角色和工作区权限
如需完整文档索引，请参阅 llms.txt。文档页面的 Markdown 版本可通过在页面后追加
.md来获取 URL。
管理涵盖六个控制边界。在一个边界授予访问权限 并不会在另一个边界授予访问权限。请将本页作为权威映射， 然后按照链接的来源查看当前设置和流程。
在工作区设置中， Codex Local 是某些本地 访问和访问令牌控制的分组标签，而不是单独的产品或客户端。该组中的各项 控制可以具有不同的范围。当前的 允许成员 使用 Codex Local 工作区权限涵盖 ChatGPT 桌面 应用中的本地使用， Codex CLI、以及 IDE 扩展。托管配置是单独的一层， 用于约束这些客户端中受覆盖能力的受支持运行时行为。功能 和实际要求可能因客户端和版本而异。
了解控制边界
Section titled “了解控制边界”| 边界 | 它控制什么 | 它不控制什么 | 当前来源 |
|---|---|---|---|
| ChatGPT 工作区 | 成员资格、席位、内置管理角色，以及对受支持工作区功能的基于角色的访问 | 本地 Agent 权限、Platform API 组织访问，或已连接服务中的权限 | ChatGPT 工作区访问 和 RBAC |
| 本地客户端 | 受覆盖能力在 ChatGPT 桌面应用、 Codex CLI和 IDE 扩展中的运行时行为，包括批准、文件系统和网络访问、权限配置文件，以及允许的集成 | 一个 ChatGPT 席位、功能或模型权益，或外部数据访问权限 | 托管配置 和 权限 |
| Codex cloud | 使用托管 Codex 工作流以及向用户提供的云环境的资格 | 本地运行时策略，或源系统授予的仓库权限 | 云环境 |
| Platform API | 组织和项目成员资格、 API 密钥、模型访问、使用量，以及 API认证工作的计费 | ChatGPT 工作区成员资格、本地客户端访问，或 Codex cloud 访问权限 | OpenAI API Platform |
| 插件 | 插件可用性和安装、捆绑技能、连接器访问，以及受支持的连接器操作 | 已连接服务中的授权，或更广泛的本地和云运行时权限 | 插件控制 |
| 已连接系统 | 已认证账户可以访问源系统中的哪些仓库、文件、消息和操作 | ChatGPT 工作区、插件、 Codex cloud或 Platform API 权益 | 已连接服务的管理和访问控制 |
请求必须通过适用于它的每个边界。例如，工作区 访问可以让插件可用，但已连接服务仍会决定已登录账户可以读取哪些 数据。本地权限配置文件可以限制受支持本地客户端中的一次 运行，但它不能授予工作区功能或 模型。
分配工作区访问权限
Section titled “分配工作区访问权限”ChatGPT 工作区管理将产品访问与管理 权限分开。工作区方案和成员席位决定哪些产品 界面可用。内置工作区角色决定谁可以管理 工作区。基于角色的访问控制（RBAC）决定成员可以使用哪些受支持的 功能。
管理员可以通过组分配自定义角色，成员也可以从 多个组获得访问权限。由于可用席位、角色和权限 会随产品和方案更新而变化，请使用帮助中心查看当前的 权限列表和设置流程：
应用本地运行时策略
Section titled “应用本地运行时策略”本地运行时策略会约束 ChatGPT 桌面 应用、 Codex CLI和 IDE 扩展中的受覆盖能力。云托管要求还 取决于受支持的 ChatGPT 登录和方案资格。权限配置文件 和托管要求可以约束命令、文件系统访问、网络 访问、批准以及其他本地运行时行为。它们不会更改 用户的席位、工作区角色、模型权益，或外部 系统中的权限。
当本地策略允许时，用户可以选择内置或自定义权限配置文件。 管理员可以通过受支持的托管配置渠道分发默认值和要求。 请参阅 权限 了解配置文件行为，并参阅 托管配置 了解要求、交付和优先级。