使用本指南规划涵盖以下管理 边界的 ChatGPT Enterprise 部署：
- 工作空间访问权限。
- ChatGPT 桌面应用、 Codex CLI 和 IDE 扩展中相关功能的本地运行时策略。
- Codex 云端。
- 平台 API 访问权限。
- 插件和连接器访问权限。
- 连接系统中的权限。
若是新部署，请按顺序完成这些步骤；若只需调整 一个边界，请使用相应的链接页面。
在工作空间设置中，Codex 本地 是某些本地 访问权限和访问 Token 控制项的分组标签，而不是独立的产品或客户端。当前的 允许成员使用 Codex 本地 控制项涵盖 ChatGPT 桌面应用、Codex CLI 和 IDE 扩展中的本地使用功能。托管配置是独立的 策略层，可对这些客户端中相关功能受支持的 运行时行为施加限制。当行为或可用性存在差异时，本指南会明确指出具体 适用端。
请先查看以下权威对应表： 角色和工作空间权限。 有关当前 ChatGPT 工作空间的操作流程，请遵循帮助中心指南；有关本地和 托管运行时行为，请参阅本文链接的开发者文档。
有关企业安全、隐私和运行时保护，请参阅 智能体审批与安全 和 Codex 安全白皮书。
第 1 步：指定负责人并选择部署方案
为部署工作的每个部分指定负责人：
- 工作空间访问权限： 成员资格、席位、角色及受支持的工作空间 功能。
- 本地运行时策略： 审批、权限配置文件、文件系统和 网络访问权限，以及受支持的本地客户端必须满足的其他要求。
- Codex 云端： 托管环境、代码仓库连接和云端 运行时策略。
- 连接系统： 提供商端的应用安装、账户和 权限。
- 报告与合规： 分析访问权限、审计导出和下游 数据处理。
确定各类用户群体需要的是 ChatGPT 桌面应用、Codex CLI 或 IDE 扩展中的相关本地功能，还是 Codex 云端，抑或两者的组合。对于 使用 API 密钥身份验证的工作流，应将平台 API 访问权限视为独立的组织和 项目边界。
第 2 步：配置工作空间访问权限和身份
使用 ChatGPT 工作空间成员资格、席位、群组和受支持的 RBAC 权限， 向目标用户群体开放相应的受支持工作空间功能。请根据当前工作空间指南核实本地 客户端和 Codex 云端访问权限，不要假定同一个角色可以控制所有 使用端。内置 管理角色应仅授予实际管理工作空间的人员。
工作空间控制项和标签会随时间变化。有关当前 操作流程，请使用以下资料：
请使用一名具有代表性的成员测试登录和功能访问权限，然后再扩大 部署范围。工作空间访问权限不会授予对已连接服务中代码仓库、文件或操作的访问 权限。
第 3 步：配置本地运行时要求
当用户通过 ChatGPT 桌面应用、Codex CLI 或 IDE 扩展启动受支持的
本地运行时，本地要求会约束运行时行为。请通过受支持的云端、设备或系统渠道分发
requirements.toml。请将
此策略与 ChatGPT 工作空间角色和群组分开管理。
请为受支持的本地客户端使用权限配置文件，不要再根据旧版沙盒模式限制设计新的 部署。例如：
default_permissions = ":workspace"
[allowed_permission_profiles]
":read-only" = true
":workspace" = true要在受支持的浏览器端和桌面端功能 界面中全面禁用计算机使用，请限制参与该体验的每个公开功能键：
[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false有关权威配置键列表、分发行为、优先顺序和更多
示例，请参阅
托管配置 和
requirements.toml 参考。
第 4 步：标准化代码仓库配置
使用代码仓库级配置共享项目默认设置、规则和
技能，无需为每位用户重复设置。请按照相应功能文档中指定的位置，将配置签入
.codex 或 .agents：
代码仓库配置可以提供默认设置和可复用的工作流。它无法 授予工作空间、模型、平台 API 或连接系统的访问权限。
第 5 步：配置 Codex 云端
Codex 云端使用托管环境和已连接的源代码仓库。请规划 每个边界：
- 通过受支持的工作空间 控制项向目标用户群体授予 Codex 云端访问权限。
- 安装并配置受支持的源系统集成。
- 在源系统中，将代码仓库访问权限限制为各类用户群体 所需的代码仓库。
- 为这些 代码仓库配置云端环境、机密信息和互联网访问权限。
- 配置代码审查等可选的托管工作流。
- 使用一名具备预期工作空间和 代码仓库权限的代表性用户进行测试。
Codex 云端遵循已连接源系统提供的代码仓库权限和保护 机制。工作空间访问权限不会绕过这些控制措施。有关详情，请参阅 云端环境、 GitHub 集成、 智能体审批与安全，了解 Codex 云端的 设置和运行时指南。
第 6 步：配置插件和连接功能
请将插件安装、随附技能、由连接器支持的功能、 连接器操作和源系统授权作为不同事项分别进行审查和决策。 禁用由连接器支持的功能不一定会同时卸载 插件或其随附技能。
将插件或技能纳入部署前：
- 确认其来源、责任人、目标用户群体和审查日期。
- 审查随附技能、连接器、MCP 服务器、钩子，以及每项功能所需的数据和 操作。
- 在仅授予其所需最低访问权限的情况下，使用非敏感数据进行测试。
- 记录复审和停用工作的负责人。
插件可用于网页版、桌面版和移动版 ChatGPT 中的聊天和 Work， 以及 ChatGPT 桌面应用中的 Codex，还可通过 Codex CLI 插件浏览器使用。 IDE 扩展中不提供这些插件。 ChatGPT 和 Codex 共用一个统一的公共插件目录；工作空间 控制项决定成员可以访问其中的哪些插件。
第 7 步：设置治理和可观测性
根据您要解答的问题选择相应的报告方式：
- 使用工作空间分析查看 交互式 ChatGPT 工作空间分析和 Codex 分析。
- 使用Analytics API，以编程方式 通过 Codex Analytics API 生成汇总报告。
- 使用合规 API获取审计和 调查记录。
- 请使用ChatGPT 使用限制和支出控制 来管理因方案而异的 Codex 活动所消耗的符合条件的 ChatGPT 工作空间 额度。
请查阅需要身份验证的 API 参考文档，了解当前的访问要求、模式、 字段、数据保留规则和请求行为。不要依据本指南中的 契约副本构建集成。
保护集成边界：
- 将 API 密钥和其他集成凭据存储在组织的 机密管理系统中。
- 将下游系统和保留数据的访问权限仅限于获批的 用户群体。
- 根据导出的合规 API 记录的敏感程度以及 组织的保留政策保护这些记录，并按照当前契约测试收集和删除 工作流。
第 8 步：验证并维护部署
使用具有代表性的用户身份验证每个适用边界：
- ChatGPT 工作空间成员资格、席位以及受支持的角色权限。
- ChatGPT 桌面应用、Codex CLI 和 IDE 扩展中所涵盖的本地功能，包括登录和实际生效的运行时要求。
- Codex 云端访问权限、环境配置和代码仓库权限。
- API 密钥工作流所需的 API 平台组织和项目访问权限。
- 插件安装、随附技能、连接器访问权限和受支持的操作。
- 已连接系统的授权和数据访问权限。
- 负责此项工作的管理员所需的分析和合规访问权限。
记录每项控制措施的负责人和现行操作流程的来源。此记录 可让管理员在 UI 或策略发生变化时更新操作流程，而无需 更改管理模型。
初始部署后，审查访问权限、已连接的功能、额度使用情况、 支持反馈以及团队实际使用的工作流。当上述情况发生变化时，调整部署 范围和管理员指南。