Gestionar roles personalizados en planes Enterprise

Los roles personalizados te permiten definir a qué funciones pueden acceder tus miembros. Cada rol personalizado contiene un conjunto de permisos que otorgan o restringen el acceso a capacidades específicas como chat, Claude Cowork, Claude Code y búsqueda web, además de los conectores que tu organización ha añadido, como Slack o Google Drive. Los roles personalizados también pueden otorgar permisos de administrador, que dan a los miembros acceso a áreas administrativas específicas como facturación, identidad o privacidad sin convertirlos en propietarios.

Los roles personalizados funcionan junto con grupos. El flujo de trabajo típico es: crear roles personalizados, asignarlos a grupos y luego establecer el rol de los miembros en "Personalizado" para que su acceso esté completamente gobernado por los roles personalizados asignados a sus grupos.

El acceso a funciones se determina mediante una cadena de precedencia de cuatro niveles, donde el nivel más restrictivo prevalece:

Lo más importante: el interruptor a nivel de organización es el interruptor principal. Los roles personalizados son los interruptores individuales debajo de él. Una función debe estar activada a nivel de organización antes de que los roles personalizados puedan controlar quién obtiene acceso.

Cada rol personalizado puede otorgar o restringir el acceso a las siguientes capacidades:

Los roles personalizados también rigen los permisos de administrador, conectores y acceso a modelos, que se configuran en pestañas separadas de Permisos, Conectores y Modelos en el editor de roles. Consulta Permisos de administrador, Permisos de conectores y Acceso a modelos a continuación.

Los cambios de rol pueden tardar hasta 15 minutos en surtir efecto, y los miembros pueden necesitar actualizar su navegador. Todos los miembros en grupos asignados a este rol se ven afectados.

Haz clic en el botón de menú en cualquier rol personalizado y selecciona "Eliminar rol". Eliminar un rol quita sus permisos de todos los grupos a los que fue asignado. Los miembros en esos grupos pierden los permisos que el rol otorgaba, a menos que otro rol en su cadena también los otorgue.

Los roles personalizados se asignan a grupos, no directamente a miembros individuales. Para asignar un grupo a un rol:

También puedes asignar roles personalizados al crear o editar un grupo en Configuración de la organización > Grupos. Consulta Administrar grupos y límites de gasto de grupos en planes Enterprise.

Si un miembro pertenece a múltiples grupos con diferentes roles personalizados, sus permisos son aditivos—obtienen la unión de todos los permisos de todos los roles en su cadena. Si algún rol otorga una función, el miembro tiene acceso a ella.

Esto significa que no puedes usar un rol para eliminar un permiso otorgado por otro rol. Esto es por diseño—permite un enfoque en capas donde un rol base cubre funciones comunes y roles adicionales agregan capacidades específicas y permisos de administrador.

Ejemplo: Un miembro está en dos grupos. El grupo "Todos los usuarios" tiene asignado un rol "Acceso estándar" con búsqueda web y memoria. El grupo "Ingeniería" tiene asignado un rol "Desarrollador" con Cowork y Claude Code. El miembro obtiene los cuatro: búsqueda web, memoria, Cowork y Claude Code.

Cuando un miembro pertenece a varios grupos cuyos roles otorgan diferentes capacidades, puede ser difícil saber qué pueden hacer realmente. La opción "Ver rol efectivo" muestra el resultado combinado: cada capacidad, permiso de administrador y conector que tiene el miembro, con el rol que otorga cada uno.

El modal lista los roles asignados del miembro y tres pestañas:

Esta vista es de solo lectura. Para cambiar lo que un miembro puede hacer, edita los roles asignados a sus grupos.

Los roles personalizados pueden otorgar permisos de administrador además de capacidades y permisos de conectores. Los permisos de administrador dan a los miembros acceso a áreas administrativas específicas, como facturación o privacidad, sin convertirlos en Propietarios. Puedes configurar permisos de administrador en la pestaña Permisos del editor de roles.

En la pestaña Permisos, estableces cada área de permisos en uno de tres niveles:

Dentro de un área, otorgas todo de Ver o todo de Administrar. No puedes otorgar ni restringir páginas o configuraciones individuales.

Hay siete áreas de permisos de administrador:

Lo siguiente sigue siendo disponible solo para Propietarios y Propietarios Principales, incluso para miembros con permisos de administrador:

Si un miembro no tiene acceso a un permiso de administrador específico, la sección no aparece en su configuración de organización. Solo se muestran las secciones que cubren sus permisos.

Los roles personalizados también controlan qué conectores y qué herramientas en esos conectores puede usar un rol. Donde las capacidades cubren las características integradas de Claude, los permisos de conectores cubren las aplicaciones y servicios que ha conectado a su organización, como Slack, Google Drive o Jira. Los establece en la pestaña Conectores del editor de roles, junto a las pestañas Capacidades y Permisos.

En la pestaña Conectores, establece todos los conectores, cada conector o cada herramienta en un conector en uno de tres niveles:

Un conector también se puede establecer en Personalizado, lo que le permite establecer cada una de sus herramientas individualmente. Para la configuración completa, consulte Configurar permisos basados en roles en planes Enterprise.

Un conector o herramienta pasa por varias capas antes de que un miembro pueda usarlo, evaluadas en este orden:

Para miembros que usan Claude Code, se aplica una capa más: las políticas de Configuración Administrada y los permisos de conectores se componen por la más restrictiva. Una herramienta es invocable sin un mensaje solo cuando ambas lo permiten. Para obtener más información, consulte Configuración de Claude Code.

Esta tabla muestra cómo se combinan la política de herramientas de toda la organización y la concesión de rol de un miembro:

Los permisos del conector se aplican en los servidores de Anthropic, por lo que se aplican en todas las superficies de Claude que enrutan el tráfico del conector a través de Anthropic:

Los permisos del conector rigen los conectores que tu organización ha añadido en Configuración de la organización > Conectores. No rigen los conectores que un miembro ejecuta localmente en su propia máquina, ni rigen Claude Cowork cuando se implementa en una plataforma de terceros. Para implementaciones de Cowork de terceros, usa MDM en su lugar. Consulta Cowork en 3P: MCP, plugins, skills y hooks.

Los miembros no pueden saber qué capa restringió una herramienta. El mensaje es el mismo si el límite proviene de la política de herramientas de toda la organización, de una concesión de rol o de ambas. Para encontrar la fuente, compara la política de toda la organización con las concesiones de rol del miembro.

Los roles personalizados también controlan qué modelos de Claude puede usar un rol y el nivel de esfuerzo máximo que los miembros pueden seleccionar en cada uno. Estableces estos en la pestaña Modelos del editor de roles, junto con el modelo predeterminado del rol.

La configuración del modelo a nivel de organización es el límite. Un rol no puede otorgar un modelo que esté deshabilitado a nivel de organización. En los roles de un miembro, el acceso al modelo es aditivo y los límites de esfuerzo toman el límite más alto que permite cualquier rol. Los modelos Haiku siempre están disponibles y no se pueden deshabilitar.

Para pasos de configuración y lo que ven los miembros, consulta Administrar el acceso al modelo para tu organización. Para el comportamiento del modelo predeterminado, consulta Establecer un modelo predeterminado para tu organización.

Cuando una función está restringida, esto es lo que ven los miembros. Para restricciones de conectores y herramientas, consulta Permisos de conectores arriba.