Panoramica
Il controllo degli accessi basato sui ruoli (RBAC) consente ai proprietari delle aree di lavoro di configurare l'accesso alle funzionalità tramite ruoli personalizzati riutilizzabili. A un membro possono essere assegnati ruoli direttamente o tramite l'appartenenza a gruppi, e ogni membro può avere più di un ruolo.
I ruoli personalizzati controllano le autorizzazioni per le funzionalità. I ruoli predefiniti dell'area di lavoro, come Membro, Amministratore e Proprietario, determinano ciò che una persona può amministrare. Per informazioni sui ruoli predefiniti e sui tipi di postazione, consulta: Gestire membri, ruoli dell'area di lavoro e postazioni.
Disponibilità
RBAC è disponibile per ChatGPT Enterprise, Edu, Healthcare e Teachers in tutti i Paesi supportati. Configura RBAC sul web da Impostazioni dell'area di lavoro > Autorizzazioni e ruoli in ChatGPT, oppure tramite i controlli supportati per ruoli e autorizzazioni nella Console di amministrazione.
Prima di iniziare
I proprietari dell'area di lavoro possono creare, eliminare, assegnare e revocare ruoli personalizzati e gestire le autorizzazioni predefinite per l'intera area di lavoro.
Gli amministratori dell'area di lavoro potrebbero essere in grado di visualizzare o aggiornare i ruoli esistenti tramite le interfacce di amministrazione supportate. Non possono creare, eliminare, assegnare o revocare ruoli personalizzati.
I membri e gli utenti con il ruolo di Visualizzatore di analisi non possono gestire le impostazioni RBAC dell'intera area di lavoro.
La delega ai gestori dei gruppi è disponibile in ChatGPT Enterprise. Solo un proprietario dell'area di lavoro può attivare o disattivare Modifica autorizzazioni sui ruoli assegnati per i gestori dei gruppi.
Un amministratore globale del tenant non riceve automaticamente un ruolo in un'area di lavoro ChatGPT. I ruoli personalizzati non concedono l'accesso alle chiavi di amministrazione. Solo i proprietari e gli amministratori dell'area di lavoro possono creare chiavi di amministrazione per l'area di lavoro, mentre le autorizzazioni sensibili relative alla conformità richiedono un proprietario. Per i dettagli, consulta: Gestire le chiavi di amministrazione nella Console di amministrazione.
Comprendere le impostazioni predefinite dell'area di lavoro e i ruoli personalizzati
Le impostazioni dell'area di lavoro definiscono la configurazione di base per le autorizzazioni a cui si applicano. Un normale ruolo personalizzato può usare questi stati:
| Stato | Effetto |
|---|---|
| Predefinito | Eredita l'impostazione dell'area di lavoro. |
| Attivato | Concede l'autorizzazione tramite quel ruolo. |
| Disattivato | Nega l'autorizzazione tramite quel ruolo. Un altro ruolo assegnato può comunque concederla. |
Le autorizzazioni dei ruoli ordinari si sommano. Se un qualsiasi ruolo assegnato concede l'accesso, esplicitamente o ereditando un'impostazione attivata nell'area di lavoro, il membro mantiene l'accesso. Questo vale per i ruoli assegnati direttamente e tramite gruppi.
Se tutti i ruoli ordinari applicabili sono impostati su Disattivato, il normale controllo RBAC nega l'accesso. Se tutti i ruoli applicabili usano Predefinito, si applica l'impostazione dell'area di lavoro. Alcune autorizzazioni, inclusi determinati controlli di Work e dei plugin, prevedono solo Attivato e Disattivato.
Restano validi i requisiti relativi al tipo di postazione, al piano e all'idoneità all'uso del prodotto. La Modalità di blocco viene valutata separatamente e può limitare una funzionalità anche quando un ruolo ordinario la consente.
Impostare le autorizzazioni predefinite dell'area di lavoro
Apri la tua area di lavoro ChatGPT.
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri la scheda Area di lavoro.
Esamina le autorizzazioni disponibili e configura le impostazioni di base dell'area di lavoro.
I controlli disponibili sono elencati in Autorizzazioni e ruoli. L'impostazione predefinita dell'area di lavoro si applica a un'autorizzazione di un ruolo personalizzato che supporta l'opzione Predefinito, quando il ruolo usa tale opzione.
Puoi controllare l'accesso a ogni singola app. L'interfaccia di un'app non può essere disattivata in modo indipendente.
Creare o modificare un ruolo personalizzato
I proprietari dell'area di lavoro possono creare ruoli personalizzati.
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati.
Seleziona Crea ruolo.
Inserisci un nome e una descrizione, quindi seleziona Salva.
Nella pagina delle autorizzazioni del ruolo, scegli Predefinito, Attivato o Disattivato per ogni autorizzazione che supporta queste opzioni. Per le autorizzazioni a due stati, scegli Attivato o Disattivato.
Per modificare un ruolo esistente, aprilo in Ruoli personalizzati e aggiorna le impostazioni che puoi modificare. Le autorizzazioni di amministrazione dipendono dal tuo ruolo nell'area di lavoro e dall'interfaccia supportata, come descritto sopra.
Le modifiche a un ruolo personalizzato si applicano a tutti i gruppi a cui è assegnato. Usa ruoli separati quando i gruppi hanno bisogno di impostazioni delle autorizzazioni indipendenti.
Assegnare un ruolo personalizzato
I proprietari dell'area di lavoro possono assegnare ruoli direttamente ai singoli membri, ove disponibile, oppure a gruppi creati manualmente o sincronizzati tramite SCIM. Per gestire l'accesso su larga scala, è consigliabile usare i gruppi. Per la configurazione dei gruppi, consulta: Gestire i gruppi e i relativi gestori.
Assegnare un ruolo ai gruppi
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati e seleziona il ruolo.
Apri Assegnazioni del ruolo.
Seleziona + Aggiungi.
Scegli uno o più gruppi.
Seleziona Fine.
I membri ricevono le autorizzazioni da tutti i ruoli applicabili assegnati direttamente e tramite gruppi. Le modifiche possono richiedere fino a 5 minuti per diventare effettive.
Assegnare un ruolo direttamente a un membro
Se le assegnazioni dirette sono disponibili, apri il profilo del membro, vai a Ruoli diretti e seleziona Assegna ruolo diretto. Scegli il ruolo personalizzato da assegnare. Un ruolo diretto si combina con i ruoli che il membro riceve tramite i gruppi.
Delegare la modifica dei ruoli assegnati
In ChatGPT Enterprise, un proprietario dell'area di lavoro può consentire ai gestori dei gruppi di modificare le impostazioni consentite dei ruoli personalizzati assegnati al proprio gruppo. I gestori dei gruppi non possono creare, eliminare, assegnare o revocare ruoli. La modifica di un ruolo condiviso da più gruppi si applica a tutti quei gruppi.
Per l'assegnazione e la rimozione dei gestori e le impostazioni delle autorizzazioni delegate, consulta: Gestire i gruppi e i relativi gestori.
Configurare l'accesso ai modelli e le eccezioni di sicurezza
Accesso ai modelli
I proprietari possono controllare l'accesso ai modelli per cui l'area di lavoro è idonea tramite le impostazioni dell'area di lavoro o i ruoli personalizzati. Un ruolo non può rendere disponibile un modello se l'area di lavoro non è idonea a usarlo. La scelta di un modello iniziale o predefinito non concede l'accesso.
Nelle aree di lavoro Enterprise ed Edu idonee, GPT-6 Astra è disattivato per impostazione predefinita al momento del lancio. Configura l'accesso ad Astra separatamente: le precedenti impostazioni di Accesso anticipato ai modelli non vengono mantenute. Esamina tutti i ruoli assegnati, perché un ruolo che consente l'accesso può mantenerlo attivo anche quando un altro ruolo è impostato su Disattivato.
Al momento del loro lancio in Work e Codex, GPT-6 Sol e GPT-6 Luna erano disattivati per impostazione predefinita nelle aree di lavoro Enterprise ed Edu. Gli amministratori devono attivare ogni modello ancora disattivato prima che i membri possano usarlo. I modelli già attivi non devono essere riattivati per questo rilascio in Chat. Il selettore dei modelli e il cursore mostrano solo le opzioni disponibili per il membro.
Per GPT-6 in Chat su Enterprise, usa l'autorizzazione esistente di GPT-6 Sol per controllare l'accesso ai livelli da Immediato a Molto alto. Le aree di lavoro in cui Sol è attivo possono ricevere l'accesso durante il rilascio graduale. Questa versione di Chat non introduce un nuovo periodo di anteprima per gli amministratori.
L'accesso dipende dalle impostazioni di amministrazione esistenti e da tutti i ruoli assegnati. Le autorizzazioni dei ruoli ordinari si sommano, come descritto sopra: un ruolo può consentire l'accesso anche se un altro lo disattiva. I membri devono comunque soddisfare i requisiti di idoneità relativi a piano, postazione e prodotto. Pro usa l'autorizzazione separata di GPT-6 Astra.
Se un membro non trova uno di questi modelli in Work o Codex, verifica che l'area di lavoro sia idonea a usare il modello e controlla l'accesso effettivo del membro ai modelli.
Gli amministratori possono aprire la Console di amministrazione, selezionare l'area di lavoro ChatGPT, quindi aprire Modelli e selezionare Test per verificare l'accesso del membro e le impostazioni che lo determinano. Il test non attiva alcun modello e non modifica le autorizzazioni.
Per la disponibilità dei modelli, i requisiti del client e la procedura completa, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Modalità di blocco
Nelle aree di lavoro che supportano i ruoli con Modalità di blocco, è possibile creare un ruolo personalizzato per i membri che ne hanno bisogno. La Modalità di blocco è una configurazione di sicurezza a livello di ruolo, non un semplice interruttore per una singola autorizzazione.
Un ruolo con Modalità di blocco può limitare le funzionalità che accedono alla rete, tra cui la ricerca web in tempo reale, deep research, la modalità agente, l'accesso alla rete di Canvas e alcuni comportamenti di app, MCP o connettori, a seconda delle impostazioni dell'area di lavoro. Queste restrizioni possono applicarsi anche quando un ruolo ordinario consente la funzionalità.
Prima di assegnare un ruolo con Modalità di blocco, verifica quali app e azioni consente. I membri devono inoltre disporre delle autorizzazioni necessarie in ogni sistema di origine collegato: l'accesso alle app in ChatGPT non prevale sulle autorizzazioni di tali sistemi.
Per i dettagli, consulta: Modalità di blocco.
Gestire l'accesso ai plugin per un ruolo
Nelle aree di lavoro Enterprise ed Edu, l'accesso a un singolo plugin può essere configurato per un ruolo personalizzato o ereditato dall'impostazione predefinita dell'area di lavoro. Queste impostazioni per i singoli plugin sono separate dall'autorizzazione Usa plugin, valida per l'intera area di lavoro, e dalle altre autorizzazioni dei plugin che prevedono solo Attivato e Disattivato.
Vai alla Console di amministrazione, seleziona l'area di lavoro ChatGPT desiderata e apri Plugin.
Seleziona il plugin ed esamina il ruolo che vuoi modificare.
Scegli se il ruolo deve avere una propria impostazione di accesso al plugin o ereditare quella predefinita dell'area di lavoro.
Esamina l'accesso attuale e quello proposto per le app necessarie e le dipendenze condivise. Conferma solo le modifiche ai plugin e alle app che intendi apportare.
Esamina i risultati e risolvi eventuali problemi relativi alle modifiche non riuscite.
Quando verifichi l'accesso, esamina tutti i ruoli assegnati al membro direttamente e tramite gruppi. L'accesso ai plugin non prevale sulle impostazioni indipendenti delle app incluse relative ad accesso, azioni, approvazioni o autorizzazioni del fornitore.
Un plugin con restrizioni può rimanere visibile nella directory con l'indicazione Disattivato dall'amministratore. Per l'amministrazione dei plugin e i conflitti con le app necessarie, consulta: Controlli di amministrazione, sicurezza e conformità per plugin e app.
Verificare l'accesso effettivo di un membro
Esamina il tipo di postazione del membro, l'idoneità prevista dal piano, le impostazioni predefinite dell'area di lavoro e tutti i ruoli assegnati direttamente e tramite gruppi. Attendi fino a 5 minuti affinché le modifiche recenti a RBAC vengano applicate.
Gli esempi seguenti usano ruoli ordinari, salvo diversa indicazione:
| Configurazione | Risultato |
|---|---|
| Ricerca web è impostata su Attivato nell'area di lavoro; l'unico ruolo ordinario del membro usa Predefinito. | La ricerca web è consentita tramite quel ruolo. |
| Un ruolo ordinario imposta Ricerca web su Disattivato; un altro la imposta su Attivato. | La ricerca web è consentita perché un ruolo concede l'accesso. |
| Tutti i ruoli ordinari applicabili impostano Ricerca web su Disattivato. | Il normale controllo RBAC non concede l'accesso, anche se l'impostazione di base dell'area di lavoro è Attivato. |
| Un ruolo ordinario consente una funzionalità che accede alla rete; un ruolo con Modalità di blocco la limita. | Si applica la restrizione della Modalità di blocco. |
Per l'accesso ai modelli, gli amministratori dei piani Business, Enterprise, Healthcare ed Edu possono usare Test nella sezione Modelli della Console di amministrazione. Mostra l'accesso effettivo ai modelli e le impostazioni che contribuiscono a determinarlo. Non concede l'accesso e non modifica le autorizzazioni. Per la procedura, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Domande frequenti
Impostare un'autorizzazione su Disattivato in un ruolo revoca l'accesso a un membro?
Non se un altro ruolo ordinario applicabile concede l'autorizzazione. Esamina sia le assegnazioni dirette sia i ruoli ricevuti tramite i gruppi. La Modalità di blocco e l'idoneità all'uso del prodotto vengono valutate separatamente.
RBAC può superare i limiti del tipo di postazione di un membro?
No. RBAC controlla le funzionalità entro i limiti di accesso consentiti dal tipo di postazione e dal piano dell'area di lavoro. Una postazione riservata a Codex non ottiene l'accesso a ChatGPT tramite un ruolo personalizzato.
E se un'autorizzazione prevede solo Attivato e Disattivato?
Imposta esplicitamente Attivato o Disattivato per l'area di lavoro e i ruoli pertinenti. Predefinito è disponibile solo per le autorizzazioni che supportano questa opzione.