Overzicht

Werkruimteblokkering is een functie waarmee ChatGPT Enterprise-klanten de toegang tot specifieke ChatGPT-werkruimten kunnen beperken, zodat gebruikers kunnen inloggen en binnen de toegestane werkruimten kunnen werken. Deze functie zorgt ervoor dat gebruikers binnen uw organisatie alleen toegang hebben tot specifieke, goedgekeurde werkruimten.

Hoe het werkt

• Aangepaste header instellen: U configureert welke werkruimten zijn toegestaan door een aangepaste HTTP-header, ChatGPT-Allowed-Workspace-Id, toe te voegen aan uw netwerkconfiguratie. Deze header bevat een of meer werkruimte-ID's (UUID's) waarmee wordt aangegeven tot welke werkruimten gebruikers toegang hebben.

• ChatGPT filtert de toegang:

  • Wanneer een gebruiker inlogt bij ChatGPT Enterprise, controleert het systeem of de werkruimte waartoe de gebruiker toegang probeert te krijgen, overeenkomt met een van de werkruimte-UUID's in de header ChatGPT-Allowed-Workspace-Id.

  • Als de gebruiker toegang probeert te krijgen tot een werkruimte die niet in de header staat, filtert ChatGPT deze aanvraag automatisch en blokkeert het de toegang tot die werkruimte. Zolang een gebruiker toegang heeft tot ten minste één werkruimte, gebeurt het filteren ongemerkt. Als de gebruiker na het filteren uiteindelijk tot geen enkele werkruimte toegang heeft, ontvangt de gebruiker een 403 Forbidden-fout.

  • Alleen de werkruimten die in de header staan, zijn toegankelijk; alle andere werkruimten (inclusief persoonlijke werkruimten) worden door het systeem weggefilterd.

• Ondersteuning voor meerdere werkruimten: Als uw organisatie toegang tot meer dan één werkruimte moet toestaan, kunt u meerdere werkruimte-UUID's in de header opnemen, gescheiden door komma's zonder spatie ertussen.

Configuratie

Stap 1: Zoek de werkruimte-ID

Om toegang tot specifieke werkruimten toe te staan, heb je de UUID van elke toegestane werkruimte nodig. Je vindt deze UUID in de beheerdersinstellingen van ChatGPT:

• Log in op je ChatGPT Enterprise-beheerdersaccount.

• Ga naar de pagina Beheerdersinstellingen.

• Zoek de werkruimte-ID (UUID) van elke werkruimte waartoe je toegang wilt toestaan.

Voorbeeld van een werkruimte-UUID: 437adf77-4085-4b22-b7b1-de7b6f5ec6c0

Stap 2: Werk samen met SASE-leveranciers

Voor bedrijfsbrede implementaties kunnen organisaties samenwerken met hun Secure Access Service Edge-partners (SASE). Deze partners kunnen het blokkeren van werkruimten op netwerkniveau afdwingen.

Stap 3: Configureer de netwerkmaatregelen

• Sta meerdere werkruimten toe (indien nodig): Voer de werkruimte-UUID's in, gescheiden door komma's, om toegang tot meerdere werkruimten toe te staan.

• Geef aan voor welke URL de header geldt:

  • Zorg ervoor dat de header wordt toegepast op de URL van ChatGPT. Stel het URL-filter zo in dat het alleen wordt toegepast op verzoeken aan https://chatgpt.com/*

Stap 4: Handel fouten af

• Fout 403 Forbidden: Als een gebruiker een werkruimte probeert te openen en er na het filteren geen werkruimten beschikbaar zijn, krijgt diegene de foutmelding 403 Forbidden te zien, met de melding dat toegang tot de werkruimte niet is toegestaan.

• Fout 400 Bad Request: Als de headerwaarde ongeldig is (bijvoorbeeld door een onjuiste werkruimte-UUID), mislukken alle verzoeken met die header met de foutmelding 400 Bad Request.

Stap 5: Anoniem (uitgelogd) gebruik van ChatGPT blokkeren

ChatGPT kan ook helemaal zonder account of werkruimte worden gebruikt. Wij noemen dit onze anonieme variant, oftewel de variant voor uitgelogde gebruikers. Om dit type gebruik effectief te blokkeren, werk je samen met je SASE-leverancier om de toegang te blokkeren tot URL's die beginnen met https://chatgpt.com/backend-anon/. Je kunt ook met dezelfde browserconfiguratie waarmee je headers hebt toegevoegd, URL's met dat voorvoegsel blokkeren.

Stap 6: Houd rekening met de compatibiliteit van de desktop- en mobiele apps van ChatGPT

De desktop- en mobiele apps van ChatGPT maken gebruik van certificaatpinning. Dit beperkt welke servercertificaten een client accepteert en biedt zo extra bescherming tegen geavanceerde onderscheppingsaanvallen (MiTM) waarbij een geldig certificaat is gecompromitteerd. De pinningcontrole vindt plaats nadat het servercertificaat al is gevalideerd aan de hand van vertrouwde rootcertificaten.

Om de desktop- en mobiele apps van ChatGPT goed te laten werken wanneer SSL-inspectie is ingeschakeld (vereist voor de bovenstaande netwerkmaatregelen), moet je je eigen certificaten toevoegen aan de pinlijst en ze via MDM naar clients distribueren. Bekijk hier de gedetailleerde instructies: https://docsend.com/view/rrk4mx9aashcekp7

Veelgestelde vragen

Werkt het blokkeren van werkruimten ook in de apps voor iOS, macOS en Android?

Het blokkeren van werkruimten via netwerkheaderinjectie kan worden afgedwongen in ChatGPT-apps op beheerde apparaten waarop via MDM uitzonderingen voor certificaatpinning zijn uitgerold, zoals hierboven beschreven.

Als een organisatie wil voorkomen dat gebruikers via de iOS-, macOS- en Android-apps toegang krijgen tot ChatGPT (ook met persoonlijke accounts), kan ze haar netwerkfirewall, proxy of SASE-dienst zo configureren dat de toegang tot de volgende domeinen wordt geblokkeerd:

• Android-app: android.chat.openai.com

• Webapp voor desktop: desktop.chatgpt.com

• iOS-app: ios.chat.openai.com

Let op: door de toegang tot bovenstaande domeinen te blokkeren, blokkeer je al het verkeer naar de apps. Daardoor kan niemand meer via deze platforms toegang krijgen tot ChatGPT, ongeacht of ze een persoonlijk account of een Enterprise-account gebruiken.