontece com as tarefas que já estavam em execução. Para qualquer tarefa que ainda possa estar ativa, siga os procedimentos confirmados de resposta a incidentes e revogação do modo Work.

• Dispositivos conectados. Verifique se os dispositivos conectados anteriormente ainda conseguem acessar o modo Work.

• Dados armazenados. Verifique separadamente a retenção e a exclusão de conversas. A remoção do acesso, por si só, não significa que os dados armazenados foram excluídos.

O provisionamento do espaço de trabalho não controla todas as autorizações. Peça ao responsável por cada serviço que revise o acesso aos seguintes recursos:

• Repositórios de código-fonte e contas do GitHub conectadas.
• Google Drive, Slack e outros aplicativos conectados.
• Plugins instalados, habilidades incluídas nos plugins e recursos oferecidos por conectores.
• Ambientes hospedados do Codex, automações compartilhadas e segredos armazenados.
• Dispositivos gerenciados, credenciais armazenadas localmente e sessões remotas compatíveis.
• Organizações, projetos e chaves de API independentes na API da plataforma.

Aplique os controles próprios de cada sistema. Não presuma que uma alteração no SCIM ou em um grupo do espaço de trabalho atualize as permissões em todos os sistemas. Consulte Funções e permissões do espaço de trabalho para entender todos os limites de autorização e Controles de plugins para conferir a disponibilidade de plugins, as habilidades incluídas e as permissões de aplicativos conectados.

Remover o acesso ao espaço de trabalho não equivale a excluir conteúdo. Quando um membro sai, o espaço de trabalho transfere automaticamente a propriedade dos projetos e GPTs personalizados desse membro para um proprietário do espaço de trabalho. Esses itens não são marcados para exclusão. Se o membro retornar, ele recuperará a propriedade dos itens.

Nos espaços de trabalho Enterprise e Edu, os chats, arquivos e documentos do Canvas seguem a política de retenção configurada para o espaço de trabalho. Os espaços de trabalho Business mantêm chats, arquivos e documentos do Canvas por tempo indeterminado. Os espaços de trabalho Healthcare também oferecem controles de retenção de dados. Consulte a configuração aplicável ao espaço de trabalho e as orientações do ChatGPT para o setor de saúde.

Transferir a propriedade de um projeto ou GPT não transfere as conversas ou os arquivos privados do ex-membro. A mudança de propriedade também não permite que o proprietário do espaço de trabalho visualize esse conteúdo privado. Consulte Remoção de membros do espaço de trabalho e retenção de dados para conferir as regras atuais de cada plano.

Se a equipe de segurança ou conformidade exigir evidências da mudança, registre no sistema aprovado o espaço de trabalho e o funcionário afetados, a atribuição no provedor de identidade, o horário de conclusão, o responsável pela aprovação e a confirmação da revogação dos tokens. Após se autenticar, consulte a referência da API de administração para confirmar quais registros estão disponíveis, quais permissões de administrador são necessárias e quais regras de retenção se aplicam. Escopos de conformidade sensíveis podem exigir acesso de proprietário do espaço de trabalho. Para uma visão geral do produto, consulte API de Compliance e eventos de auditoria. Não use este guia para deduzir quais eventos ou campos são registrados nem por quanto tempo os registros são mantidos.

Solucione problemas de acesso ausente ou inesperado

A maioria dos provedores de identidade sincroniza os dados a cada 30 a 40 minutos, mas alguns aplicam as atualizações imediatamente. As alterações em funções personalizadas podem levar cerca de cinco minutos para aparecer. Não é possível forçar uma sincronização via SCIM. Por isso, não remova e adicione novamente um membro do espaço de trabalho para contornar um atraso na atualização.

Se a remoção de acesso ou a atualização de um grupo ainda não tiver sido concluída após o prazo previsto para o provedor, peça ao administrador de identidade que reúna:

• O espaço de trabalho afetado e o endereço de e-mail do funcionário.
• O provedor de identidade, a atribuição do aplicativo e o grupo de provisionamento.
• A alteração que se tentou fazer, a data e a hora da tentativa e o status mais recente da sincronização.
• As funções diretas, as funções de grupo ou os tokens que ainda precisam de revisão.

Entre em contato com o suporte da OpenAI pela Central de Ajuda e forneça essas informações. Se um ex-funcionário ainda tiver acesso, trate o caso como uma exceção de segurança e siga o processo de escalonamento de incidentes da organização.

Para consultar a configuração e o comportamento da sincronização de cada provedor, veja as perguntas frequentes sobre a integração com SCIM atualizadas. Para erros de login e identidade, consulte Solução de problemas de autenticação.

Verifique todo o ciclo de vida do funcionário

Antes de ampliar a implantação, use um funcionário de teste com perfil representativo para verificar as três transições:

Registre quem aprovou cada mudança, o que foi verificado e quem ficará responsável por resolver as exceções de acesso pendentes. Agende revisões periódicas de acesso de acordo com as políticas de identidade e segurança da organização.

Documentação relacionada

• Guia de implantação para administradores
• Grupos e provisionamento
• Funções e permissões do espaço de trabalho
• Controles de plugins
• Tokens de acesso
• Contas de serviço
• Autenticação
• Configuração gerenciada
• API de Compliance e eventos de auditoria