Esta guía cubre cómo configurar el aprovisionamiento de usuarios y la asignación de roles para tu organización de Claude o Claude Console.
El aprovisionamiento JIT está disponible para planes Team, planes Enterprise y organizaciones Console. El aprovisionamiento SCIM está disponible solo para organizaciones Enterprise y Console.
Antes de comenzar: Esta guía asume que ya has completado los pasos en Configurar inicio de sesión único (SSO), incluida la verificación de dominio y la configuración de SSO con tu Proveedor de Identidad (IdP), y que tienes un rol de Admin (Console) u Owner (Claude).
Paso 1: Elige tu modo de aprovisionamiento
Una vez que SSO esté configurado, necesitas decidir cómo se aprovisionarán los usuarios en tu organización. Esto se controla a través de la sección User provisioning en Organization settings > Organization and access.
Opciones de aprovisionamiento
Invite only es la opción predeterminada. Los usuarios se agregan y se eliminan directamente en la configuración de Claude o Console.
Just-in-time (JIT): Los usuarios asignados a tu aplicación IdP de Anthropic se aprovisionan automáticamente cuando inician sesión por primera vez. Esta opción está disponible para todos los planes.
SCIM directory sync: Los usuarios se aprovisionan y desaprovisionan automáticamente según las asignaciones en tu IdP, sin requerir que inicien sesión primero. SCIM está disponible para planes Enterprise y organizaciones Console con su propia organización principal o unidas a una organización principal Enterprise. SCIM no está disponible para planes Team u organizaciones Console unidas a la organización principal de un plan Team.
Cuando SCIM directory sync está activado, Claude envía a cada miembro recién aprovisionado un correo de bienvenida. Para desactivar esto, los Owners y Primary Owners pueden navegar a Organization settings > Organization and access > User provisioning, encontrar SCIM directory sync y desactivar "Send a welcome email to new members."
Nota: Claude no envía este correo de bienvenida a organizaciones con requisitos adicionales de manejo de datos o cumplimiento normativo, como claves de cifrado administradas por el cliente (CMEK), HIPAA o FERPA, por lo que la configuración no se muestra para esas organizaciones. Los cambios se aplican a los miembros aprovisionados después de guardar, y los correos ya enviados permanecen entregados.
Descripción general del comportamiento de aprovisionamiento
Usa esta tabla para ayudarte a decidir qué modo de aprovisionamiento es el adecuado para tu organización:
Modo | Aprovisionamiento | Cambios de rol y tipo de asiento | Eliminación |
Invite only | Los usuarios se agregan manualmente | Los roles y tipos de asiento se cambian manualmente | Los usuarios se eliminan manualmente |
Just-in-time (JIT) | Los usuarios asignados a tu aplicación IdP se aprovisionan al iniciar sesión con el rol de User | Los roles y tipos de asiento se cambian manualmente | Se requiere eliminación manual. JIT nunca elimina miembros automáticamente. Si desasignas a alguien de tu aplicación IdP, ya no puede iniciar sesión, pero permanece en tu lista de miembros y mantiene su asiento hasta que un administrador lo elimine. |
JIT + group mappings | Los usuarios en al menos un grupo asignado se aprovisionan al iniciar sesión con el rol de mayor permiso de sus membresías de grupo | Los roles y tipos de asiento se actualizan en el próximo inicio de sesión según la membresía del grupo. El rol del Primary Owner no se cambia. | Principalmente manual. Un usuario que se elimina de todos tus grupos asignados (pero aún asignado a la aplicación) se elimina de la organización la próxima vez que inicia sesión. Esto no se aplica al Primary Owner. Un usuario que desasignas completamente de la aplicación ya no puede iniciar sesión, pero permanece en tu lista de miembros y mantiene su asiento hasta que un administrador lo elimine. |
SCIM directory sync | Los usuarios asignados a tu aplicación IdP se aprovisionan automáticamente a todas las organizaciones unidas a tu organización principal. | Los roles y tipos de asiento se cambian manualmente | Los usuarios eliminados de tu aplicación IdP se eliminan automáticamente |
SCIM + group mappings | Los usuarios en al menos un grupo asignado se aprovisionan automáticamente, con el rol apropiado, solo a la(s) organización(es) unida(s) a la organización principal donde se agregó ese grupo. | Los cambios de rol y tipos de asiento se propagan automáticamente según la membresía del grupo | Eliminación automática cuando se revoca el acceso al grupo |
Nota: Para eliminar permanentemente un usuario JIT, elimínalo en Claude y desasígnalo en tu IdP. Un usuario que elimines solo en Claude se volverá a agregar la próxima vez que inicie sesión con SSO.
Tanto JIT como SCIM se pueden combinar con Enable group mappings para controlar la asignación de rol o nivel de asiento según la membresía del grupo IdP. Si seleccionas cualquiera de estas opciones para tu modo de aprovisionamiento, Enable group mappings aparecerá dentro de la sección User provisioning:
Importante: Las asignaciones de grupo establecen solo el tipo de rol y nivel de asiento del usuario. Los usuarios con el rol Custom obtienen sus permisos de grupos en Claude, y esos grupos se sincronizan desde tu IdP solo cuando tu modo de aprovisionamiento es SCIM directory sync. Con JIT, necesitas crear grupos y agregar usuarios a ellos manualmente en Organization settings > Groups. Si asignas un grupo IdP al rol Custom bajo JIT sin hacer esto, esos usuarios no tienen permisos cuando inician sesión. Obtén más información sobre administrar grupos en planes Enterprise.
Roles y niveles de asiento disponibles
Producto | Roles | Tipos de asiento |
Plan Team | Owner, Admin, User | Premium, Standard |
Plan Enterprise basado en asientos | Owner, Admin, User, Custom | Premium, Estándar |
Plan Enterprise basado en uso (con dos tipos de asiento) | Propietario, Administrador, Usuario, Personalizado | Chat, Chat + Claude Code |
Plan Enterprise basado en uso (tipo de asiento único) | Propietario, Administrador, Usuario, Personalizado | Enterprise |
Consola | Administrador, Desarrollador, Desarrollador limitado, Facturación, Usuario de Claude Code, Usuario | — |
Para obtener información sobre la compra de asientos o el ajuste de la asignación de asientos de tu plan, consulta nuestras guías para planes de equipo y planes Enterprise.
Paso 2: Configurar sincronización de directorio SCIM (si usas SCIM)
Nota: Omite este paso si usas Solo invitación o aprovisionamiento JIT.
Si elegiste SCIM como tu modo de aprovisionamiento, necesitas establecer la conexión entre tu Proveedor de identidad y Anthropic antes de habilitarlo.
Ve a tu configuración de Organización y acceso en Claude (claude.ai/admin-settings/organization) o tu configuración de Identidad y acceso en Consola (platform.claude.com/settings/identity)
En la sección Aprovisionamiento de usuarios, haz clic en "Configurar SCIM" (o "Administrar SCIM") junto a Sincronización de directorio SCIM.
Sigue la guía de configuración de WorkOS para configurar SCIM en tu Proveedor de identidad. Necesitarás copiar valores de WorkOS a la aplicación Anthropic de tu IdP.
‼️ Cuando llegues al paso Grupo de IdP, pausa para revisar los Pasos 3 y 4 de esta guía, junto con las otras guías.
Para instrucciones de configuración específicas de IdP JIT / SCIM, consulta:
Consulta IdPs adicionales aquí
Una vez que tu IdP esté conectado, continúa al Paso 3.
Paso 3: Configurar modo de aprovisionamiento y habilitar asignaciones de grupos
Encuentra la sección Aprovisionamiento de usuarios de tu configuración.
Selecciona tu opción elegida:
Solo invitación: Los nuevos miembros solo pueden unirse si son invitados manualmente por un miembro existente. El acceso SSO por sí solo no los agregará a tu organización.
Just-in-time (JIT): Permite que las personas con acceso SSO se unan cuando inicien sesión por primera vez. Cada nuevo miembro usa uno de tus asientos disponibles.
Sincronización de directorio SCIM: Agrega o elimina miembros automáticamente a medida que tu directorio cambia. Tu organización siempre se mantiene actualizada.
Si seleccionaste "Just-in-time (JIT)" o "Sincronización de directorio SCIM", no hagas clic en "Guardar cambios" aún. Primero, asegúrate de que todos los usuarios estén asignados a tu aplicación Anthropic en tu IdP. Cualquier usuario que no esté asignado cuando guardes será desaprovisionado de la organización.
Una vez que hayas confirmado que todos los usuarios están asignados en tu IdP, elige uno:
Haz clic en "Guardar cambios" para completar la configuración e iniciar el aprovisionamiento inicial. Donde esté disponible, la consola de administración muestra una vista previa de lo que el sincronización cambiará antes de aplicarse, incluida la cantidad de usuarios que se eliminarán. Revísalo antes de confirmar y cancela si el recuento de eliminación es mayor de lo esperado. Obtén más información sobre cómo funciona la sincronización SCIM.
Activa Habilitar asignaciones de grupos y ve al Paso 4. Si estás en un plan Enterprise y planeas asignar cualquier grupo de IdP al rol "Personalizado" con SCIM, sigue primero los pasos en la siguiente sección.
Usar roles personalizados con asignaciones de grupos SCIM (planes Enterprise)
Tus grupos de IdP aparecen en Claude solo después de que se ejecute la primera sincronización SCIM, por lo que no puedes asignarlos a roles personalizados con anticipación. Hasta que un grupo sincronizado se asigne a un rol personalizado, los usuarios en un grupo asignado a "Personalizado" no tienen permisos: las características que requieren permisos están atenuadas u ocultas, y el inicio de sesión de Claude Code falla. Para evitar esto, configura SCIM en dos pasos:
Haz clic en "Guardar cambios" con Habilitar asignaciones de grupos desactivado, y deja que la sincronización inicial se complete.
Ve a Configuración de organización > Roles y asigna los grupos sincronizados a tus roles personalizados. Si los grupos aún no aparecen, haz clic en "Buscar actualizaciones" en Configuración de organización > Grupos y sincroniza solo Grupos.
Vuelve a Aprovisionamiento de usuarios, activa Habilitar asignaciones de grupos, y ve al Paso 4.
Obtén más información sobre configurar permisos basados en roles en planes Enterprise.
Paso 4: Configurar grupos en tu Proveedor de identidad y asignar grupos a roles y tipos de asiento
Crea grupos en tu IdP para cada rol que desees asignar. A menos que estés en el plan Enterprise de asiento único, crea también grupos para cada tipo de asiento.
Aunque ya no hay requisitos de nomenclatura para estos grupos, recomendamos incluir algo en el nombre del grupo (por ejemplo,
anthropic-claude-oanthropic-console-) para que sean más fáciles de identificar.
Agrega usuarios a los grupos que creaste, asegurándote de que al menos un usuario (incluyéndote a ti) esté en un grupo que se asignará a un rol Administrador (Consola) o Propietario (Claude).
Vuelve a tu configuración de Organización y acceso o Identidad y acceso en Claude o Consola, y encuentra Aprovisionamiento de usuarios.
Activa Habilitar asignaciones de grupos (si aún no está activado):
En la sección Habilitar asignaciones de grupos, haz clic en "Agregar" junto a cada rol y selecciona el grupo correspondiente de tu IdP en el menú desplegable.
Cuando uses asignaciones de grupos, debes asignar todos los usuarios a un grupo basado en roles para asegurar que se aprovisione una cuenta. Asignar usuarios a grupos basados en niveles de asiento es opcional.
Puedes asignar un grupo de IdP al rol "Personalizado". Los usuarios asignados a este rol no tienen permisos predeterminados; su acceso se determina completamente por los roles personalizados asignados a sus grupos en Claude. Si usas JIT, agrega estos usuarios a grupos manualmente en Configuración de la organización > Grupos antes de que inicien sesión, ya que JIT no sincroniza las pertenencias a grupos desde tu IdP.
Para todos los planes excepto Enterprise de un solo asiento: En la sección Asignar niveles de asiento a grupos de IdP (opcional), haz clic en "Agregar" junto a cada tipo de asiento y selecciona el grupo correspondiente de tu IdP. Los usuarios que no estén en ningún grupo de nivel de asiento no se eliminan. Los usuarios existentes mantienen su tipo de asiento actual. Los nuevos usuarios reciben el nivel de asiento más alto que aún tenga un asiento comprado sin asignar (por ejemplo, Premium mientras haya asientos Premium sin asignar, luego Estándar), y se agregan sin asiento si no hay disponible.
Para Enterprise de un solo asiento: La asignación de tipo de asiento no se aplica. Todos los usuarios aprovisionados reciben automáticamente un asiento Enterprise, siempre que haya uno disponible en tu organización.
Verifica que todos los grupos necesarios estén asignados a los roles y tipos de asiento apropiados.
Haz clic en "Guardar cambios".
Nota: Microsoft Entra solo envía cambios SCIM cada 40 minutos, por lo que puede haber un retraso antes de que aparezcan los cambios. Puedes verificar qué usuarios se sincronizan desde tu IdP haciendo clic en "Administrar SCIM" y viendo el Directorio. Los usuarios en el Directorio se aprovisionarán en Claude / Console.
Importante: Todos los usuarios que necesiten acceso deben asignarse a los grupos apropiados antes de guardar la configuración de asignación de grupos. Estos usuarios ya deberían estar asignados a tu aplicación Anthropic en tu IdP desde cuando habilitaste SSO.
Cómo funciona el rol de Propietario Principal con JIT y SCIM
El Propietario Principal de tu organización está exento de la reconciliación SCIM. Si la cuenta del Propietario Principal no está presente en el directorio de IdP, o no es miembro de ningún grupo asignado a un rol, se omitirá cuando SCIM se sincronice. Con JIT y asignaciones de grupos, el rol del Propietario Principal no cambia cuando inicia sesión, y no se elimina si no está en ningún grupo asignado. La pertenencia y el rol del Propietario Principal se conservan.
Esta exención se aplica solo al rol único de Propietario Principal. Los roles de Propietario y Administrador no están exentos y deben estar en un grupo asignado a un rol, o se eliminarán cuando se habiliten las asignaciones de grupos SCIM. Con JIT y asignaciones de grupos, se eliminan la próxima vez que inician sesión.
El rol de Propietario Principal no se puede asignar a través de asignaciones de grupos. Solo se puede transferir manualmente desde Configuración de la organización > Miembros. Establece tu Propietario Principal previsto antes de habilitar SCIM o asignaciones de grupos.
El Propietario Principal no está exento de la aplicación de inicio de sesión SSO. La aplicación de SSO se realiza por dominio de correo electrónico; si el correo electrónico del Propietario Principal está en un dominio aplicado, debe autenticarse a través de SSO.
Solución de problemas
¿Los usuarios asignados correctamente y que aparecen en el directorio no se están agregando a Claude como miembros?
Verifica que tengas suficientes asientos comprados y disponibles para agregar miembros a tu organización.
Verifica el número de asientos disponibles que se muestran en Configuración de la organización > Organización y acceso y compra asientos adicionales si es necesario (consulta nuestras guías para planes de equipo y planes Enterprise).
Una vez que tengas asientos disponibles, vuelve a la página Organización y acceso y haz clic en "Sincronizar ahora", junto a Sincronización de directorio (SCIM). Esto activará una sincronización para aprovisionar cuentas para los usuarios que aún no se han agregado como miembros.
Los usuarios no se están aprovisionando con el rol correcto
Verifica que el usuario esté asignado al grupo correcto en tu IdP.
Verifica que el grupo esté asignado al rol correcto en tu configuración de Organización y acceso.
Para JIT: El usuario debe cerrar sesión e iniciar sesión nuevamente para que los cambios de rol surtan efecto.
Para SCIM: Haz clic en "Sincronizar" para solicitar una sincronización inmediata, o espera el ciclo de sincronización automática:
Los usuarios asignados al rol Personalizado no pueden acceder a nada después de iniciar sesión
Esto sucede cuando tu modo de aprovisionamiento es JIT y un grupo de IdP está asignado al rol Personalizado. JIT asigna el tipo de rol pero no sincroniza las pertenencias a grupos desde tu IdP, por lo que estos usuarios no están en ningún grupo con un rol personalizado adjunto y no tienen permisos.
Para solucionar esto, haz uno de lo siguiente:
Agrega los usuarios afectados a los grupos apropiados manualmente en Configuración de la organización > Grupos. Obtén más información sobre administración de grupos en planes Enterprise.
Cambia tu modo de aprovisionamiento a sincronización de directorio SCIM, que sincroniza grupos y sus pertenencias desde tu IdP. Obtén más información sobre cómo funciona la sincronización SCIM.
Perdí acceso de Administrador/Propietario después de habilitar asignaciones de grupos
Esto sucede cuando la persona que configura las asignaciones de grupos no está asignada a un grupo asignado a un rol de Administrador o Propietario, lo que causa que sus permisos se degraden a Usuario. Alguien que no está en ningún grupo asignado se elimina de la organización en su lugar (con JIT, la próxima vez que inicie sesión; con SCIM, en la siguiente sincronización) y necesita ser agregado nuevamente. Esto no afecta al Propietario Principal.
Para solucionar esto, haz uno de lo siguiente:
Opción 1: Pide a otro Administrador/Propietario que restablezca tu rol
Contacta a otro Administrador o Propietario de tu organización.
Pídeles que naveguen a Configuración de la organización > Organización (para Claude) o Configuración > Miembros (para Console).
Pídeles que cambien tu rol de vuelta a Administrador o Propietario.
Opción 2: Solucionar a través de tu Proveedor de Identidad
En tu IdP, asígnate a ti mismo a un grupo con el prefijo correcto que se asigne a un rol de Administrador o Propietario.
Para JIT: Cierra sesión e inicia sesión nuevamente para recuperar el acceso.
Para SCIM: Pide a otro Administrador o Propietario que haga clic en "Sincronizar" en la configuración de Organización y acceso, o espera el ciclo de sincronización automática.