Général

Quelles sont toutes les différences fonctionnelles entre le SSO dans une formule Enterprise/Edu et dans une formule Business ?

Hormis le fait que le SSO Business soit en libre-service, les différences fonctionnelles sont les suivantes :

• Pas de synchronisation des groupes SCIM / AD dans le forfait Business : le provisionnement et le déprovisionnement des utilisateurs sont donc entièrement manuels.

• Portée : le SSO Business s'applique uniquement à ChatGPT; il ne s'étend pas à platform.openai.com. Cela diffère du SSO sur Enterprise/Edu, où le SSO peut éventuellement couvrir à la fois ChatGPT et la plateforme.

• Migration de compte : Enterprise/Edu oblige les utilisateurs d'un domaine vérifié à migrer ou supprimer les comptes grand public correspondants ; les utilisateurs de la formule ChatGPT Business pourront effectuer une migration de compte au niveau de chaque utilisateur, mais les administrateurs d'espace de travail de la formule Business ne pourront pas l'imposer.

Quels protocoles SSO sont pris en charge par ChatGPT Business ?

SAML et OIDC.

Que signifient IdP / SSO / SP ?

• Fournisseur d'identité (IdP) : fait référence au service que vous utilisez pour gérer l'identité numérique.

• Authentification unique (SSO) : Une seule connexion à un IdP géré de manière centralisée permet à un utilisateur d'accéder à toutes les applications liées sans avoir à ressaisir ses informations d'identification.

• Fournisseur de services (SP) – ChatGPT : L'application (c'est-à-dire ChatGPT) qui fait confiance au token de l'IDP et accorde à l'utilisateur l'accès.

Où puis-je configurer le SSO pour mon espace de travail Business ?

Dans les paramètres de votre espace de travail ChatGPT Business accessibles à l’adresse https://chatgpt.com/admin/identity accédez à l’onglet Identité et Provisionnement, où vous pouvez configurer les éléments suivants pour votre espace de travail :

1. Domaines vérifiés

2. Gestion des identités

Comment configurer la synchronisation d'annuaire pour le provisionnement et le déprovisionnement SCIM de mon espace de travail avec le forfait Business ?

Passez à ChatGPT Enterprise si vous avez besoin de la synchronisation des annuaires (SCIM).

Dois-je vérifier un domaine avant de pouvoir activer le SSO ?

Oui. La vérification du domaine prouve que vous possédez l'espace de noms de messagerie que vous prévoyez de fédérer avec votre fournisseur d'identité (IdP). La configuration du SSO est désactivée jusqu'à ce qu'au moins un domaine soit vérifié.

La vérification d'un domaine entraîne-t-elle des frais supplémentaires ?

Non, cela n'entraîne pas de frais supplémentaires. La vérification de domaine est incluse dans tous les abonnements ChatGPT Business.

Pourquoi le message « Domaine déjà vérifié par un autre espace de travail » s'affiche-t-il lorsque j'essaie d'activer le SSO ?

L'assistant Business génère des erreurs lorsque le domaine est déjà associé à un espace de travail Enterprise (ou à un autre espace de travail Business ou à une autre instance SSO de la plateforme API).

L’équipe informatique de votre entreprise peut contacter l’équipe commerciale d’OpenAI via notre formulaire « Contacter le service commercial » pour discuter d’une consolidation des espaces de travail. Consultez Comment contacter le service commercial d’OpenAI.

Puis-je inviter des prestataires ou des collaborateurs externes qui ne figurent pas dans mon IdP ?

Oui, vous pouvez autoriser les invitations de domaines externes afin d'inviter ces utilisateurs et des collaborateurs externes à rejoindre votre espace de travail ChatGPT Business.

Qu'advient-il de mes paramètres SSO si je mets ensuite à niveau cet espace de travail Business vers ChatGPT Enterprise ?

Pour passer à Enterprise, contactez l’équipe commerciale d’OpenAI via notre formulaire « Contacter le service commercial ». Consultez Comment contacter le service commercial d’OpenAI.

Que se passe-t-il si tous les utilisateurs s'authentifient via le SSO et que la connexion échoue — comment pouvons-nous rétablir l'accès ?

Dans ce cas, deux options s'offrent à vous :

1. L'administrateur de l'espace de travail Business contacte notre équipe d'assistance pour obtenir de l'aide afin de désactiver le SSO. L'administrateur doit disposer d'une méthode de connexion par mot de passe ou via un réseau social.

2. Si vous autorisez les domaines externes, vous pourriez créer un compte administrateur de type porte dérobée associé à un domaine externe, de sorte que l'obligation de SSO ne s'applique pas à ce compte. Utilisez ensuite cet utilisateur (qui doit s'authentifier avec un mot de passe ou via les réseaux sociaux) pour vous connecter en cas de verrouillage.

Puis-je combiner les connexions SSO et par mot de passe ?

Oui. Si votre espace de travail Business utilise le SSO uniquement pour ChatGPT, les utilisateurs qui doivent également accéder à la plateforme ou à Intercom peuvent simplement cliquer sur Mot de passe oublié pour définir un mot de passe standard et continuer à s'y connecter avec leur adresse e-mail et leur mot de passe.

Quels fournisseurs d'identité (IdP) sont pris en charge ?

ADP OpenID Connect, Auth0 SAML, CAS SAML, ClassLink SAML, Cloudflare SAML, CyberArk SAML, Duo SAML, Entra ID (Azure AD), Google SAML, JumpCloud SAML, Keycloak SAML, LastPass SAML, Login.gov OpenID Connect, Microsoft AD FS, miniOrange SAML, NetIQ SAML, Okta, OneLogin, Oracle, PingFederate, PingOne, Rippling, Salesforce, Shibboleth Generic SAML, Shibboleth, SimpleSAMLphp SAML, VMware Espace de travail One.

Les options « SAML personnalisé » ou « OIDC personnalisé » sont également disponibles dans l'assistant.

Le forfait ChatGPT Business permet-il d'avoir plusieurs domaines de messagerie vérifiés par espace de travail ?

Oui.

Un espace de travail associé à un forfait ChatGPT Business encore en période d'essai gratuit peut-il activer le SSO ou l'activation est-elle bloquée jusqu'à ce que le paiement soit encaissé ?

Il n'existe pas de parcours d'essai gratuit pour le forfait ChatGPT Business à l'heure actuelle. Les nouveaux espaces de travail doivent finaliser l'achat de la promo de lancement à 1 dollar avec un paiement encaissé avant de pouvoir activer le SSO.

Le SSO est-il entièrement inclus dans le prix du forfait ChatGPT Business à 30 dollars par utilisateur et par mois, ou y a-t-il des frais cachés (par exemple, des frais par connexion) que nous devons indiquer ?

Oui, Business-SSO ne fait l'objet d'aucun frais distinct au-delà du prix de base par siège du forfait Business. Le SSO est disponible sans frais supplémentaires.

Comment les certificats arrivant à expiration sont-ils gérés ?

Actuellement, il incombe aux administrateurs des espaces de travail Business et à leurs équipes informatiques correspondantes de renouveler les certificats. L'équipe d'assistance d'OpenAI est disponible pour vous aider si une action s'avère nécessaire, mais le renouvellement ou la rotation du certificat doit normalement être effectué(e) dans l'IdP du client.

Quelle est la marche à suivre recommandée si le seul propriétaire de l'espace de travail ayant configuré le SSO quitte l'entreprise avant d'avoir pu transmettre les accès ?

Le flux actuel bloque le départ : l'unique propriétaire de l'espace de travail doit transférer la propriété à un autre membre avant de pouvoir quitter l'espace de travail.

Si des utilisateurs se connectent d'abord avec un mot de passe, puis plus tard via le SSO (avec la même adresse e-mail), leurs conversations fusionnent-elles automatiquement ou des comptes en double sont-ils créés ?

Si l'assertion SSO renvoie la même adresse e-mail, ChatGPT associe la connexion au profil existant : l'historique des conversations reste intact et aucun compte en double n'est créé. Un nouveau compte (vide) n'est créé que si la réponse SSO fournit une adresse e-mail différente ; une fois cette correspondance corrigée, le compte d'origine de l'utilisateur (avec tout son historique) est toujours là.

Scénarios SSO et comportement attendu

L'organisation possède à la fois des espaces de travail Enterprise et Business sur le même domaine vérifié

Lorsque l'assistant de configuration de l'offre Business vérifiera le domaine, il indiquera simplement que le domaine est « déjà vérifié ». Cela n'indique pas à quel espace de travail (Enterprise ou autre) il appartient  : seulement qu'une autre personne a déjà finalisé la vérification.

Deux espaces de travail Business distincts partagent un même domaine

Un seul espace de travail Business peut détenir la vérification de domaine.

L’équipe informatique de votre entreprise peut contacter l’équipe commerciale d’OpenAI via notre formulaire « Contacter le service commercial » pour discuter d’une consolidation des espaces de travail. Consultez Comment contacter le service commercial d’OpenAI.

SSO de ChatGPT activé alors que le SSO de la plateforme est toujours désactivé

Le SSO de ChatGPT et celui de la plateforme API doivent être configurés dans leurs portails d'administration respectifs (ChatGPT et API).

Passage à une offre inférieure ou résiliation d'un espace de travail Business lorsque le SSO est activé

La solution ici est que chaque utilisateur devra utiliser la procédure de mot de passe oublié pour retrouver l'accès, car c'est la seule option possible.

Les utilisateurs gérés par SCIM sur Enterprise rejoignent un espace de travail Business

Ce scénario est à la fois possible et pris en charge. Le SCIM provisionne l'invitation d'origine dans l'organisation ou l'espace de travail configuré. Une fois que l'utilisateur existe dans le système OpenAI, rien ne l'empêche d'être invité à rejoindre d'autres espaces de travail Business/Enterprise. Ce comportement attendu ne changera pas avec le lancement du SSO en libre-service pour les forfaits Team.

Entreprises multi-domaines (par exemple, acme.com et acme-intl.com)

Les espaces de travail Business peuvent vérifier plusieurs domaines de messagerie. Ajoutez chaque domaine dans le même portail et finalisez la vérification pour chaque domaine que vous prévoyez d’utiliser avec le SSO.

Domaine déjà vérifié sur la plateforme, mais pas sur ChatGPT

L’équipe informatique de votre entreprise peut contacter l’équipe commerciale d’OpenAI via notre formulaire « Contacter le service commercial » pour discuter d’une consolidation des espaces de travail. Consultez Comment contacter le service commercial d’OpenAI.

L'administrateur part avant de terminer la vérification de domaine

Assurez-vous qu'un autre administrateur ou propriétaire de l'espace de travail peut effectuer la vérification du domaine.