Benutzerdefinierte Rollen in Enterprise-Plänen verwalten

Mit benutzerdefinierten Rollen können Sie definieren, auf welche Funktionen Ihre Mitglieder zugreifen können. Jede benutzerdefinierte Rolle enthält einen Satz von Berechtigungen, die den Zugriff auf spezifische Funktionen wie Chat, Claude Cowork, Claude Code und Websuche sowie die Konnektoren, die Ihre Organisation hinzugefügt hat, wie Slack oder Google Drive, gewähren oder einschränken. Benutzerdefinierte Rollen können auch Administratorberechtigungen gewähren, die Mitgliedern Zugriff auf spezifische Verwaltungsbereiche wie Abrechnung, Identität oder Datenschutz geben, ohne sie zu Inhabern zu machen.

Benutzerdefinierte Rollen funktionieren zusammen mit Gruppen. Der typische Arbeitsablauf ist: Erstellen Sie benutzerdefinierte Rollen, weisen Sie sie Gruppen zu, und setzen Sie dann die Rollen der Mitglieder auf "Benutzerdefiniert", damit ihr Zugriff vollständig durch die benutzerdefinierten Rollen gesteuert wird, die ihren Gruppen zugewiesen sind.

Der Funktionszugriff wird durch eine vierstufige Prioritätskette bestimmt, bei der die restriktivste Stufe gewinnt:

Die wichtigste Erkenntnis: Der Schalter auf Organisationsebene ist ein Hauptschalter. Benutzerdefinierte Rollen sind die darunter liegenden Pro-Mitglied-Schalter. Eine Funktion muss auf Organisationsebene aktiviert sein, bevor benutzerdefinierte Rollen steuern können, wer Zugriff erhält.

Jede benutzerdefinierte Rolle kann den Zugriff auf die folgenden Funktionen gewähren oder einschränken:

Benutzerdefinierte Rollen regeln auch Admin-Berechtigungen, Konnektoren und Modellzugriff, die auf separaten Registerkarten Berechtigungen, Konnektoren und Modelle im Rollen-Editor konfiguriert werden. Siehe Admin-Berechtigungen, Konnektor-Berechtigungen und Modellzugriff unten.

Anstatt Funktionen einzeln umzuschalten, können Sie einer Rolle alle Funktionen gewähren. Wählen Sie beim Erstellen oder Bearbeiten einer Rolle eine Option auf der Registerkarte Funktionen für Funktionszugriff:

Rollen, die auf eine dieser Optionen eingestellt sind, erhalten automatisch neue Funktionen bei ihrer Einführung. Rollen, die auf "Nur ausgewählte" eingestellt sind, enthalten nur die Funktionen, die Sie auswählen.

Rollenänderungen können bis zu 15 Minuten dauern, bis sie wirksam werden, und Mitglieder müssen möglicherweise ihren Browser aktualisieren. Alle Mitglieder in Gruppen, die dieser Rolle zugewiesen sind, sind betroffen.

Klicken Sie auf die Menüschaltfläche für eine beliebige benutzerdefinierte Rolle und wählen Sie "Rolle löschen". Das Löschen einer Rolle entfernt ihre Berechtigungen aus allen Gruppen, denen sie zugewiesen war. Mitglieder in diesen Gruppen verlieren die Berechtigungen, die die Rolle gewährte, es sei denn, eine andere Rolle in ihrer Kette gewährt sie auch.

Benutzerdefinierte Rollen werden Gruppen zugewiesen, nicht direkt einzelnen Mitgliedern. So weisen Sie eine Gruppe einer Rolle zu:

Sie können benutzerdefinierte Rollen auch beim Erstellen oder Bearbeiten einer Gruppe in Organisationseinstellungen > Gruppen zuweisen. Siehe Verwalten Sie Gruppen und Ausgabenlimits für Gruppen in Enterprise-Plänen.

Wenn ein Mitglied mehreren Gruppen mit unterschiedlichen benutzerdefinierten Rollen angehört, sind seine Berechtigungen additiv – es erhält die Vereinigung aller Berechtigungen aus allen Rollen in seiner Kette. Wenn eine Rolle ein Feature gewährt, hat das Mitglied Zugriff darauf.

Dies bedeutet, dass Sie nicht eine Rolle verwenden können, um eine Berechtigung zu entfernen, die von einer anderen Rolle gewährt wurde. Dies ist beabsichtigt – es ermöglicht einen gestuften Ansatz, bei dem eine Basisrolle allgemeine Funktionen abdeckt und zusätzliche Rollen spezifische Funktionen und Admin-Berechtigungen hinzufügen.

Beispiel: Ein Mitglied ist in zwei Gruppen. Die Gruppe "Alle Benutzer" hat eine Rolle "Standardzugriff" mit Websuche und Speicher. Die Gruppe "Engineering" hat eine Rolle "Entwickler" mit Cowork und Claude Code. Das Mitglied erhält alle vier: Websuche, Speicher, Cowork und Claude Code.

Wenn ein Mitglied mehreren Gruppen angehört, deren Rollen unterschiedliche Funktionen gewähren, kann es schwierig sein, zu sagen, was es tatsächlich tun kann. Die Option "Effektive Rolle anzeigen" zeigt das kombinierte Ergebnis: jede Funktion, Admin-Berechtigung und jeden Konnektor, den das Mitglied hat, mit der Rolle, die jede gewährt.

Das Modal zeigt die zugewiesenen Rollen des Mitglieds und drei Registerkarten an:

Diese Ansicht ist schreibgeschützt. Um zu ändern, was ein Mitglied tun kann, bearbeiten Sie die Rollen, die seinen Gruppen zugewiesen sind.

Benutzerdefinierte Rollen können Admin-Berechtigungen zusätzlich zu Funktionen und Konnektorberechtigung gewähren. Admin-Berechtigungen geben Mitgliedern Zugriff auf spezifische Verwaltungsbereiche wie Abrechnung oder Datenschutz, ohne sie zu Besitzern zu machen. Sie können Admin-Berechtigungen auf der Registerkarte Berechtigungen des Rollen-Editors konfigurieren.

Auf der Registerkarte Berechtigungen legen Sie jeden Berechtigungsbereich auf eine von drei Stufen fest:

Innerhalb eines Bereichs gewähren Sie entweder alle Anzeigeberechtigungen oder alle Verwaltungsberechtigungen. Sie können einzelne Seiten oder Einstellungen nicht gewähren oder einschränken.

Es gibt sieben Admin-Berechtigungsbereiche:

Folgende bleiben nur für Eigentümer und Primäre Eigentümer verfügbar, auch für Mitglieder mit Admin-Berechtigungen:

Wenn ein Mitglied keinen Zugriff auf eine bestimmte Admin-Berechtigung hat, wird der Abschnitt in seinen Organisationseinstellungen nicht angezeigt. Es werden nur Abschnitte angezeigt, die ihre Berechtigungen abdecken.

Benutzerdefinierte Rollen steuern auch, welche Konnektoren und welche Tools auf diesen Konnektoren eine Rolle verwenden kann. Während Funktionen Claudes integrierte Funktionen abdecken, decken Konnektor-Berechtigungen die Apps und Dienste ab, die Sie mit Ihrer Organisation verbunden haben, wie Slack, Google Drive oder Jira. Sie legen diese auf der Registerkarte Konnektoren des Rollen-Editors neben den Registerkarten Funktionen und Berechtigungen fest.

Auf der Registerkarte Konnektoren legen Sie alle Konnektoren, jeden Konnektor oder jedes Tool auf einem Konnektor auf eine von drei Stufen fest:

Ein Konnektor kann auch auf Benutzerdefiniert eingestellt werden, was es Ihnen ermöglicht, jedes seiner Tools einzeln einzustellen. Für die vollständige Einrichtung siehe Rollenbasierte Berechtigungen in Enterprise-Plänen einrichten.

Ein Konnektor oder Tool durchläuft mehrere Ebenen, bevor ein Mitglied ihn verwenden kann, bewertet in dieser Reihenfolge:

Für Mitglieder, die Claude Code verwenden, gilt eine weitere Ebene: Verwaltete Einstellungsrichtlinien und Connector-Berechtigungen werden nach dem restriktivsten Prinzip kombiniert. Ein Tool kann nur aufgerufen werden, wenn beide es zulassen. Weitere Informationen finden Sie unter Claude Code-Einstellungen.

Für Mitglieder, die Claude Cowork verwenden, durchlaufen schreibfähige Connector-Tools ein zusätzliches Genehmigungsverfahren. Siehe Cowork-Genehmigungseinstellung für Schreib-Tools unten.

Diese Tabelle zeigt, wie die organisationsweite Tool-Richtlinie und die Rollenberechtigung eines Mitglieds kombiniert werden:

Claude Cowork hat eine separate Organisationseinstellung, "Immer zulassen" für Connector-Tools zulassen, die schreibfähige Connector-Tools steuert. Sie ist standardmäßig deaktiviert, und benutzerdefinierte Rollenberechtigung können sie nicht überschreiben: Selbst wenn die organisationsweite Tool-Richtlinie und alle Rollenberechtigung auf "Immer zulassen" eingestellt sind, genehmigen Mitglieder diese Tools pro Aufgabe in Cowork, bis die Einstellung aktiviert wird. Weitere Informationen zu Connector-Tool-Genehmigungen in Cowork.

Connector-Berechtigungen werden auf Anthropics Servern durchgesetzt, daher gelten sie für jede Claude-Oberfläche, die Connector-Datenverkehr über Anthropic leitet:

Connector-Berechtigungen regeln Connectors, die Ihre Organisation unter Organisationseinstellungen > Connectors hinzugefügt hat. Sie regeln nicht Connectors, die ein Mitglied lokal auf seinem eigenen Computer ausführt, und sie regeln nicht Claude Cowork, wenn es auf einer Drittanbieter-Plattform bereitgestellt wird. Verwenden Sie für Cowork-Bereitstellungen von Drittanbietern stattdessen MDM. Siehe Cowork auf 3P: MCP, Plugins, Skills und Hooks.

Mitglieder können nicht erkennen, welche Ebene ein Tool eingeschränkt hat. Die Meldung ist gleich, ob die Einschränkung aus der organisationsweiten Tool-Richtlinie, einer Rollenzuweisung oder beiden stammt. Um die Quelle zu finden, vergleichen Sie die organisationsweite Richtlinie mit den Rollenzuweisungen des Mitglieds.

Benutzerdefinierte Rollen steuern auch, welche Claude-Modelle eine Rolle verwenden kann und welche maximale Aufwandsstufe Mitglieder für jedes Modell auswählen können. Sie legen diese auf der Registerkarte Modelle des Rollen-Editors fest, neben dem Standardmodell der Rolle.

Die Modelleinstellung auf Organisationsebene ist die Obergrenze. Eine Rolle kann kein Modell gewähren, das auf Organisationsebene deaktiviert ist. Über die Rollen eines Mitglieds hinweg ist der Modellzugriff additiv und Aufwandsgrenzen nehmen die höchste Obergrenze an, die eine Rolle zulässt. Haiku-Modelle sind immer verfügbar und können nicht deaktiviert werden.

Für Einrichtungsschritte und was Mitglieder sehen, siehe Modellzugriff für Ihre Organisation verwalten. Für das Standardmodellverhalten siehe Standardmodell für Ihre Organisation festlegen.

Wenn eine Funktion eingeschränkt ist, sehen Mitglieder Folgendes. Für Connector- und Tool-Einschränkungen siehe Connector-Berechtigungen oben.