管理员推广指南

身份 非官方简体中文镜像

翻译状态 AI 翻译

来源版本 官方未提供

同步日期 2026-07-31

官方原文 learn.chatgpt.com

如需完整文档索引，请参阅 llms.txt。文档页面的 Markdown 版本可通过在页面后追加 .md 来获取 URL。

使用本指南来规划 ChatGPT Enterprise 在以下管理 边界上的推出：

• 工作区访问权限。
• 针对 ChatGPT 桌面应用、 Codex CLI和 IDE 扩展中受覆盖能力的本地运行时策略。
• Codex cloud。
• Platform API 访问权限。
• 插件和连接器访问权限。
• 已连接系统中的权限。

对于新的推出，请按顺序完成这些步骤；或者使用链接页面来更改 某一个边界。

在工作区设置中， Codex 本地 是某些本地 访问和访问令牌控制项的分组标签，而不是单独的产品或客户端。当前的 允许成员使用 Codex 本地 控制项涵盖 ChatGPT 桌面应用、 Codex CLI，以及 IDE 扩展中的本地使用。托管配置是一个单独的 策略层，可约束这些客户端中受覆盖 能力所支持的运行时行为。当 行为或可用性不同时，本指南会注明具体界面。

从 角色和工作区权限中的权威映射开始。 当前 ChatGPT 工作区流程请使用帮助中心指南，并参考 链接的开发者文档了解本地和托管运行时行为。

有关企业安全、隐私和运行时保护，请参阅 Agent approvals and security 和 Codex security white paper。

第 1 步：指定负责人并选择推广方式

为推广的每个部分指定负责人：

• 工作区访问权限： 成员资格、席位、角色和受支持的工作区 功能。
• 本地运行时策略： 审批、权限配置文件、文件系统和 网络访问，以及受支持本地客户端的其他要求。
• Codex cloud： 托管环境、代码库连接和云端 运行时策略。
• 已连接系统： 提供商侧应用安装、账户和 权限。
• 报告和合规： 分析访问权限、审计导出和下游 数据处理。

确定每类受众是否需要在 ChatGPT 桌面应用、 Codex CLI、 IDE 扩展 Codex cloud或其组合中使用受覆盖的本地能力。当 平台 API 访问作为单独的组织和项目边界来处理，如果某个 工作流使用 API密钥身份验证。

第 2 步：配置工作区访问权限和身份

使用 ChatGPT 工作区成员资格、席位、组和受支持的 RBAC 权限 向目标受众授予受支持的工作区功能。请依据当前工作区指南验证本地 客户端和 Codex cloud 访问权限， 而不要假设同一角色控制所有界面。将内置 管理角色限制给负责管理工作区的人员。

工作区控制和标签会随时间变化。请使用这些来源获取当前 流程：

• 管理成员、席位类型、角色和访问权限
• 配置基于角色的访问控制
• 管理工作区设置
• 群组和预配
• 身份验证

在扩大 推出范围之前，先用一个代表性成员测试登录和功能访问。工作区访问权限不会授予已连接服务中的仓库、文件或操作访问权限 。

第 3 步：配置本地运行时要求

当用户在 桌面应用、 ChatGPT 、 Codex CLI或 IDE 扩展中启动受支持的本地运行时，本地要求会约束运行时行为。请通过 requirements.toml 受支持的云、设备或系统渠道交付。 将此策略与 ChatGPT 工作区角色和组分开。

对受支持的本地客户端使用权限配置文件，而不是围绕旧版沙箱模式限制构建新的 部署。例如：

default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true

若要在受支持的浏览器和桌面功能 界面中禁用 Computer Use，请约束参与该体验的每个公开功能键：

[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false

有关权威键列表、交付行为、优先级和更多 示例，请参阅 托管配置 和 requirements.toml 参考。

第 4 步：统一代码仓库配置

使用代码库范围的配置共享项目默认值、规则和 技能，而无需为每个用户重复设置。根据该功能记录的位置，将配置签入 .codex 或 .agents ：

类型	来源	用途
配置	配置基础	为受支持的本地客户端设置代码库默认值
规则	规则	控制沙箱外需要审批的命令
技能	构建技能	让受支持的客户端可使用代码库工作流

代码库配置可以提供默认值和可复用工作流。它不能 授予工作区、模型、Platform API或已连接系统访问权限。

第 5 步：配置 Codex cloud

Codex cloud 使用托管环境和已连接的源代码库。请规划 每个边界：

1. 通过受支持的工作区 Codex cloud 控制向目标受众授予 访问权限。
2. 安装并配置受支持的源系统集成。
3. 在源系统中将代码库访问权限限制为每类 受众所需的代码库。
4. 为这些 代码库配置云环境、密钥和互联网访问。
5. 配置可选的托管工作流，例如代码审查。
6. 使用一名拥有目标工作区和 代码库权限的代表性用户进行测试。

Codex cloud 遵循 已连接源系统公开的代码库权限和保护。工作区访问权限不会绕过这些控制。请参阅 云环境、 GitHub 集成和 Agent 审批和安全 以获取 Codex cloud 设置和运行时指南。

第 6 步：配置插件和已连接功能

将插件安装、捆绑技能、连接器支持的能力、 连接器操作和源系统授权作为单独决策进行审查。 禁用连接器支持的能力不一定会卸载 插件或其捆绑技能。

在将插件或技能纳入推广之前：

1. 确认其来源、负责所有者、目标受众和审查日期。
2. 审查捆绑技能、连接器、 MCP 服务器、钩子，以及每项能力所需的数据和 操作。
3. 使用非敏感数据和其所需的最小访问权限进行测试。
4. 记录谁负责重新审查和停用。

插件可在网页端通过 ChatGPT Work 使用，在 ChatGPT Work 和 Codex 桌面应用中通过 ChatGPT 使用，并通过 Codex CLI 插件浏览器使用。它们 不可用于 Chat、 IDE 扩展或移动端。 ChatGPT 和 Codex 共享一个通用的公开插件目录；工作区 控制决定成员可以访问其中哪些插件。

完整模型请参阅 Plugin controls 和 Skill controls。

第 7 步：建立治理和可观测性

选择与问题相匹配的报告界面：

• 使用 工作区分析 进行 交互式 ChatGPT 工作区分析和 Codex 分析。
• 使用 分析 API 通过 进行程序化的 Codex 分析 API聚合报告。
• 使用 合规性 API 获取审计和 调查记录。
• 当依计划而定的 ChatGPT 使用限制和支出控制 活动消耗符合条件的 Codex 工作区 ChatGPT 额度 时使用。

使用经过身份验证的 API 参考来获取当前访问要求、架构、 字段、保留和请求行为。不要基于本指南中 复制的契约来构建集成。

保护集成边界：

• 将 API 密钥和其他集成凭据存储在组织的 密钥管理系统中。
• 将下游系统和保留数据的访问权限限制给已批准的 受众。
• 根据其敏感性和 API 组织的保留策略保护导出的 Compliance 记录，并根据当前契约测试收集和删除 工作流。

第 8 步：验证并维护推广

使用具有代表性的身份验证每个适用边界：

• ChatGPT 工作区成员资格、席位和受支持的角色权限。
• 在 ChatGPT 桌面应用、 Codex CLI和 IDE 扩展中的受覆盖本地能力，包括登录和有效运行时要求。
• Codex cloud 访问权限、环境配置和代码库权限。
• Platform API 组织和项目访问权限，用于 API-key 工作流。
• 插件安装、捆绑技能、连接器访问权限和受支持操作。
• 已连接系统授权和数据访问。
• 负责管理员的分析和合规访问权限。

记录每项控制的所有者和当前流程来源。此记录 使管理员能够在 UI 或策略变化时更新流程，而无需 更改管理模型。

初始推出后，审查访问权限、已连接能力、额度使用、 支持反馈，以及团队实际使用的工作流。当这些信号发生变化时，调整推出 范围和管理员指南。