Dieser Artikel erklärt, wie Enterprise-verwaltete Authentifizierung funktioniert und wie Administratoren Konnektoren für ihre Organisation autorisieren können – entweder über ihren Identitätsanbieter oder direkt mit von Claude ausgegebener Authentifizierung. Mit Enterprise-verwalteter Authentifizierung autorisieren Sie einen Konnektor einmal für Ihre gesamte Organisation, und Ihr Team erhält automatisch Zugriff beim ersten Anmelden.
Enterprise-verwaltete Authentifizierung ist für Team- und Enterprise-Pläne auf Claude verfügbar. IdP-verwaltete Authentifizierung ist allgemein verfügbar, und von Claude ausgegebene Authentifizierung befindet sich in der Beta-Phase.
Was ist Enterprise-verwaltete Authentifizierung?
Enterprise-verwaltete Authentifizierung ist ein Autorisierungs- und Authentifizierungsmodell für Konnektoren in Claude. Anstatt dass jede Person jeden Konnektor einzeln authentifiziert, stellen Administratoren den Konnektor-Zugriff zentral bereit.
Jeder Konnektor verwendet eine von zwei Identitätsquellen:
IdP-verwaltet: Ihr Identitätsanbieter verlässt sich darauf, dass Single Sign-On (SSO) auf Claude und dem Konnektor aktiviert ist. Damit meldet der IdP den Benutzer beim Konnektor an.
Von Claude ausgestellt (Beta): Claude kann dem Konnektor mitteilen, welcher Benutzer sich bei Claude angemeldet hat, und diese Informationen an den Konnektor weitergeben, unter einer Aussteller-URL, die für Ihre Organisation eindeutig ist. Sie benötigen keinen Identitätsanbieter oder SSO.
Sobald Sie einen Konnektor für Ihre Organisation aktivieren, erhält Ihr Team ihn automatisch beim ersten Anmelden. Bei IdP-verwalteter Authentifizierung wird die Identität von ihren vorhandenen Identitätsanbieter-Gruppen und -Rollen geerbt. Bei von Claude ausgegebener Authentifizierung werden Benutzer beim Konnektor nach E-Mail-Adresse abgeglichen.
Was Sie kontrollieren
Sie entscheiden, welche Konnektoren aktiviert sind, welche Gruppen oder Rollen sie erhalten, und auf welcher Zugriffsstufe:
Authentifizieren Sie Konnektoren einmal für Ihre Organisation, und der Zugriff wird Ihrem Team automatisch gewährt.
Verwenden Sie rollenbasierte Berechtigungen, um genau auszuwählen, welche Rollen jeden Konnektor erhalten, damit verschiedene Teams den Zugriff erhalten, der ihrer Arbeit entspricht. Siehe Wählen Sie, welche Rollen verwaltete Authentifizierung erhalten unten.
Wählen Sie, welche Berechtigungen Claude anfordern kann, wenn Mitglieder sich über Ihren Identitätsanbieter verbinden, und schränken Sie dies weiter für einzelne Rollen ein.
Zugriff widerrufen. Bei IdP-verwalteter Authentifizierung entfernt das Aufheben der Bereitstellung einer Person in Ihrem Identitätsanbieter gleichzeitig ihren Konnektor-Zugriff. Bei von Claude ausgegebener Authentifizierung stoppt das Entfernen einer Person aus Ihrer Claude-Organisation Claude davon, sie anzumelden. Entfernen Sie sie auch aus dem verbundenen Dienst.
Erfordern Sie, dass sich ein Konnektor nur über verwaltete Autorisierung verbindet, damit persönliche Konten aus Arbeitstools herausbleiben.
Hinweis: Jeder Konnektor und Ihr Identitätsanbieter, falls Sie einen verwenden, werden von einem Drittanbieter unter seinen eigenen Bedingungen betrieben. Bei IdP-verwalteter Authentifizierung leitet Claude die Autorisierung weiter, die Ihr Identitätsanbieter ausstellt, und Zugriffsentscheidungen, Scoping und die Daten, die jeder Konnektor erreichen kann, werden durch die Richtlinien Ihres Identitätsanbieters und die Berechtigungen des verbundenen Dienstes geregelt, nicht durch Anthropic. Bei von Claude ausgegebener Authentifizierung signiert Claude die Anmeldung für aktuelle Mitglieder Ihrer Organisation.
Auf Ihre Anweisung hin sendet Anthropic die E-Mail-Adresse und einen eindeutigen Bezeichner jedes Mitglieds an den Konnektor. Claude prüft nur die Organisationsmitgliedschaft, nicht SSO, MFA oder die eigenen Anmelderegeln des Konnektors. Zugriffsentscheidungen, Scoping und die Daten, die jeder Konnektor erreichen kann, werden durch Ihre Claude-Einstellungen und die Berechtigungen des verbundenen Dienstes geregelt.
Token-Lebensdauern und Lebenszyklus werden vom verbundenen Autorisierungsserver und bei IdP-verwalteter Authentifizierung von Ihrem Identitätsanbieter verwaltet. Vorhandene Sitzungen enden, wenn das Zugriffs-Token des Konnektors abläuft oder widerrufen wird.
Wählen Sie, welche Rollen verwaltete Authentifizierung erhalten
Wenn Sie Enterprise-verwaltete Authentifizierung für einen Konnektor einrichten, wählen Sie, welche Rollen den Konnektor erben, wenn Sie rollenbasierte Berechtigungen einrichten. Sie können rollenbasierte Berechtigungen verwenden, um einen Konnektor mit einem bestimmten Team zu testen, bevor Sie ihn für Ihre gesamte Organisation aktivieren.
Gehen Sie zu Organisationseinstellungen > Konnektoren und wählen Sie einen Konnektor aus.
Klicken Sie auf der Registerkarte Konfiguration auf „Einrichten" neben Verwaltete Autorisierung."
Wählen Sie im Schritt Verbinden eine Identitätsquelle aus:
IdP-verwaltet: Bestätigen Sie Ihre Identitätsanbieter-Verbindung. Folgen Sie der Einrichtungsanleitung, um Enterprise-verwaltete Authentifizierung für diesen Konnektor in Ihrem Identitätsanbieter zu konfigurieren und verwaltete Authentifizierung in den eigenen Admin-Einstellungen des Konnektors zu aktivieren. Klicken Sie auf „Test ausführen
Von Claude ausgestellt: Folgen Sie den Schritten in Richten Sie von Claude ausgegebene Authentifizierung ein unten.
Wählen Sie im Schritt Rollen aus, wer diesen Konnektor automatisch erhalten soll.
Benutzer, Administrator, Eigentümer, Primärer Eigentümer: die integrierten Rollen Ihrer Organisation als Gruppe.
Jede benutzerdefinierte Rolle, einzeln ausgewählt.
Um einen Konnektor mit einem Team zu testen, wählen Sie nur die benutzerdefinierte Rolle dieses Teams aus und lassen Sie die integrierten Rollen deaktiviert. Mitglieder mit der Rolle „Benutzer
Wählen Sie im Schritt Bereiche aus, welche Berechtigungen Claude anfordern kann, wenn Mitglieder sich verbinden. Diese gelten für jede Rolle, die Sie ausgewählt haben. Um Berechtigungen für eine bestimmte Rolle einzuschränken, verwenden Sie stattdessen die Registerkarte Konnektoren dieser Rolle (siehe unten).
Klicken Sie auf „Speichern und aktivieren"."
Nach der Einrichtung zeigt die Registerkarte „Konfiguration
Hinweis: Browser-Anmeldung und Verwaltete Autorisierung können für einen Konnektor gleichzeitig aktiviert sein. Wenn dies der Fall ist, versucht Claude zuerst Verwaltete Autorisierung und fordert den Benutzer auf, sich einzeln anzumelden, wenn dies fehlschlägt, damit Mitglieder nicht gesperrt werden, während ein Identitätsanbieter-Problem behoben wird.
Konnektor-Einstellungen innerhalb einer benutzerdefinierten Rolle
Sie können auch von einer Rolle in Organisationseinstellungen > Rollen aus starten, anstatt von einem Konnektor. Auf der Registerkarte Konnektoren einer benutzerdefinierten Rolle steuert Wie Mitglieder sich verbinden, wie sich die Mitglieder dieser Rolle authentifizieren, über alle Konnektoren auf einmal oder pro Konnektor:
Einzeln: Mitglieder melden sich mit ihren eigenen Konten an.
Verwaltete Autorisierung: Mitglieder verbinden sich über die für jeden Konnektor festgelegte Identitätsquelle.
Pro Konnektor festlegen: Wählen Sie einzeln für jeden Konnektor.
Verwenden Sie von Claude ausgegebene Authentifizierung
Bei von Claude ausgegebener Authentifizierung sendet Claude eine signierte Assertion an den Konnektor unter einer Aussteller-URL, die für Ihre Organisation eindeutig ist. Der verbundene Dienst verwendet diese URL, um zu bestätigen, dass Claude die Anmeldung für ein aktuelles Mitglied Ihrer Organisation signiert hat, daher muss der Dienst sie als vertrauenswürdigen Aussteller auflisten.
Sie benötigen keinen Identitätsanbieter oder SSO, obwohl wir dennoch empfehlen, SSO für Ihre Claude-Organisation zu erzwingen. Claude prüft nur die Organisationsmitgliedschaft, nicht SSO, MFA oder die eigenen Anmelderegeln des Konnektors.
Hinweis: Von Claude ausgegebene Authentifizierung befindet sich in der Beta-Phase.
Bevor Sie beginnen
Ein unterstützter Konnektor: Nur Konnektoren, deren Anbieter von Claude ausgegebene Authentifizierung unterstützt, können diese verwenden. Siehe Konnektoren unten.
Ein Administrator des verbundenen Dienstes: Sie benötigen jemanden, der einen vertrauenswürdigen Aussteller zu Ihrem Arbeitsbereich hinzufügen kann. Das könnten Sie sein.
Übereinstimmende E-Mail-Adressen: Benutzer werden nach E-Mail abgeglichen, daher muss die Claude-E-Mail jedes Benutzers mit der E-Mail auf seinem Konto im verbundenen Dienst übereinstimmen.
Die eigenen Anforderungen des Anbieters: Einige Anbieter haben ihre eigenen Anforderungen, wie z. B. SSO auf ihrer Seite. Überprüfen Sie die Einrichtungsanleitung des Anbieters.
Jeder Konnektor verwendet jeweils eine Identitätsquelle. Sie können später auf demselben Einrichtungsbildschirm wechseln.
Richten Sie von Claude ausgegebene Authentifizierung ein
Richten Sie von Claude ausgegebene Authentifizierung einmal für jeden Konnektor ein.
Gehen Sie zu Organisationseinstellungen > Konnektoren und wählen Sie einen Konnektor aus.
Klicken Sie auf der Registerkarte Konfiguration auf „Einrichten" neben Verwaltete Autorisierung."
Wählen Sie im Schritt Verbinden unter Identitätsquelle „Von Claude ausgestellt" aus."
Kopieren Sie die Aussteller-URL.
Fügen Sie in der Admin-Konsole des verbundenen Dienstes die URL als vertrauenswürdigen Aussteller für Ihren Arbeitsbereich hinzu. Folgen Sie der Einrichtungsanleitung des Anbieters, die vom Schritt Verbinden verlinkt ist. Wenn Sie kein Administrator dieses Dienstes sind, teilen Sie die URL und die Anleitung mit jemandem, der es ist.
Wenn der verbundene Dienst Ihnen eine Arbeitsbereichs- oder Mandanten-ID gibt, fügen Sie sie in Claude in das Feld „Mandant" ein."
Klicken Sie in Claude auf „Verbindung testen
Wählen Sie aus, wer den Konnektor erhält. Alle Rollen erhalten ihn standardmäßig.
Wenn der Test fehlschlägt, überprüfen Sie, dass die Aussteller-URL im richtigen Arbeitsbereich vertrauenswürdig ist, dass die Mandanten-ID korrekt ist, und dass der Arbeitsbereich ein Konto mit Ihrer E-Mail-Adresse hat.
Um von Claude ausgegebene Authentifizierung auszuschalten, öffnen Sie die Einstellungen für Verwaltete Autorisierung des Konnektors und wählen Sie „Deaktivieren". Benutzer verbinden sich dann selbst mit dem Dienst."
Was Benutzer sehen
Der Konnektor ist bereits verbunden, wenn ein Benutzer ihn zum ersten Mal benötigt, ohne Anmeldeseite oder Zustimmungsbildschirm. Ein Benutzer, dessen E-Mail nicht mit einem Konto im verbundenen Dienst übereinstimmt, wird nicht automatisch verbunden und sieht die übliche Verbindungsaufforderung.
Bevor Sie den Konnektor in Ihrer Organisation ankündigen, bitten Sie zwei oder drei Benutzer zu bestätigen, dass er verbunden ist, und führen Sie eine echte Anfrage aus.
Wenn jemand Ihre Organisation verlässt
Claude signiert nur für aktuelle Mitglieder Ihrer Organisation. Wenn Sie jemanden entfernen, stoppt Claude, ihn bei verbundenen Diensten anzumelden, aber der bereits gewährte Zugriff bei einem Dienst bleibt bestehen, bis er abläuft. Entfernen Sie ihn aus jedem verbundenen Dienst, bevor diese E-Mail-Adresse wiederverwendet wird, oder eine neue Person mit dieser Adresse könnte sich beim alten Konto anmelden.
Wenn Sie Verzeichnissynchronisierung (SCIM) verwenden, überprüfen Sie, dass die Person nicht mehr in Ihrer Mitgliederliste angezeigt wird. Claude entfernt ein Mitglied, wenn Ihr Verzeichnis es löscht, aber nicht, wenn Ihr Verzeichnis es nur aussetzt oder als inaktiv markiert.
Was mit Enterprise-verwalteter Authentifizierung funktioniert
Enterprise-verwaltete Authentifizierung funktioniert mit den Konnektoren, die Ihre Teams täglich verwenden. Bei IdP-verwalteter Authentifizierung kontrolliert Ihr Identitätsanbieter, wer Zugriff erhält. Bei von Claude ausgegebener Authentifizierung signiert Claude aktuelle Mitglieder Ihrer Organisation an.
Identitätsanbieter
IdP-verwaltete Authentifizierung erfordert SSO mit einem unterstützten Identitätsanbieter. Okta wird unterstützt, mit mehr Identitätsanbietern in Kürze. Weitere Details finden Sie in der Dokumentation von Okta.
Von Claude ausgegebene Authentifizierung verwendet keinen Identitätsanbieter, daher ist keine Identitätsanbieter-Einrichtung erforderlich.
Konnektoren
Derzeit können Sie diese Konnektoren über Enterprise-verwaltete Authentifizierung bereitstellen:
Amplitude (siehe Dokumentation von Amplitude)
Apollo.io (siehe Dokumentation von Apollo)
Asana (siehe Dokumentation von Asana)
Atlassian (siehe Dokumentation von Atlassian)
Canva (siehe Dokumentation von Canva)
Crossbeam (siehe Dokumentation von Crossbeam)
Datadog (siehe Dokumentation von Datadog)
Dropbox (siehe Dokumentation von Dropbox)
Figma (siehe Dokumentation von Figma)
Granola (siehe Dokumentation von Granola)
HubSpot (siehe Dokumentation von HubSpot)
Linear (siehe Dokumentation von Linear)
Lovable (siehe Dokumentation von Lovable)
Mixpanel (siehe Dokumentation von Mixpanel)
Monday.com (siehe Dokumentation von Monday)
Notion (siehe Dokumentation von Notion)
PagerDuty (siehe Dokumentation von Pagerduty)
Semrush (siehe Dokumentation von Semrush)
Slack (siehe Dokumentation von Slack)
Supabase (siehe Dokumentation von Supabase)
Entsperrt
Von Claude ausgegebene Authentifizierung funktioniert nur mit Konnektoren, deren Anbieter sie unterstützt. Die Beta umfasst: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush und Supabase.
Jeder MCP-Anbieter kann Unterstützung für Enterprise-verwaltete Authentifizierung hinzufügen. Weitere Details finden Sie unter Enterprise-Managed Authorization.
Persönliche Konnektoren
Ihr Team kann weiterhin persönliche Konnektoren zusätzlich zu dem hinzufügen, was Sie bereitstellen. Enterprise-verwaltete Authentifizierung verwaltet die Konnektoren, die Sie für Ihre Organisation aktivieren, während Einzelpersonen zusätzliche Dienste für ihre eigene Nutzung verbinden können.