2026 年 8 月 27 日，OpenAI 面向符合条件的 ChatGPT Enterprise 与 Edu 客户推出管理控制台中的集中身份管理能力。管理员可以在租户层统一管理成员、用户组、角色、权限及常规设置，并通过一套租户级 SCIM 配置同步用户和用户组，再将用户组分配给受支持的 ChatGPT 工作区或 Ads 账户。现有工作区级 SCIM 仍受支持，这意味着企业获得了迁移窗口，而不是必须立即推倒重来。[1][2] citeturn1search1turn1search2
集中身份管理解决的不是登录，而是治理边界
过去按工作区分别配置 SCIM 时，总部、地区公司和业务团队可能各自维护连接、成员与权限规则。同一员工被加入多个工作区后，容易出现账号重复、离职回收不一致、跨部门调岗后权限残留等问题。租户级 SCIM 的核心价值，是让身份数据只同步一次，再由统一的用户组承担工作区分配，降低多套配置之间的漂移风险。
但企业不应把“集中同步”误解成“权限自动正确”。SCIM主要处理身份生命周期和用户组成员关系；用户进入哪个工作区、在工作区中承担什么角色、可以使用哪些功能，仍需由角色权限和工作区策略共同决定。更合理的模型是：身份提供商负责人员事实，租户控制台负责资源分配，各工作区负责本地业务授权。
先建立三层对象模型
第一层是企业身份源，例如 Microsoft Entra ID、Okta 或其他支持 SCIM 的身份提供商。员工入职、调岗、停职和离职状态应以这里为准。第二层是租户级用户组，用于表达稳定的业务属性，如地区、部门、岗位等级或数据敏感级别。第三层才是 ChatGPT 工作区角色与功能权限，用来决定成员能够管理什么、使用什么。
不要直接按照每个工作区创建大量一次性用户组。企业可以采用“组织属性组”和“资源授权组”分离的方式：前者如“华东区财务正式员工”，后者如“允许进入财务分析工作区”。通过身份治理流程把前者映射到后者，既保留组织结构，也避免工作区名称成为人事系统中的长期技术债务。
SCIM 与角色权限要解耦
租户级 SCIM 适合自动完成用户创建、停用、属性更新和用户组同步，但高权限角色不宜仅凭普通用户组自动授予。租户管理员、工作区所有者以及能够修改安全设置的角色，应进入单独的特权访问流程，要求审批、限定人数、定期复核，并尽量避免使用覆盖范围过大的部门组。
- 普通成员：可通过岗位或部门授权组自动分配。
- 专业功能权限：按照真实业务需要设置，避免所有成员默认拥有全部能力。
- 工作区管理员：使用独立授权组，并由业务负责人和安全团队共同审批。
- 租户级管理员：保持最小数量，不与普通成员组嵌套，建立紧急账号和使用记录。
还要特别检查“移出用户组”与“停用账号”的差别。员工调岗时，通常只需收回旧工作区授权并增加新工作区授权；员工离职时，则应在身份源中停用主体，使其无法继续访问所有关联工作区。若把两类事件都当作删除账号处理，可能影响审计关联和历史调查。
多工作区账号治理的关键规则
集中管理后，同一企业身份可能进入多个工作区，但每个工作区仍应有明确的数据边界和责任人。企业应建立工作区目录，记录用途、负责人、成员范围、允许处理的数据级别、可用功能以及复核周期。对于测试工作区、项目型工作区和外部协作场景，还应设置到期日期，避免项目结束后账号长期保留。
建议把多工作区治理落实为四条规则：一个员工只保留一个受管企业身份；工作区准入必须来自可追溯的授权组；重复或冲突角色按最小权限原则处理；任何例外授权都必须有负责人、原因和失效日期。这样可以减少管理员直接添加个人账号造成的“旁路授权”。
从工作区级 SCIM 迁移时不要一次性切换
由于现有工作区级 SCIM 配置仍受支持，企业可以分阶段迁移。第一阶段盘点所有工作区、SCIM 连接、用户组、直接成员和管理员；第二阶段建立租户级测试组，仅选择低风险工作区验证创建、更新、调岗和离职流程；第三阶段对比身份源、租户控制台和工作区成员清单，处理重复身份与孤立账号；最后再逐批迁移生产工作区并停用旧连接。更新记录交叉核验记录 citeturn1search1turn1search2
- 先导出旧配置和成员清单，保留可回滚依据。
- 为测试用户设计入职、跨部门调岗、离职和重新入职场景。
- 确认用户组移除后，工作区访问是否按预期收回。
- 检查直接添加成员和手工管理员角色是否绕过 SCIM。
- 迁移稳定后再撤销旧 SCIM 凭据，避免双重写入。
总结
ChatGPT Enterprise 的集中身份管理，把治理重心从“每个工作区分别维护账号”转向“租户统一同步身份、用户组分配资源、工作区控制业务权限”。真正有效的落地方式不是简单复制旧 SCIM 规则，而是重新梳理身份源、授权组、角色和工作区之间的边界。企业应优先统一人员生命周期，再治理高权限角色，最后逐步收敛历史工作区配置，从而兼顾自动化、最小权限与可审计性。
事件或资料日期：2026 年 8 月 27 日。集中身份管理更新内容参考 OpenAI 更新信息汇总[1] 与 Releasebot 的 OpenAI 更新记录[2]，两处均记录了租户级 SCIM、用户组分配、角色权限管理以及兼容现有工作区级 SCIM 等信息。citeturn1search1turn1search2
