このガイドでは、次の管理領域にわたる ChatGPT Enterprise のロールアウトを計画します。
- ワークスペースへのアクセス
- ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能の対象機能に適用するローカルランタイムポリシー
- Codex Cloud
- Platform API へのアクセス
- プラグインとコネクタへのアクセス
- 接続先システムの権限
新規ロールアウトでは、手順を順番に進めてください。特定の管理領域だけを変更する場合は、リンク先のページを参照してください。
ワークスペース設定の Codex と Work のローカル利用 では、ローカルでの Codex と Work への アクセスを メンバーに Codex と Work のローカル利用を許可でまとめて管理します。一部のワークスペースでは、 代わりに Codex のローカル利用 と Work のローカル利用 が独立したセクションになっています。 この構成では、 メンバーに Codex のローカル利用を許可 で Codex を、 Work を ローカルで使用 で Work を制御します。一方を有効にしても、もう一方は有効になりません。 これらのラベルはワークスペースの権限を示しており、別々の製品やクライアントを指すものではありません。 トークンの権限と認証情報の有効期間の上限は、ワークスペースに応じて アクセス トークン セクションまたはローカルアクセスのセクションに表示されます。 管理対象の設定は独立したポリシーレイヤーであり、これらのクライアントの対象機能について、 サポートされるランタイム動作を制限できます。このガイドでは、動作や利用可否が異なる場合に、 該当するインターフェースを個別に明記します。
まず、 ロールとワークスペースの権限にある正式な対応表を確認してください。 ChatGPT ワークスペースの最新の手順についてはヘルプセンターのガイダンスを、 ローカルおよびホスト型ランタイムの動作についてはリンク先の開発者向けドキュメントを参照してください。
エンタープライズ向けのセキュリティ、プライバシー、ランタイム保護については、 エージェントの承認とセキュリティおよび Codex セキュリティホワイトペーパーを参照してください。
ステップ 1：担当者の割り当てとロールアウト方針の選択
ロールアウトの各領域に担当者を割り当てます。
- ワークスペースへのアクセス： メンバーシップ、シート、ロール、 サポート対象のワークスペース機能
- ローカルランタイムポリシー： 承認、権限プロファイル、ファイルシステムと ネットワークへのアクセス、およびサポート対象のローカルクライアントに適用するその他の要件
- Codex Cloud： ホスト環境、リポジトリ接続、 クラウドランタイムポリシー
- 接続先システム： プロバイダー側でのアプリケーションのインストール、 アカウント、権限
- レポートとコンプライアンス： アナリティクスへのアクセス、監査データのエクスポート、 後続システムでのデータの取り扱い
各利用者層について、ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能の対象ローカル機能、Codex Cloud、またはその組み合わせのどれが必要かを判断します。API キー認証を使用するワークフローでは、Platform API へのアクセスを、組織とプロジェクト単位で管理する別の領域として扱います。
ステップ 2：ワークスペースへのアクセスと ID の設定
ChatGPT ワークスペースのメンバーシップ、シート、グループ、サポート対象の RBAC 権限を使用して、対象の利用者層がサポート対象のワークスペース機能を利用できるようにします。すべてのインターフェースを同じロールで制御できるとは想定せず、ローカルクライアントと Codex Cloud へのアクセスを、最新のワークスペース向けガイダンスに照らして確認してください。組み込みの管理者ロールは、ワークスペースを管理する担当者だけに限定します。
ワークスペースの制御項目とラベルは随時変更されます。最新の手順については、次の情報源を参照してください。
ロールアウトを拡大する前に、代表的なメンバーでサインインと機能へのアクセスをテストします。ワークスペースへのアクセス権があっても、接続先サービスのリポジトリ、ファイル、アクションへのアクセス権は付与されません。
ステップ 3：ローカルランタイム要件の設定
ユーザーが ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能でサポート対象のローカル実行を開始すると、
ローカル要件によってランタイム動作が制限されます。サポートされるクラウド、デバイス、またはシステムのチャネルを通じて、
requirements.toml を配布します。
このポリシーは、ChatGPT ワークスペースのロールやグループとは分けて扱います。
新規導入では、従来のサンドボックスモードの制限を前提に構成するのではなく、サポート対象のローカルクライアントの権限プロファイルを使用します。たとえば、次のように設定します。
default_permissions = ":workspace"
[allowed_permission_profiles]
":read-only" = true
":workspace" = trueサポート対象のブラウザ機能とデスクトップ機能の全体で「コンピューターの使用」を無効にするには、この機能を構成する公開機能キーをそれぞれ制限します。
[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false正式なキー一覧、配布時の動作、優先順位、
その他の例については、
管理対象の設定と
requirements.toml リファレンスを参照してください。
ステップ 4：リポジトリ設定の標準化
リポジトリ単位の設定を使用すれば、ユーザーごとにセットアップを繰り返すことなく、
プロジェクトのデフォルト設定、ルール、スキルを共有できます。各機能のドキュメントに記載された場所に従い、
設定を .codex または .agents にチェックインします。
| 種類 | 参照先 | 用途 |
|---|---|---|
| 構成 | 設定の基本 | サポート対象のローカルクライアント向けにリポジトリのデフォルト設定を指定 |
| ルール | ルール | サンドボックス外での実行に承認が必要なコマンドを制御 |
| スキル | スキルの構築 | サポート対象のクライアントでリポジトリのワークフローを利用可能にする |
リポジトリ設定では、デフォルト設定と再利用可能なワークフローを提供できます。ワークスペース、モデル、Platform API、接続先システムへのアクセス権を付与することはできません。
ステップ 5：Codex Cloud の設定
Codex Cloud は、ホスト環境と接続済みのソースリポジトリを使用します。各管理領域の設定を計画します。
- サポート対象のワークスペース制御を使用して、対象の利用者層に Codex Cloud へのアクセス権を付与します。
- サポート対象のソースシステム連携をインストールし、設定します。
- ソースシステムでのリポジトリへのアクセスを、各利用者層に必要なリポジトリだけに制限します。
- それらのリポジトリ用にクラウド環境、シークレット、インターネットアクセスを設定します。
- コードレビューなど、任意のホスト型ワークフローを設定します。
- 想定したワークスペース権限とリポジトリ権限を持つ代表的なユーザーでテストします。
Codex Cloud は、接続先のソースシステムが提供する リポジトリの権限と保護に従います。ワークスペースへのアクセス権があっても、これらの制御を回避することはできません。 クラウド環境、 GitHub 連携、 エージェントの承認とセキュリティで、Codex Cloud のセットアップと ランタイムに関するガイダンスを参照してください。
ステップ 6：プラグインと連携機能の設定
プラグインのインストール、同梱スキル、コネクタを利用する機能、コネクタのアクション、ソースシステム側の認可は、それぞれ別の判断事項としてレビューします。コネクタを利用する機能を無効にしても、必ずしもプラグインや同梱スキルがアンインストールされるわけではありません。
プラグインまたはスキルをロールアウトに含める前に、次の点を確認します。
- 提供元、責任者、対象の利用者層、レビュー日を確認します。
- 同梱のスキル、コネクタ、MCP サーバー、フック、および各機能に必要なデータとアクションをレビューします。
- 機密性のないデータを使い、必要最小限のアクセス権でテストします。
- 再レビューと廃止の責任者を記録します。
プラグインは、Web 版 ChatGPT、デスクトップ版 ChatGPT、モバイル版 ChatGPT のチャットと Work、ChatGPT デスクトップアプリ内の Codex、Codex CLI のプラグインブラウザで利用できます。IDE 拡張機能では利用できません。ChatGPT と Codex は共通の公開プラグインディレクトリを 1 つ使用しており、その中でメンバーがアクセスできるプラグインはワークスペースの制御によって決まります。
全体像については、プラグインの制御と スキルの制御を参照してください。
ステップ 7：ガバナンスと可観測性の設定
確認したい内容に応じて、レポート手段を選択します：
- ワークスペースの分析を使用して、 ChatGPT ワークスペースと Codex の分析をインタラクティブに行います。
- 分析 API を使用して、 Codex Analytics API を介した集計レポートをプログラムで作成します。
- Compliance API を使用して、 監査や調査の記録を扱います。
- プランに応じた Codex の利用で、 対象となる ChatGPT ワークスペースのクレジットが消費される場合は、 ChatGPT の利用上限と支出管理を使用します。
現在のアクセス要件、スキーマ、フィールド、保持期間、リクエストの動作については、認証が必要な API リファレンスを参照してください。このガイドに転載された仕様を基に連携を実装しないでください。
連携の境界を保護します：
- API キーなどの連携用認証情報は、組織のシークレット管理システムに保存します。
- 下流システムと保持データへのアクセスは、承認された利用者に限定します。
- エクスポートした Compliance API のレコードは、その機密性と組織の保持ポリシーに従って保護します。また、収集と削除のワークフローを現行の仕様に照らしてテストします。
ステップ 8：ロールアウトの検証と継続的な管理
代表的な ID を使い、対象となるすべての管理領域を検証します：
- ChatGPT ワークスペースのメンバーシップ、シート、サポートされているロール権限
- ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能で対象となるローカル機能（サインインと実際に適用されるランタイム要件を含む）
- Codex Cloud へのアクセス、環境構成、リポジトリ権限
- API キーを使うワークフローでの Platform API の組織およびプロジェクトへのアクセス
- プラグインのインストール、同梱のスキル、コネクタへのアクセス、サポートされているアクション
- 接続先システムでの認可とデータアクセス
- 担当管理者の分析機能およびコンプライアンス機能へのアクセス
各制御項目の責任者と、現行手順の参照先を記録します。これにより、UI やポリシーが変更された際に、管理者は管理モデルを変えずに手順を更新できます。
初回のロールアウト後は、アクセス、連携機能、クレジットの使用状況、サポートに寄せられたフィードバック、チームが実際に使うワークフローをレビューします。これらの状況が変化したら、ロールアウトの範囲と管理者向けガイダンスを調整します。