OpenAI Ads Manager separa identità, accesso al tenant e permessi sull’account pubblicitario. È una distinzione essenziale per evitare due errori frequenti: considerare SSO o SCIM come una concessione automatica di accesso e confondere i ruoli di ChatGPT o API con i ruoli Ads.
Per usare Ads Manager, una persona deve soddisfare entrambe queste condizioni:
- avere un metodo di sign-in consentito per il tenant e per Ads;
- avere il ruolo corretto nell’account pubblicitario che deve aprire.
La presenza nel tenant OpenAI, l’autenticazione tramite SSO o la sincronizzazione tramite SCIM non assegnano automaticamente un ruolo in un ad account. Analogamente, un invito a un workspace ChatGPT o a un’organizzazione API non attribuisce permessi Ads.
I due livelli di autorizzazione
Il modello può essere letto su due piani distinti.
| Livello | A cosa serve | Cosa non garantisce da solo |
|---|---|---|
| Tenant OpenAI | Gestisce identità, dominio, provider di identità, policy di accesso e ruoli amministrativi di ambito tenant. | L’accesso automatico a tutti gli account pubblicitari esistenti. |
| Account pubblicitario | Determina cosa una persona può vedere, modificare o amministrare in quello specifico account Ads. | La possibilità di accedere a un altro ad account nello stesso tenant. |
In pratica, un utente può essere presente nella directory aziendale e autenticarsi correttamente, ma ricevere comunque un errore o non vedere un account Ads se non gli è stato assegnato un ruolo su quell’account.
Ruoli a livello tenant: Global Admin e Ads Admin
I ruoli tenant non sostituiscono i ruoli dell’account pubblicitario.
Global Admin
Il Global Admin opera sull’amministrazione generale del tenant. Può gestire, nei limiti delle funzionalità disponibili, domini verificati, connessioni con identity provider, impostazioni di identità e policy di accesso. La documentazione OpenAI indica inoltre che può creare account pubblicitari idonei.
Non è però automaticamente proprietario né amministratore di ogni workspace ChatGPT, organizzazione API o account Ads del tenant. Per operare su un account pubblicitario già esistente serve comunque un ruolo assegnato a quell’account.
Ads Admin
L’Ads Admin è un ruolo tenant dedicato alla creazione di account pubblicitari idonei. Non gestisce automaticamente le impostazioni di identità dell’intero tenant e non riceve in automatico accesso agli account pubblicitari già esistenti.
Questo ruolo è utile quando l’azienda vuole separare la gestione dell’identità aziendale dalla facoltà di creare nuove risorse Ads. Una stessa persona può avere sia un ruolo tenant sia un ruolo su uno o più ad account, ma le assegnazioni restano distinte.
Ruoli nell’account pubblicitario: Admin, Member e Viewer
L’accesso operativo alle campagne dipende dal ruolo assegnato nel singolo account pubblicitario.
Ad Account Admin
L’Ad Account Admin amministra uno specifico account pubblicitario. Può gestire l’account e gli accessi supportati di utenti o gruppi per quell’account.
Ogni account deve conservare almeno un amministratore effettivo. Prima di rimuovere o ridurre l’accesso dell’unico admin, occorre assegnare un altro amministratore e verificare l’accesso risultante.
Ad Account Member
L’Ad Account Member può usare e aggiornare le risorse pubblicitarie supportate, ma non dispone di tutte le facoltà amministrative dell’account.
È il ruolo da valutare per chi lavora su campagne e attività operative senza dover amministrare utenti, gruppi o configurazioni di accesso.
Ad Account Viewer
L’Ad Account Viewer può visualizzare le risorse pubblicitarie, senza autorizzazioni di scrittura o di amministrazione dell’account.
È adatto a stakeholder, team di controllo, consulenti in fase di audit o figure che devono analizzare configurazioni e risultati senza intervenire sulle campagne.
Assegnazioni dirette e gruppi: come si calcola il ruolo effettivo
All’interno dello stesso ad account, OpenAI applica il ruolo più elevato tra quelli ricevuti direttamente e quelli ereditati tramite gruppo:
Admin → Member → Viewer
Di conseguenza, rimuovere un ruolo assegnato direttamente a una persona non riduce necessariamente il suo livello di accesso. Se la stessa persona appartiene a un gruppo che le attribuisce un ruolo superiore sul medesimo account, continuerà a mantenere quel ruolo più elevato.
Prima di revocare un accesso è quindi opportuno controllare:
- il ruolo diretto dell’utente;
- i gruppi assegnati allo specifico account Ads;
- il ruolo che ogni gruppo attribuisce;
- l’eventuale gestione SCIM del gruppo nell’identity provider.
SSO: abilita il sign-in, non i permessi Ads
Le impostazioni SSO per Ads vengono gestite nel tenant. Tuttavia, attivare una connessione condivisa con un identity provider o avere già una policy SSO configurata per un altro prodotto OpenAI non abilita automaticamente SSO per Ads.
La documentazione distingue tre stati della policy Ads SSO:
| Policy | Interpretazione operativa |
|---|---|
| Required | SSO è disponibile come metodo di accesso. Una persona con una sessione già attiva potrebbe però accedere a un account Ads senza dover ripetere l’autenticazione SSO. |
| Optional | Gli utenti idonei possono usare il provider configurato oppure un altro metodo di accesso consentito. |
| Off | SSO non è disponibile per quella risorsa o prodotto; occorre usare un altro metodo di sign-in consentito. |
L’impostazione Optional, quando disponibile, è la scelta più prudente durante i test: consente di verificare il flusso di accesso prima di rendere SSO obbligatorio o di disattivarlo. Le richieste MFA e conditional access vanno invece configurate nel provider di identità.
Da non dedurre: il fatto che SSO funzioni in ChatGPT o nella piattaforma API non prova che sia attivo né sufficiente per Ads Manager. Va controllata la policy Ads del tenant selezionato e va assegnato un ruolo Ads specifico.
SCIM: sincronizza identità e gruppi, ma non assegna l’accesso a ogni ad account
Gli account Ads usano una directory SCIM a livello tenant, non una directory distinta per ciascun account pubblicitario. Per i tenant idonei, inclusi alcuni tenant Ads-only, SCIM può sincronizzare utenti e gruppi.
La sincronizzazione, però, non sostituisce l’assegnazione dei permessi Ads. Dopo il provisioning occorre assegnare alla persona o al gruppo sincronizzato:
- il ruolo Ads Admin, se deve creare account pubblicitari idonei; oppure
- un ruolo Ad Account Admin, Member o Viewer per ogni account pubblicitario che deve utilizzare.
Per i gruppi sincronizzati, l’appartenenza al gruppo va gestita nell’identity provider. In Admin Console non è possibile modificare manualmente la composizione di un gruppo SCIM. Un amministratore autorizzato può invece assegnare il gruppo a un account Ads e adeguarne il ruolo pubblicitario.
La disponibilità di SCIM, le opzioni di configurazione e i percorsi dell’interfaccia dipendono dall’idoneità del tenant e dalle funzionalità effettivamente abilitate. Non è corretto presentare SCIM come una configurazione automaticamente disponibile per qualunque account.
Procedura per concedere accesso a un account Ads
Per dare accesso a una persona a un account esistente:
- seleziona il tenant OpenAI corretto in Admin Console;
- apri l’account pubblicitario interessato;
- accedi a Users & groups, quando disponibile;
- trova la persona oppure il gruppo specifico per quell’account;
- assegna Admin, Member o Viewer;
- chiedi all’utente di accedere con l’indirizzo email aziendale associato al tenant.
L’assegnazione deve essere ripetuta per ciascun account pubblicitario a cui quella persona necessita di accedere. Un ruolo attribuito sull’account A non abilita automaticamente l’account B.
Se l’utente non compare nell’elenco, va verificato che sia stato invitato o sincronizzato da un amministratore autorizzato. Anche in questo caso, l’invito o la sincronizzazione risolvono il tema dell’identità nel tenant, non quello dell’autorizzazione sul singolo ad account.
Checklist di offboarding e revoca
La revoca sicura richiede di verificare tutti i percorsi che possono mantenere un’autorizzazione attiva.
- Assegna un nuovo Ad Account Admin prima di rimuovere l’unico amministratore effettivo.
- Controlla ruoli diretti e ruoli ottenuti attraverso gruppi.
- Per i gruppi SCIM, modifica l’appartenenza nell’identity provider, non manualmente in Admin Console.
- Verifica l’accesso risultante a ogni account pubblicitario interessato.
- Controlla tenant selezionato, email usata e inviti ancora in attesa quando l’utente segnala problemi di accesso.
Errori ricorrenti
“L’utente è nel tenant, quindi dovrebbe entrare in Ads”
No. La presenza nel tenant non assegna automaticamente un ruolo su un account pubblicitario. Serve un’assegnazione account-specifica.
“Abbiamo SSO, quindi Ads è già configurato”
Non necessariamente. Una connessione SSO condivisa o una policy attiva per ChatGPT/API non abilita automaticamente SSO per Ads. Inoltre, SSO riguarda il metodo di sign-in, non i permessi nell’ad account.
“SCIM ha creato l’utente: può usare tutte le campagne”
No. SCIM può rendere disponibili identità e gruppi nel tenant, ma il ruolo Ads va attribuito separatamente a ogni account pubblicitario necessario.
“L’invito a ChatGPT concede anche Ads Manager”
No. Un invito a un workspace ChatGPT non fornisce accesso a un account pubblicitario. Lo stesso principio vale per i ruoli dell’organizzazione API.
“Abbiamo rimosso il ruolo diretto, quindi l’accesso è stato revocato”
Non sempre. L’utente può conservare un livello di accesso uguale o superiore tramite un gruppo assegnato allo stesso account.
Domande frequenti
Quali ruoli esistono in OpenAI Ads Manager?
A livello tenant, la documentazione distingue Global Admin e Ads Admin. Nell’account pubblicitario distingue Ad Account Admin, Ad Account Member e Ad Account Viewer. Ogni ruolo ha un perimetro separato.
Global Admin e Ads Admin sono la stessa cosa?
No. Il Global Admin gestisce le impostazioni amministrative e di identità del tenant; l’Ads Admin può creare account pubblicitari idonei. Nessuno dei due ruoli attribuisce automaticamente l’accesso a tutti gli account Ads esistenti.
SSO assegna automaticamente l’accesso a Ads Manager?
No. SSO definisce un metodo di accesso consentito. Per usare un account Ads esistente serve anche un ruolo sull’account specifico.
SCIM assegna automaticamente il ruolo Ads?
No. SCIM sincronizza utenti e gruppi a livello tenant nei contesti idonei. L’accesso a un account pubblicitario richiede comunque un ruolo Ads o un ruolo assegnato a quello specifico account.
Un invito a ChatGPT o API consente di entrare in Ads Manager?
No. I ruoli e gli inviti di ChatGPT workspace o API Platform non concedono automaticamente permessi Ads. L’utente deve avere anche il ruolo appropriato nell’ad account.
Come si revoca correttamente un accesso?
Verifica prima che resti almeno un Ad Account Admin effettivo. Poi controlla assegnazioni dirette e gruppi: rimuovere una sola assegnazione non basta se un altro gruppo continua a concedere un ruolo sull’account.