3行でいうと

  • 管理の入口は2つあります。ワークスペースの設定（chatgpt.com/admin、画面では Workspace settings）と、組織全体を扱う Admin Console（admin.openai.com）です。SSO、ドメイン、SCIMは後者の Global settings にあります。
  • 順番が大事です。公式のクイックスタートは、役割と席の整理、ドメイン確認、SSOとSCIM、グループと権限、設定、アプリ、Work・エージェント・Codexの有効化、セキュリティと監査、利用状況の確認、の順を勧めています。自動アカウント作成は、SCIMを使うなら先に止めるよう警告されています。
  • プランで使える範囲が違います。公式では、Compliance Platform は Enterprise と Edu、SCIMは Enterprise にあり（Edu の明記は確認できず）、独立した Business にはSCIMがない、と読めます。Business の SSO はワークスペースのオーナーが設定します。
  • データの保持、監査ログ、IPアドレスの制限は、公式の記載が部分的です。チャットの保持日数を設定する画面の場所は、読んだ範囲では確認できていません。

この記事は、公式ドキュメントを2026年10月24日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。運営者はChatGPTを入れていますが、使い心地はこの記事には書いていません。画面の項目名、手順、CSVの書き方は、公式の記載を写したもので、動作確認はしていません。公式の文章は要約の形で取得したため、長い引用はせず言い換えています。契約、規約、法令への適合の判断は、助言ではありません。専門家と、OpenAIの担当に確認してください。

先に結論

前提：用語をそろえる

どのプランで何が使えるか

公式ページに書かれていた範囲で表にします（確認日2026-10-24）。空欄は「読んだ範囲では確認できなかった」の意味です。

項目 Business Enterprise Edu 根拠のページ
SSO ワークスペースのオーナーが設定（SAMLまたはOIDC） Global admin が Admin Console で設定 同左 SSO setup、Business SSO
SCIM 独立した Business にはない あり 同ページに Edu の明記は確認できなかった SCIM provisioning
カスタムロール（RBAC） 読んだ範囲では記載なし あり あり RBACのページ
グループ 同期グループはない（Business SSOのページ） あり（グループ管理者は Enterprise のみ） あり Groups、Business SSO
Compliance Platform 対象に挙がっていない あり あり Compliance Platform
IPアドレスの制限 あり あり IP allowlisting
Admin key あり あり Admin keys
席の種類 Standard と Premium ChatGPT と Codex 各メンバー管理のページ

RBACのページは、Enterprise、Edu、Healthcare、Teachers を対象に挙げています。Admin keyのページは、Enterprise、Edu、Healthcare の管理されたワークスペースが対象です。

管理画面の場所

公式の複数のページから、場所を整理します。

場所 何をするか 公式の書き方
Workspace settings（chatgpt.com/admin） メンバー、グループ、Permissions & roles、Models、Identity & access など ワークスペース設定のページ
Admin Console（admin.openai.com） テナント全体と、各ワークスペース、Plugins、Billing など Admin Consoleのページ
Global settings > Access > Domains ドメインの確認 ドメイン確認のページ
Global settings > Access > Directory テナント全体のSCIM SCIMのページ
Global settings > Security > Audit logs テナントの管理操作の記録 Admin Consoleのページ
Workspace settings > Identity & access ワークスペース単位のSSOやSCIM、IPの制限、既定の席の種類 SSO、SCIM、IPのページ

Enterprise と Edu では、Workspace settings を選ぶと Admin Console が開くことがある、と書かれています。Admin Consoleを開けることと管理者であることは別で、テナントの Member は読むだけの役割で、ChatGPTのワークスペースの役割とも別です。

メンバー、役割、席

内蔵の役割

Enterprise と Edu のメンバー管理のページの表を整理します。

役割 できること（公式の整理）
Member ふつうのチャット、ワークスペースのユーザーとグループの閲覧、GPTの作成。管理の権限はない
Analytics viewer Member に加えて、ワークスペースの分析を見られる
Admin 招待、招待の取り消し、メンバーの削除、グループの管理、請求のプラン情報の閲覧、アプリの閲覧と管理
Owner Admin に加えて、AdminやOwnerの招待、役割の変更、請求書の閲覧、Identity & Provisioning と設定の管理、GPTの設定の管理

役割は、席の種類、プラン、機能の対象かどうかを上書きしません。

Business は、Owner、Admin、Member、Analytics Viewer の4つです。Business の Admin は、設定、アプリ、利用の上限を見て管理でき、自分より下の役割のメンバーを削除できますが、役割と席の種類は変えられない、と書かれています。

席の種類

招待のしかた

Enterprise では、Workspace settings > Members > Invite member から、メールか、CSVで招待します。CSVの1行目は次の形です。

email,role,seat type
user1@company.com,member,Codex
admin@company.com,admin,Codex

公式の例は上のとおりで、値の大文字小文字は区別されません。役割は owner、admin、member、analytics_viewer、席の種類は ChatGPT と Codex です。役割が空、または認識できない、またはアップロードした人に付けられない役割のときは、Member として追加されます。AdminとOwnerを招待できるのはオーナーだけです。

メンバーを外すとき

Business のワークスペース探索と、自動の参加承認

Businessのメンバー管理のページによると、Workspace settings > Identity & access の User provisioning に、「Enable workspace discovery」「Automatically accept join requests」「Discoverable name」があります。「Workspace discovery is on by default for ChatGPT Business」と書かれています。承認を自動にしても席は確保されない、招待しても席は確保されず、受け入れる時点で空きを確かめる、とも書かれています。さらに、オーナーが、メンバーによる別のメンバーの招待を止めることは、いまはできない、と書かれています。

設定の順番：ドメイン確認、SSO、SCIM

1. ドメイン確認

Admin Console の Global settings > Access > Domains で、ドメインを追加します。画面が示すDNSのTXTレコードを、ドメインの公開DNSに登録し、Check Domain を押して、Verified を確かめます。公式の注意は次のとおりです。

2. 自動アカウント作成を、先に確かめる

ドメイン確認のあとにいちばん効くのが、自動アカウント作成です。公式は次のように書いています。

3. SSOの設定

Enterprise と Edu では、Admin Console の Access > Single Sign-On (SSO) で Set up SSO を選び、案内に従います。選べるのは Okta、Entra、Custom SAML（あれば Custom OIDC）です。公式が書いている条件は次のとおりです。

項目 公式の記載
メールの属性 必須。1つの安定した主メールで、OpenAIで使っているアカウントと同じものにする
氏名の属性 任意だが推奨
SAMLの応答 暗号化しない。期待するX.509証明書で署名する。OpenAIは暗号化されたSAMLを復号しない
別名のメールや複数のメールの申告 別のアカウントに結び付くと、既存のアカウントやチャット履歴が見えなくなったように見えることがある
サインインの方針（製品ごと） Required、Optional、Off
Allow External Domain Invites オフにしても、新しい招待を限るだけで、すでにいるゲストや保留中の招待は外れない
メタデータの渡し方 IdPがメタデータURLを出すならそれを入力する。なければ、IdPのSSO URL、発行者（issuer）、X.509の署名証明書を手で入力する
Required が効く相手 方針を持つ確認済みドメインのメールのメンバー。ほかのドメインから招かれたゲストは、ほかの許された方法で入れることがある

設定のしかたの注意です。

管理者が締め出されないための手順（公式）。 1. 通常のブラウザで、管理者のセッションを開いたままにする。 2. プライベートウィンドウで、IdPのサインインを試す。 3. 確かめている間は、SSOを Optional にしておく（選べる場合）。 4. Required や Off にする前、接続を変える前、証明書を替える前に、別の管理者か、承認された復旧の手段があるかを確かめる。 5. 管理者に戻れなくなったら、OpenAIのサポートに連絡する。

Admin Console 自体のSSOの方針は別に持てて、公式は、Required にする前に、少なくとも1人のGlobal adminを守るよう書いています。

Business の場合。 ワークスペースのオーナーが、Workspace settings > Identity & access > Identity & provisioning で、Verified Domains にドメインを追加して確認し、Single Sign-On (SSO) の Set up SSO で SAML か OIDC を選びます。手順の最後に、IdPのメールで、メンバーを招待します。画面が読み取り専用で Cloud Console と出たら、Global admin が共有の接続を管理しているので、2つ目の接続を作らない、と書かれています。署名の証明書は、期限の前に更新するよう書かれています。

4. SCIM

SCIMは、SSOがなくても設定できます。公式の手順は次のとおりです。

先に決めておくこと。 Enterprise と Edu のメンバー管理のページは、SCIMを使うなら、プロビジョニングの前に既定の席の種類（Workspace settings > Identity & Access）を決めるよう書いています。SCIMで新しく作られたユーザーは、その既定を引き継ぐためです。席の費用に直結します。また、すでにワークスペースにいるメンバーが同期グループに入っても、役割と席の種類は変わりません。

テナント全体（Admin Console、Global admin） 1. Global settings > Access > Directory を開く。 2. Enable Directory Sync (SCIM) を選ぶ。 3. テナントの値で、IdPのアプリを設定する。 4. 試しに、1つか2つのグループかユーザーを割り当てる。 5. 接続が Active になるのを確かめる（最大5分かかることがある）。

ワークスペース単位。 Workspace settings > Identity & access の Directory Sync (SCIM) で Enable Directory Sync を選びます。

対応するIdPは、Okta、Microsoft Entra ID、Google Workspace、PingFederate、OneLogin、Rippling です。

グループに製品のアクセスを割り当てる。 Global settings > Users & groups > SCIM Groups で、グループを選び、Configure access（または Product access の既存の割り当て）から、ワークスペースなどを選んで Save します。ChatGPTのワークスペースには、メンバーのいないグループに招待が出て、役割は Member です。ワークスペースのオーナーの役割やカスタムロールは、この画面からは割り当てられません。

公式の警告です。

独立した Business と Teachers にはSCIMがないと書かれています。Business のワークスペースが、テナント全体のSCIMに加われるのは、テナントに Enterprise のワークスペースもあり、Business が Product access で選べるときだけです。

既存のアカウントを持つ人を招くとき

Enterprise と Edu で、確認済みのドメインのメールを招くとき、同じメールの個人のワークスペースを持つ人には、移行の手順が出ることがあります。公式が書いている点です。

グループと権限（RBAC）

グループ

グループは、メンバーをまとめ、GPT、プロジェクト、アプリを共有し、カスタムロールを割り当てる単位です。手作業のグループは、Admin Console で、ワークスペースを選び、Members, groups & roles > Groups > Create group から作ります（Workspace settings > Groups からも行けます）。1つのワークスペースに最大10,000グループ、1グループのユーザー数に上限はない、と書かれています。メンバーが、グループへの参加を申請することはできません。

SCIMのグループは、メンバーをIdPで管理し、ワークスペースの側では編集も削除もできません。April 9, 2026のリリースノートには、「Discoverable by workspace users」の設定（既定でオン）が、SCIMグループが共有の画面に出るかを決める、と書かれています。オフにすると、SCIMグループは共有の画面に出なくなり、すでに共有されているグループは、そのプロジェクトやGPTが次に更新されたときに共有リストから外れます（それまでは外れません）。

グループ管理者（Enterprise のみ）。 内蔵の役割や席を変えずに、1つのグループの一部の管理を任せられます。委任できるのは、View group analytics、Manage spend controls、Manage model access and defaults、Edit permissions on assigned roles の4つです。最後のものは、オーナーだけが切り替えられます。グループ管理者は、グループやカスタムロールの作成と削除、役割の割り当て、管理者の任命はできません。

カスタムロールの考え方

RBACのページによると、権限の状態は3つです。

状態 意味
Default ワークスペースの設定を引き継ぐ
On その役割で許可する
Off その役割では拒否する。ただし、ほかの割り当てられた役割が許可すれば、許可は残る

Lockdown Mode は、役割に付ける安全の設定で、役割が許可していても、ネットワークにつながる機能を制限できます。割り当てる前に、その役割が許すアプリと動作を確かめる、と書かれています。

ワークスペースの設定：先に見ておく項目

Enterprise の「Managing workspace settings」から、管理者が見る項目をまとめます。

項目 公式の説明
General の AI policy modal オーナーと管理者が、組織のAIの方針を書ける。メンバーには30日ごとと、内容が変わったときに表示される
Permissions & roles の機能アクセス モデル、GPTの作成と共有、Canvas、プロジェクト、リンクの共有、Work Local と Work Cloud
メモリ 役割ごとに設定。「Use shared memory」が親で、その下に「Use improved memory」
予定されたタスク イベント起動のものは、Enterprise、Edu、Healthcare で既定でオフ
Models 管理者の既定のモデルと推論のレベル、Fast Mode。始まりの既定値で、使えないモデルは使えるようにならない
共有 「Share chats and scheduled tasks in the workspace」で、チャットと予定されたタスクの共有を止められる（Enterprise と Edu）

注意点です。共有のページは、この共有の許可をオフにしたとき、すでにあるリンクが無効になるかは書いていません（読んだ範囲では確認できず）。Business は、共有リンクを、ワークスペース全体で止める設定がない、と書かれています。規制のある環境（Healthcare や、規制のあるワークスペース）では、改善されたメモリは既定でオフで、BAAの対象外です。

データの管理と保持

学習への利用と暗号化

公式の「Enterprise privacy」（2026年1月8日更新と表示）は、Business、Enterprise、Healthcare、Edu、Teachers、APIのビジネスのデータは、既定ではモデルの学習に使われない、と書いています。接続したアプリのデータも既定では学習に使われません。フィードバックなどで、自分から共有したデータは別です。暗号化は、保存時にAES-256、転送時にTLS 1.2以上です。SOC 2 Type 2 は、Business、Enterprise、Edu、Healthcare、API Platformについて書かれています。

保持：わかっていること

保持：わからなかったこと

「Enterprise のオーナーが保持の方針を設定できる」と書かれていますが、その設定画面の名前や場所を示すページは、僕らは読めていません。取得した「Managing workspace settings」には、保持の項目がありませんでした。Business と Edu の保持の選択肢も、確認できていません。設定する前に、公式か担当に、画面の場所と選べる期間を確かめてください。

メンバーを外したとき

公式の「Data retention when a member is removed from a workspace」によると、外されたメンバーは、すぐにワークスペースへ入れなくなります。

管理者は、メンバーのチャットを読めるのか

ここは、公式のページで書き方が違う箇所です。

ページ 書かれていること
Managing data, sharing, and privacy in ChatGPT Business 管理者は、すべてのメンバーのチャットを読めない。チャットは、本人が共有しない限り本人のもの。オーナーは Members の「…」から Export data を選べる（ある場合）
Admin controls for plugins and apps Business の管理者は、メンバーの非公開の会話に自動ではアクセスできない
Enterprise privacy Business の管理者は、ユーザーの会話を見て、アクセスし、書き出し、削除できる、と書かれている
Data access for your managed ChatGPT account 管理者は、アカウントに紐づくデータを、アクセス、書き出し、監査、保持、削除できる。Enterpriseでは、機微な権限の鍵を作れるのはオーナーだけ

僕らの見立てです。どの仕組みで、どの範囲まで見られるのかは、ページごとに書き方が違うので、会社のポリシーや従業員への説明に書く前に、OpenAIの担当に、画面と権限を確かめるのが安全です。また、管理されたアカウントでは、OpenAIの利用規約とプライバシーポリシーは、サインインしている間は適用されず、組織の契約が適用される、と書かれています。従業員に伝える内容の材料になります。

監査：ログとCompliance Platform

3つの層

層 見るもの 誰が 根拠のページ
Admin Console の Audit logs テナントの管理操作（Global settings > Security > Audit logs）。ワークスペースの監査ログは別で、オーナーか管理者 Global admin、オーナー、管理者 Admin Console
Compliance Logs Platform 追記のみで消せない形のログ。会話のメッセージ（ロックされたチャットを含む）、監査ログ、認証ログ、アプリのログ Admin keyを持つ連携先 Compliance Platform
Stateful Compliance API 呼び出した時点のワークスペースの状態。ログに出てくるデータの突き合わせ用 同上 同上

使うための手順

  1. ワークスペースのオーナーか管理者が、Admin Console で、ワークスペースを選び、Credentials > Admin keys で鍵を作ります。作るときは、名前、期限、権限を決めて、出てきたシークレットはすぐ控えます。あとからは見られません。
  2. オーナーは All、Read only、Custom を選べます。管理者は Custom だけです。
  3. 会話のメッセージの権限、広い監査の権限、Roles and permissions は、オーナーだけが付けられます。認証ログやアプリのログなど、個別のカテゴリは、管理者にも付けられます。
  4. 期限は、Never、30日、60日、90日、または1〜365日です。作ったあとに期限は変えられません。 オーナーの鍵は、All と Never が初期値になっていることがあるので、確かめるよう書かれています。
  5. ローテーションの機能は書かれていません。新しい鍵を作り、連携を更新して、古い鍵を取り消します。
  6. 鍵は、1つの連携ごとに分け、シークレットの管理サービスに保管します。メールやチャット、サポートへの依頼には貼りません。

管理用APIの基底は https://api.chatgpt.com/v1 と書かれています。例のパスは /manage/workspaces/{workspace_id}/users です。/v1/organization/ の下は、API Platformの別の鍵です。

落とし穴（公式の記載）

IPアドレスの制限

Workspace settings > Identity & access > Access Restrictions で、ワークスペースと、Compliance API のそれぞれに、IPアドレスか範囲を追加し、「Activate IP Allowlist」をオンにします。変更できるのはオーナーと管理者で、反映には5〜15分かかります。既定ではオフです。許可リストにないIPからの要求は、資格情報が正しくても止まります。自分が締め出されたときは、オーナーか管理者、または許可されたIPの別の人がオフにできます。Compliance API の鍵の分は、常に適用されて、オフにできません。

アプリとプラグインの許可管理

前のガイド（05）に、利用者の側から見た許可を書きました。ここでは、管理者の側です。公式の「Admin controls, security, and compliance for plugins and apps」を読みました。

項目 Business Enterprise と Edu
新しいワークスペースの既定 アプリは既定で有効 選ばれたアプリだけが有効。新しいプラグインとアプリは無効
Google Drive の統合された動作 既定でオン 管理者が有効にするまでオフ
管理の場所 Admin Console > Plugins 同左
役割ごとの制御 Workspace settings > Permissions & roles > Custom roles の Plugins & connected data

プラグインの入れ方。 「Available」（入れられる）と「Installed」（既定で入る）があります。最大25個を一括で変更でき、Available for installation、Installed for workspace、Customize by role、Disable から選びます。アプリを止めても、プラグイン自体は消えず、アプリを使わないスキルだけの機能は残ります。

アクセス、動作、許可は別の層。 - 役割のアクセス：誰が使えるか。 - 動作（Actions）：Read actions と Write actions。新しい動作は、Enable all new actions、Only enable new read actions、Disable new actions から選びます（将来の分だけに効く）。 - 許可（Permissions）：ChatGPTが聞くタイミング。Always ask、Allow read actions、Allow low-risk actions、Allow all actions。公式は、Allow all actions は最も高いリスクで、個別のアプリのみ、標準のワークスペース全体の選択肢には出ない、と書いています。 - 許可の設定は、動作の制御、提供元の認可、ワークスペースの制限、安全の保護を上書きしません。提供元の承認、OAuthのスコープ、ChatGPTの動作の設定は、別々の確認です。

ドメインと内容の制限（Enterprise）。 - 確認済みドメインによる制限は、OpenAIのサポートに有効にしてもらう必要があります。制限のあるドメインのアカウントから、ワークスペースが許可されていない新しい接続を止めますが、既存の接続は切りません。 - アプリごとの Manage domains は、許可するメールのドメインを足す設定です。リストが空だと、すべてのドメインを許すと書かれています。 - Safety & Security Controls は、Enterprise の、有効にされた場合です。Google Drive は共有ドライブ単位で許可かブロック（フォルダ、ファイル、ラベルでの除外はない）、SharePoint はサイトのコレクション単位とラベルの除外、Teams は Microsoft 365 のグループIDでの許可かブロック（1対1、グループ、会議のチャットは止めない）、Outlook Email は感度ラベルのGUIDでの除外（添付の中のラベルは見ない）。保存したあと、許可した項目と制限した項目の両方で試すよう書かれています。 - Microsoft の権限は、Microsoft Entra の管理者が承認します。承認だけでは、動作は有効になりません。管理者が別に有効にします。 - カスタムのMCPアプリは、OpenAIの確認を受けたものではなく、信頼できるものだけを追加する、と書かれています。

ログ。 Compliance Platform には、アプリの要求と応答（ある場合）と、接続と切断の記録が入ります。ただし、アプリごとに書き出される範囲を、頼る前に確かめるよう書かれています。

変更が続いている点（リリースノート）。 - 2026年10月16日：管理者が管理する同期のコネクタが廃止されました。External access のページに、組織の既定とアプリごとの許可が加わり、既存の方針は維持されます。 - 2026年10月8日：RBACを使うと、プラグインの利用を役割ごとに Available、Install、Disabled にできます。 - 2026年9月24日：Sites が接続したアプリを使えるか、アプリが Ads にアクセスできるかを、Global admin が制御できます（管理者向けのプレビュー中で、既定はオフ）。 - 2026年9月3日：Zendesk と OneNote のプラグインが [Beta] と表示されました。

2026年8月10日のリリースノートは「管理者が管理する同期は影響を受けない」と書いていますが、10月16日の記載では、管理者が管理する同期も廃止になっています。新しいほうを書きました。

最初の10分でやること（公式の順序に沿う）

公式の「ChatGPT Enterprise admin quickstart」の項目に沿った、確認の順番です。設定する前に、読むだけで済む作業です。

  1. オーナーは誰か、管理者は誰か、Codexを使う人は誰かを書き出す。
  2. 使うIdP、確認するドメイン、SCIMを使うか、グループをどう分けるかを決める。
  3. 自動アカウント作成が、ワークスペースでオンになっていないかを見る。SCIMを使うなら、先にオフにする。
  4. 「Permissions & roles」で、既定の役割に何が許されているか、Work Local と Work Cloud の許可を見る。
  5. 「Models」で、始まりのモデルと Fast Mode を見る。
  6. アプリの画面で、有効になっているアプリと、書き込みの動作を見る。
  7. 監査に必要なログとIPの制限を使うなら、ユーザーが機微なデータを入れる前に決める。

最初の1週間のやること（僕らの整理です）

ここからは、公式の記載を読んだうえでの僕らの整理で、見立てです。

順番 やること 理由（公式の記載）
1 別の管理者を1人、必ず用意する SSOを Required にする前に、復旧の手段が要る
2 少人数のグループで、SSOをOptionalで試す プライベートウィンドウで確かめる手順がある
3 既存のアカウントを持つ人に、事前に連絡する 移行の画面で、統合かデータの削除かを選ぶ。戻せない
4 SCIMは、パイロットのグループから始める。始める前に、既定の席の種類を決める 多くのIdPで同期は30〜40分ごと、OpenAIの側に即時同期の一般的な方法がない。SCIMの新規ユーザーは既定の席を引き継ぐ
5 カスタムロールは、役割を分けて作る 1つの役割の編集が、すべてのグループに効く
6 Admin keyは、連携ごとに期限つきで作る 期限は、作ったあとに変えられない
7 ログを自分の側に保管する計画を立てる Compliance Logs Platform の保持は30日

気をつけること

出典