Configurar permisos basados en roles en planes Enterprise

Esta guía te ayuda a configurar permisos basados en roles para tu organización Enterprise. Esto te permite controlar qué características y conectores pueden acceder equipos específicos o grupos de miembros, y delegar acceso administrativo específico como facturación o gestión de usuarios, en lugar de dar a todos los mismos permisos.

Antes de comenzar, asegúrate de estar familiarizado con:

Necesitarás acceso de Propietario o Propietario Principal a tu organización Enterprise, o un rol personalizado con Identidad y Acceso configurado en Gestionar.

Verifica qué capacidades están habilitadas a nivel de organización. Ve a Configuración de la organización y asegúrate de saber qué capacidades pueden acceder los miembros actualmente. Para configuraciones gestionadas por RBAC, tanto la configuración de la organización como la configuración de rol deben estar activadas para que los usuarios obtengan acceso.

Haz una copia de seguridad de tu lista de miembros. Exporta un CSV de tus miembros actuales desde Configuración de la organización > Miembros antes de hacer cambios. Si algo sale mal durante la migración, esto te da una referencia para restaurar el acceso. Consulta Gestionar miembros en planes Team y Enterprise.

Determina qué equipos o funciones necesitan cada capacidad. Por ejemplo, Ingeniería obtiene Claude Code + Modo Rápido y Marketing obtiene Cowork + Búsqueda Web. A partir de aquí, define tus roles personalizados.

Planes de doble asiento. Si tu organización está en un plan Enterprise de doble asiento (con asientos de Chat y Chat + Claude Code), los roles personalizados no anulan las restricciones a nivel de asiento. Un miembro asignado a un asiento solo de Chat no puede acceder a Claude Code incluso si su rol personalizado lo permite. Lo mismo se aplica a la inversa: si el rol personalizado de un miembro no otorga la capacidad de chat, no tendrá acceso a chat independientemente de su tipo de asiento. Planifica tu estructura de roles teniendo en cuenta las asignaciones de asientos.

Decide cómo crearás grupos. Puedes crear grupos manualmente en Claude, o sincronizarlos desde tu proveedor de identidad (IdP) a través de SCIM. También puedes usar ambos métodos simultáneamente. Si planeas usar grupos de IdP de Okta, Entra ID u otro proveedor, asegúrate de que la sincronización del directorio SCIM esté configurada. Consulta Configurar aprovisionamiento JIT o SCIM.

Añade los conectores que planeas gobernar. Los permisos de conectores solo cubren conectores que un Propietario o Propietario Principal ya ha añadido bajo Configuración de la organización > Conectores y conectado con credenciales de administrador. Revisa también tu política de herramientas a nivel de organización allí, ya que los otorgamientos de roles se estrechan dentro de ella y no pueden ampliarse más allá de ella. Consulta Usar conectores para ampliar las capacidades de Claude.

Antes de crear nada, decide qué características debe tener acceso cada equipo o grupo de miembros. Aquí hay cuatro patrones comunes:

Este es el enfoque recomendado para la mayoría de las organizaciones. Crea un rol "Acceso Estándar" para todos con características comunes como búsqueda web, memoria y proyectos. Luego crea roles aditivos que otorguen capacidades específicas — por ejemplo, un rol "Cowork Habilitado" que solo añade Cowork. Asigna todos los miembros al rol base a través de un grupo "Todos los Usuarios", y añade miembros específicos a grupos adicionales que añadan características extra.

Este patrón es flexible porque los permisos son aditivos — combinar un rol base con roles aditivos se compone limpiamente sin conflictos.

Crea niveles distintos: "Acceso Completo" con todas las características, "Acceso Estándar" con la mayoría de características, y "Acceso Restringido" con características mínimas. Cada miembro va en exactamente un grupo asignado a un nivel.

Crea roles que se asignen a departamentos: "Ingeniería" con chat, Cowork, Claude Code y ejecución de código; "Investigación" con chat, búsqueda web, memoria y proyectos; "Negocios" con chat, búsqueda web y proyectos solamente. Asigna cada grupo de departamento a su rol correspondiente.

Crea roles que deleguen partes de la administración sin otorgar el rol de Propietario. Un rol personalizado con permisos de administración no necesita ninguna capacidad de usuario, y viceversa. Podrías crear un rol "Finanzas" que otorgue acceso de Facturación pero sin capacidad de chat o Claude Code, o un rol "Líder de Ingeniería" que otorgue acceso a Claude Code más acceso de visualización de Análisis. Obtén más información sobre permisos de administración para roles personalizados.

Recuerda: cualquier característica que quieras controlar por grupo debe estar habilitada a nivel de organización. Si una característica está desactivada a nivel de organización, ningún rol personalizado puede otorgar acceso a ella.

Crea tus roles personalizados antes de habilitar cualquier característica o migrar miembros. Esto asegura que tus roles estén listos para hacer cumplir el acceso en el momento en que las características se activen.

Los cambios de rol pueden tardar hasta 15 minutos en surtir efecto. Los miembros pueden necesitar actualizar su navegador para ver el acceso actualizado.

Consulta Gestionar roles personalizados en planes Enterprise para obtener detalles sobre capacidades disponibles, permisos de administración y conectores.

Establece permisos de administración en cada rol para delegar acceso a configuraciones de administración, como facturación, gestión de usuarios o privacidad, sin otorgar el rol de Propietario. Este paso es opcional. Si no lo configuras, los roles no otorgan acceso de administración y la administración permanece con Propietarios y Propietarios Principales. Para ver qué cubre cada área de permisos, consulta Gestionar roles personalizados en planes Enterprise.

La pestaña Permisos enumera cada área de administrador: Identidad y Acceso, Facturación, Análisis, Privacidad, Gestión de Usuarios y Bibliotecas. Establece cada área de administrador en una de las siguientes opciones:

Dentro de un área, otorgas todo de Ver o todo de Administrar. No puedes otorgar ni restringir páginas o configuraciones individuales.

Verifica los permisos de administrador después de haber migrado miembros a roles "Personalizado" (Paso 7). Consulta Paso 11: Verificar y monitorear.

Establece permisos de conector en cada rol para controlar qué conectores y qué herramientas en esos conectores puede usar el rol. Este paso es opcional. Si no lo configuras, tus roles vuelven al comportamiento predeterminado descrito a continuación. Para saber cómo funciona el modelo de permisos de extremo a extremo, consulta Administrar roles personalizados en planes Enterprise.

La configuración predeterminada para nuevos roles es permisiva. Al crear o modificar un rol, confirma la configuración en cada pestaña para evitar otorgar permisos no deseados.

La pestaña Conectores enumera una fila Todos los conectores en la parte superior, seguida de cada conector que tu organización ha agregado. Cada fila tiene un menú desplegable con cuatro opciones:

Elegir "Siempre permitir", "Necesita aprobación" o "Bloqueado" aplica ese nivel a todas las herramientas del conector. La fila Todos los conectores funciona de la misma manera un nivel arriba: establece una línea de base para cada conector a la vez, incluido cualquier conector que agregues más tarde. Úsalo para establecer el valor predeterminado de un rol y luego anula conectores individuales.

Establece un conector en Personalizado para revelar sus herramientas como filas individuales. Cada herramienta tiene su propio menú desplegable: "Siempre permitir", "Necesita aprobación" o "Bloqueado".

Los permisos por herramienta permiten que un rol acceda a parte de un conector. Por ejemplo, con Jira establecido en Personalizado, su herramienta search_issues establecida en "Necesita aprobación" y todas las demás herramientas de Jira establecidas en "Bloqueado", los miembros con el rol pueden buscar en Jira pero nada más. Claude solo ve las herramientas que has otorgado, así que pedirle que cree un ticket devuelve "No tengo una herramienta para eso" en lugar de un error.

Debido a que los permisos de conector son aditivos entre roles, bloquear un conector en un rol no tiene efecto en un miembro que también tiene otro rol que lo otorga. Cada fila de conector muestra una advertencia cuando otros roles otorgan el mismo conector en un nivel diferente. La advertencia nombra esos roles y vincula a ellos, y la concesión más permisiva es la que se aplica.

Si tienes ediciones sin guardar cuando abres un rol vinculado, se te pide que las descartes primero.

Verifica los permisos de conector después de haber migrado miembros a roles "Personalizado" (Paso 7). Consulta Paso 11: Verificar y monitorear.

Establece el acceso a modelos en cada rol para controlar qué modelos de Claude puede usar el rol, limita el nivel de esfuerzo máximo por modelo y elige el modelo en el que comienzan las nuevas conversaciones. Este paso es opcional; si no lo configuras, los nuevos roles pueden usar cada modelo que esté habilitado a nivel de organización, en cualquier nivel de esfuerzo, e iniciar en el modelo predeterminado de la organización.

Para saber cómo funcionan el acceso a modelos y la configuración del modelo predeterminado de extremo a extremo, consulta Administrar acceso a modelos para tu organización y Establecer un modelo predeterminado para tu organización.

En Acceso a modelos, activa o desactiva cada modelo para este rol. Los modelos deshabilitados a nivel de organización aparecen pero no se pueden habilitar aquí hasta que los actives para la organización en Configuración de la organización > Modelos. Los modelos Haiku siempre están activados y no se pueden desactivar.

Para limitar el nivel de esfuerzo que un rol puede seleccionar en un modelo, haz clic en el icono de engranaje junto al modelo y elige un nivel.

En Modelo predeterminado, opcionalmente selecciona el modelo en el que comienzan las nuevas conversaciones para este rol. Solo se pueden seleccionar modelos a los que el rol tiene acceso.

Verifica el acceso a modelos después de haber migrado miembros a roles "Personalizado". Consulta Paso 11: Verificar y monitorear.

Si usas sincronización de directorios SCIM, puedes sincronizar grupos desde tu proveedor de identidad en lugar de crearlos manualmente. Para obtener detalles sobre la sincronización de grupos SCIM, consulta Administrar grupos y límites de gasto de grupos en planes Enterprise.

Múltiples organizaciones bajo la misma organización principal: Los grupos se administran a nivel de organización principal y se propagan a todas las organizaciones secundarias. Puedes ver miembros de otras organizaciones listados en un grupo, pero esto no significa que tengan acceso a tu organización. Los roles personalizados asignados a un grupo solo otorgan capacidades a miembros que forman parte de tu organización específica.

Si solicitas mover una organización de un principal a otro (esto es raro en la práctica), los grupos y roles quedarán sin definir y tendrás que recrearlos.

Antes de migrar miembros a roles personalizados, confirma que cada miembro que planeas migrar esté en al menos un grupo asignado a un rol personalizado. Los miembros migrados sin cobertura de grupo o rol perderán acceso a todas las funciones controladas.

Para que las capacidades de roles personalizados surtan efecto, los miembros deben tener su rol establecido en "Personalizado". Los miembros con roles de Usuario, Administrador o Propietario obtienen sus permisos de esos roles directamente, no de roles personalizados.

Elige la ruta de migración según si tu organización ya habilitó asignaciones de grupos:

Usa esta ruta solo si tu organización ya habilitó asignaciones de grupos para asignación de roles. Si no estás usando esta configuración, salta a la Ruta B.

Los miembros en grupos de IdP asignados a roles "Personalizado" siguen los permisos de los roles personalizados asignados a sus grupos en Claude. Los miembros en grupos de IdP asignados a Usuario siguen la configuración de capacidades a nivel de organización. Si un miembro está en grupos en ambas asignaciones, los roles "Personalizado" tienen prioridad.

Usa esta ruta si tu organización no ha habilitado asignaciones de grupos.

Recomendamos migrar primero un grupo piloto (un equipo o departamento) y verificar que su acceso sea correcto antes de expandir al resto de la organización.

Sea cual sea la ruta que uses, recomendamos migrar en etapas:

Solo habilita funciones a nivel de organización después de que los roles, grupos y la migración de miembros estén completos. Esto asegura que las capacidades de roles personalizados ya estén en su lugar, sin una ventana donde miembros no autorizados pudieran acceder a una función.

Para cualquier función que desees controlar por grupo:

Habilitar una función a nivel de organización no significa que todos la obtengan: los permisos de roles personalizados ya están en su lugar para controlar quién puede usarla. Piensa en el interruptor a nivel de organización como hacer que la función esté "disponible para asignación basada en roles" en lugar de "activada para todos".

Navega a la página "Uso" para asignar un límite de gasto mensual por usuario a cualquier grupo.

Ten en cuenta las siguientes reglas de precedencia:

Los cambios de membresía se aplican automáticamente: los usuarios heredan o pierden límites tan pronto como cambia su membresía de grupo. Solo es relevante para organizaciones con facturación basada en uso.

Si configuraste permisos de administrador, también verifica:

Si configuraste permisos de conector, también verifica:

Si configuraste acceso a modelos, también verifica:

Los cambios de rol pueden tardar hasta 15 minutos en aplicarse en toda la plataforma. Los miembros pueden necesitar actualizar su navegador para ver el acceso actualizado.

SCIM se conecta a tus capacidades basadas en roles a través de dos mecanismos que funcionan juntos.

Esto controla qué rol integrado obtiene un miembro cuando se aprovisiona. Mapea tus grupos de IdP a roles "Personalizados" para que el acceso de los nuevos miembros se rija automáticamente por las capacidades de rol personalizado.

Esto extrae tus grupos de IdP a Claude para que puedan asignarse a roles personalizados.

Si notas que tu estructura de rol está mal configurada después de la migración:

Si habilitaste mapeos de grupo durante la configuración y perdiste acceso de administrador, sigue los pasos de recuperación en Configurar aprovisionamiento JIT o SCIM bajo "Perdí acceso de Administrador/Propietario después de habilitar mapeos de grupo".

Sí. El interruptor a nivel de organización debe estar activado para que los roles personalizados controlen el acceso por miembro. Si una función está desactivada a nivel de organización, nadie puede acceder a ella independientemente de su rol. Piénsalo como un interruptor principal: los roles personalizados controlan quién obtiene acceso debajo de él.

No tienen permisos de rol personalizado, por lo que todas las funciones que requieren permisos están atenuadas u ocultas. Asegúrate de que cada miembro cuyo rol esté configurado como "Personalizado" esté en al menos un grupo asignado a un rol personalizado.

El modelo está deshabilitado a nivel de organización (Configuración de la organización > Modelos) o ninguno de los roles personalizados del miembro lo permite. Las deshabilitaciones a nivel de organización afectan a todos, incluidos Propietarios y Administradores.

Los miembros con ese rol no verán la interfaz de chat de Claude. Llegarán a su página de configuración cuando inicien sesión. Si su rol otorga otros productos como Cowork o Claude Code, estos permanecen accesibles desde su página de configuración y desde las aplicaciones relevantes.

El chat está habilitado de forma predeterminada en todos los roles personalizados, por lo que solo necesitas preocuparte por esto si deshabilitaste intencionalmente el chat para un rol.

Sí. Los miembros con los roles Usuario, Administrador o Propietario no se ven afectados por los permisos de roles personalizados porque obtienen sus permisos de esos roles directamente. Solo los miembros con un rol establecido en "Personalizado" están controlados por el sistema de grupos y roles. Esto permite una migración gradual.

Los permisos son acumulativos. Si algún rol en la cadena de un miembro otorga una función, la tiene. No puedes usar un rol para eliminar un permiso otorgado por otro rol.

Sí. Ambos tipos pueden asignarse a roles personalizados. La diferencia es que la pertenencia al grupo SCIM se gestiona en tu proveedor de identidad, mientras que la pertenencia al grupo manual se gestiona en la configuración de la organización de Claude.

No. Los Propietarios y Propietarios Principales siempre tienen acceso completo a todas las funciones.

Los grupos y la sincronización SCIM se gestionan a nivel de organización principal y se comparten en todas las organizaciones secundarias. Las asignaciones de roles y límites de gasto se configuran independientemente en cada organización secundaria; los cambios en una organización secundaria no afectan a otras. Los cambios de pertenencia a grupos y las resincronizaciones SCIM se propagan en todas las organizaciones secundarias bajo la misma organización principal.

Cada rol existente se inicializa con la concesión "Todos los conectores" en "Permitir siempre", por lo que el acceso de los miembros no cambia al habilitarse. Desde allí, restringes el acceso.

"Requiere aprobación" en cada conector. El flujo de creación de rol recorre la pestaña Conectores para que lo veas antes de guardar.

Un rol cuya fila "Todos los conectores" está establecida en "Permitir siempre", "Requiere aprobación" o "Bloqueado" cubre el nuevo conector en ese nivel automáticamente. Un rol cuya fila "Todos los conectores" está establecida en "Personalizado" trata el nuevo conector como "Bloqueado" hasta que lo configures.

Verifica si el miembro tiene otro rol que lo otorgue, ya que la concesión más permisiva gana entre roles. La advertencia de conflicto en la fila del conector enumera esos roles. También confirma que el rol del miembro está establecido en "Personalizado".

No. La política a nivel de organización es el límite máximo. Una herramienta bloqueada allí está bloqueada para todos, independientemente de los permisos de rol.

El rol puede otorgarla, pero la configuración más restrictiva gana, por lo que los miembros la ven limitada a "Requiere aprobación". Para permitir que los miembros establezcan "Permitir siempre", primero eleva la política a nivel de organización a "Permitir siempre".

Sí. Establece el conector en "Personalizado", establece la herramienta en "Permitir siempre" o "Requiere aprobación", y deja el resto "Bloqueado".

No. Las funciones integradas se rigen en la pestaña Capacidades. La pestaña Conectores rige los conectores que tu organización ha agregado.

Los cambios de rol pueden tardar hasta 15 minutos en entrar en vigor. Los miembros pueden necesitar actualizar su navegador.

Solo si su rol incluye Identidad y Acceso establecido en Administrar, que cubre la edición de roles y grupos. Reserva ese permiso para administradores de seguridad e IT de confianza, ya que puede usarse para cambiar definiciones de roles, incluidas las suyas propias.

No. Los permisos de administrador solo se aplican a miembros en un rol personalizado. Los miembros en un rol integrado mantienen el acceso que ese rol otorga. Para dar a alguien permisos de administrador específicos, cambia el miembro a un rol personalizado y agrégalo a un grupo asignado a un rol con los permisos que necesita. Ten en cuenta que esto elimina su acceso anterior de rol integrado.

La configuración de la organización solo muestra las secciones que cubren sus permisos. Las secciones a las que no tienen acceso están completamente ocultas en su configuración de la organización.

Configuración de la organización > Roles muestra los permisos de administrador que cada rol personalizado otorga, y Configuración de la organización > Grupos muestra qué grupos están asignados a cada rol y quién pertenece a ellos. Para verificar un miembro específico, busca sus grupos en Configuración de la organización > Miembros, luego los roles a los que esos grupos están asignados.

Crea un rol que otorgue acceso a múltiples áreas, o agrega el miembro a múltiples grupos cuyos roles cubran las áreas que necesita. Los permisos se combinan de forma aditiva.