Configurar permisos basados en roles en planes Enterprise

Esta guía te ayuda a configurar permisos basados en roles para tu organización Enterprise. Esto te permite controlar qué características y conectores pueden acceder equipos específicos o grupos de miembros, y delegar acceso administrativo específico como facturación o gestión de usuarios, en lugar de dar a todos los mismos permisos.

Antes de comenzar, asegúrate de estar familiarizado con:

Necesitarás acceso de Propietario o Propietario Principal a tu organización Enterprise, o un rol personalizado con Identidad y Acceso configurado en Gestionar.

Verifica qué capacidades están habilitadas a nivel de organización. Ve a Configuración de la organización y asegúrate de saber qué capacidades pueden acceder los miembros actualmente. Para configuraciones gestionadas por RBAC, tanto la configuración de la organización como la configuración de rol deben estar activadas para que los usuarios obtengan acceso.

Haz una copia de seguridad de tu lista de miembros. Exporta un CSV de tus miembros actuales desde Configuración de la organización > Miembros antes de hacer cambios. Si algo sale mal durante la migración, esto te da una referencia para restaurar el acceso. Consulta Manage members on Team and Enterprise plans.

Determina qué equipos o funciones necesitan cada capacidad. Por ejemplo, Ingeniería obtiene Claude Code + Modo Rápido y Marketing obtiene Cowork + Búsqueda Web. A partir de aquí, define tus roles personalizados.

Planes de doble asiento. Si tu organización está en un plan Enterprise de doble asiento (con asientos de Chat y Chat + Claude Code), los roles personalizados no anulan las restricciones a nivel de asiento. Un miembro asignado a un asiento solo de Chat no puede acceder a Claude Code incluso si su rol personalizado lo permite. Lo mismo se aplica a la inversa: si el rol personalizado de un miembro no otorga la capacidad de chat, no tendrá acceso a chat independientemente de su tipo de asiento. Planifica tu estructura de roles teniendo en cuenta las asignaciones de asientos.

Decide cómo crearás grupos. Puedes crear grupos manualmente en Claude, o sincronizarlos desde tu proveedor de identidad (IdP) a través de SCIM. También puedes usar ambos métodos simultáneamente. Si planeas usar grupos de IdP de Okta, Entra ID u otro proveedor, asegúrate de que la sincronización del directorio SCIM esté configurada. Consulta Set up JIT or SCIM provisioning.

Añade los conectores que planeas gobernar. Los permisos de conectores solo cubren conectores que un Propietario o Propietario Principal ya ha añadido en Configuración de la organización > Conectores y conectado con credenciales de administrador. Revisa también tu política de herramientas a nivel de organización allí, ya que los otorgamientos de roles se reducen dentro de ella y no pueden ampliarse más allá de ella. Consulta Use connectors to extend Claude's capabilities.

Antes de crear nada, decide qué características debe tener acceso cada equipo o grupo de miembros. Aquí hay cuatro patrones comunes:

Este es el enfoque recomendado para la mayoría de las organizaciones. Crea un rol "Acceso Estándar" para todos con características comunes como búsqueda web, memoria y proyectos. Luego crea roles aditivos que otorguen capacidades específicas — por ejemplo, un rol "Cowork Habilitado" que solo añade Cowork. Asigna todos los miembros al rol base a través de un grupo "Todos los Usuarios", y añade miembros específicos a grupos adicionales que añadan características extra.

Este patrón es flexible porque los permisos son aditivos — combinar un rol base con roles aditivos se compone limpiamente sin conflictos.

Crea niveles distintos: "Acceso Completo" con todas las características, "Acceso Estándar" con la mayoría de características, y "Acceso Restringido" con características mínimas. Cada miembro va en exactamente un grupo asignado a un nivel.

Crea roles que se asignen a departamentos: "Ingeniería" con chat, Cowork, Claude Code y ejecución de código; "Investigación" con chat, búsqueda web, memoria y proyectos; "Negocios" con chat, búsqueda web y solo proyectos. Asigna cada grupo de departamento a su rol correspondiente.

Crea roles que deleguen partes de la administración sin otorgar el rol de Propietario. Un rol personalizado con permisos de administración no necesita ninguna capacidad de usuario, y viceversa. Podrías crear un rol "Finanzas" que otorgue acceso de Facturación pero sin capacidad de chat o Claude Code, o un rol "Líder de Ingeniería" que otorgue Claude Code más acceso de vista de Análisis. Obtén más información about admin permissions for custom roles.

Recuerda: cualquier característica que quieras controlar por grupo debe estar habilitada a nivel de organización. Si una característica está desactivada a nivel de organización, ningún rol personalizado puede otorgar acceso a ella.

Crea tus roles personalizados antes de habilitar cualquier característica o migrar miembros. Esto asegura que tus roles estén listos para aplicar acceso en el momento en que las características se activen.

Los cambios de rol pueden tardar hasta 15 minutos en surtir efecto. Los miembros pueden necesitar actualizar su navegador para ver el acceso actualizado.

Consulta Manage custom roles on Enterprise plans para detalles sobre capacidades disponibles, permisos de administración y conectores.

Establece permisos de administración en cada rol para delegar acceso a configuraciones de administración, como facturación, gestión de usuarios o privacidad, sin otorgar el rol de Propietario. Este paso es opcional. Si no lo configuras, los roles no otorgan acceso de administración y la administración permanece con Propietarios y Propietarios Principales. Para ver qué cubre cada área de permiso, consulta Manage custom roles on Enterprise plans.

La pestaña Permisos enumera cada área de administrador: Identidad y Acceso, Facturación, Análisis, Privacidad, Gestión de Usuarios, Bibliotecas y Directorio. Establece cada área de administrador en una de las siguientes opciones:

Dentro de un área, otorgas todo de Ver o todo de Administrar. No puedes otorgar ni restringir páginas o configuraciones individuales.

Verifica los permisos de administrador después de haber migrado miembros a roles "Personalizados" (Paso 7). Consulta Paso 11: Verificar y monitorear.

Establece permisos de conectores en cada rol para controlar qué conectores y qué herramientas en esos conectores puede usar el rol. Este paso es opcional. Si no lo configuras, tus roles vuelven al comportamiento predeterminado descrito a continuación. Para saber cómo funciona el modelo de permisos de extremo a extremo, consulta Administrar roles personalizados en planes Enterprise.

La configuración predeterminada para nuevos roles es permisiva. Al crear o modificar un rol, confirma la configuración en cada pestaña para evitar otorgar permisos no deseados.

La pestaña Conectores enumera una fila Todos los conectores en la parte superior, seguida de cada conector que tu organización ha agregado. Cada fila tiene un menú desplegable con cuatro opciones:

Elegir "Siempre permitir", "Necesita aprobación" o "Bloqueado" aplica ese nivel a cada herramienta en el conector. La fila Todos los conectores funciona de la misma manera un nivel arriba: establece una línea de base para cada conector a la vez, incluido cualquier conector que agregues más tarde. Úsalo para establecer el valor predeterminado de un rol y luego anula conectores individuales.

El menú desplegable Cómo se conectan los miembros controla si los miembros del rol inician sesión en conectores con sus propias cuentas o se conectan automáticamente a través de tu proveedor de identidad:

Si un conector tiene tanto Individualmente como Autorización administrada activados, Claude intenta primero la autorización administrada. Si eso falla, los miembros aún pueden iniciar sesión individualmente con su propia cuenta, así que no quedan bloqueados del conector mientras se resuelve un problema del proveedor de identidad.

Elegir Individualmente o Autorización administrada en la fila Todos los conectores establece una línea de base para cada conector a la vez, incluido cualquier conector que agregues más tarde. Úsalo para establecer el valor predeterminado de un rol y luego anula conectores individuales.

Establece un conector en Personalizado para revelar sus herramientas como filas individuales. Puedes elegir "Siempre permitir", "Necesita aprobación" o "Bloqueado" para cada herramienta.

Los permisos por herramienta permiten que un rol acceda a parte de un conector. Por ejemplo, con Jira establecido en Personalizado, su herramienta `search_issues` establecida en "Necesita aprobación" y cada otra herramienta de Jira establecida en "Bloqueado", los miembros con el rol pueden buscar en Jira pero nada más. Claude solo ve las herramientas que has otorgado, así que pedirle que cree un ticket devuelve "No tengo una herramienta para eso" en lugar de un error.

Debido a que los permisos de conectores son aditivos entre roles, bloquear un conector en un rol no tiene efecto en un miembro que también tiene otro rol que lo otorga. Cada fila de conector muestra una advertencia cuando otros roles otorgan el mismo conector en un nivel diferente. La advertencia nombra esos roles y vincula a ellos, y la concesión más permisiva es la que se aplica.

Si tienes ediciones sin guardar cuando abres un rol vinculado, se te pide que las descartes primero.

Verifica los permisos de conectores después de haber migrado miembros a roles "Personalizados" (Paso 7). Consulta Paso 11: Verificar y monitorear.

Establece el acceso a modelos en cada rol para controlar qué modelos de Claude puede usar el rol, limita el nivel de esfuerzo máximo por modelo y elige el modelo en el que comienzan las nuevas conversaciones. Este paso es opcional; si no lo configuras, los nuevos roles pueden usar cada modelo que esté habilitado a nivel de organización, en cualquier nivel de esfuerzo, e iniciar en el modelo predeterminado de la organización.

Para saber cómo funcionan el acceso a modelos y la configuración del modelo predeterminado de extremo a extremo, consulta Administrar acceso a modelos para tu organización y Establecer un modelo predeterminado para tu organización.

En Acceso a modelos, activa o desactiva cada modelo para este rol. Los modelos deshabilitados a nivel de organización aparecen pero no se pueden habilitar aquí hasta que los actives para la organización en Configuración de la organización > Modelos. Los modelos Haiku siempre están activos y no se pueden desactivar.

Para limitar el nivel de esfuerzo que un rol puede seleccionar en un modelo, haz clic en el icono de engranaje junto al modelo y elige un nivel.

En Modelo predeterminado, opcionalmente selecciona el modelo en el que comienzan las nuevas conversaciones para este rol. Solo se pueden seleccionar los modelos a los que el rol tiene acceso.

Verifica el acceso a modelos después de haber migrado miembros a roles "Personalizados". Consulta Paso 11: Verificar y monitorear.

Si utilizas sincronización de directorios SCIM, puedes sincronizar grupos desde tu proveedor de identidad en lugar de crearlos manualmente. Para obtener detalles sobre la sincronización de grupos SCIM, consulta Administrar grupos y límites de gasto de grupos en planes Enterprise.

Múltiples organizaciones bajo la misma organización principal: Los grupos se administran a nivel de organización principal y se propagan a todas las organizaciones secundarias. Puedes ver miembros de otras organizaciones listados en un grupo, pero esto no significa que tengan acceso a tu organización. Los roles personalizados asignados a un grupo solo otorgan capacidades a miembros que forman parte de tu organización específica.

Si solicitas mover una organización de un padre a otro (esto es raro en la práctica), los grupos y roles quedarán sin definir y tendrás que recrearlos.

Antes de migrar miembros a roles personalizados, confirma que cada miembro que planeas migrar está en al menos un grupo asignado a un rol personalizado. Los miembros migrados sin cobertura de grupo o rol perderán acceso a todas las funciones gobernadas.

Para que las capacidades de rol personalizado surtan efecto, los miembros deben tener su rol establecido en "Personalizado". Los miembros con roles de Usuario, Administrador o Propietario obtienen sus permisos de esos roles directamente, no de roles personalizados.

Elige la ruta de migración según si tu organización ya habilitó asignaciones de grupos:

Utiliza esta ruta solo si tu organización ya habilitó asignaciones de grupos para la asignación de roles. Si no estás usando esta configuración, salta a la Ruta B.

Los miembros en grupos de IdP asignados a roles "Personalizados" siguen los permisos de los roles personalizados asignados a sus grupos en Claude. Los miembros en grupos de IdP asignados a Usuario siguen la configuración de capacidades a nivel de organización. Si un miembro está en grupos en ambas asignaciones, los roles "Personalizados" tienen prioridad.

Utiliza esta ruta si tu organización no ha habilitado asignaciones de grupos.

Recomendamos migrar primero un grupo piloto (un equipo o departamento) y verificar que su acceso sea correcto antes de expandir al resto de la organización.

Sea cual sea la ruta que uses, recomendamos migrar en etapas:

Solo habilita funciones a nivel de organización después de que los roles, grupos y la migración de miembros estén completos. Esto asegura que las capacidades de rol personalizado ya estén en su lugar, sin una ventana donde miembros no autorizados pudieran acceder a una función.

Para cualquier función que desees controlar por grupo:

Habilitar una función a nivel de organización no significa que todos la obtengan—los permisos de roles personalizados ya están en su lugar para controlar quién puede usarla. Piensa en el botón a nivel de organización como hacer que la función esté "disponible para asignación basada en roles" en lugar de "activada para todos".

Para asignar un límite de gasto mensual por usuario a un grupo:

Ten en cuenta las siguientes reglas de precedencia:

Los cambios de membresía tienen efecto automáticamente—los usuarios heredan o pierden límites tan pronto como cambia su membresía de grupo. Solo es relevante para organizaciones con facturación basada en uso.

Si configuraste permisos de administrador, también verifica:

Si configuraste permisos de conectores, también verifica:

Si configuraste acceso a modelos, también verifica:

Los cambios de rol pueden tardar hasta 15 minutos en tener efecto en toda la plataforma. Los miembros pueden necesitar actualizar su navegador para ver el acceso actualizado.

SCIM se conecta a tus capacidades basadas en roles a través de dos mecanismos que funcionan juntos.

Esto controla qué rol integrado obtiene un miembro cuando se aprovisiona. Mapea tus grupos de IdP a roles "Personalizados" para que el acceso de los nuevos miembros se rija automáticamente por las capacidades de roles personalizados.

Esto extrae tus grupos de IdP a Claude para que puedan asignarse a roles personalizados.

Si nota que la estructura de su rol está mal configurada después de la migración:

Si habilitó asignaciones de grupos durante la configuración y perdió acceso de administrador, siga los pasos de recuperación en Configurar aprovisionamiento JIT o SCIM en "Perdí acceso de administrador/propietario después de habilitar asignaciones de grupos."

Sí. El control a nivel de organización debe estar activado para que los roles personalizados controlen el acceso por miembro. Si una función está desactivada a nivel de organización, nadie puede acceder a ella independientemente de su rol. Piénselo como un interruptor principal: los roles personalizados controlan quién obtiene acceso debajo de él.

No tienen permisos de rol personalizado, por lo que todas las funciones que requieren permisos están deshabilitadas u ocultas. Asegúrese de que cada miembro cuyo rol esté configurado como "Personalizado" esté en al menos un grupo asignado a un rol personalizado.

El modelo está deshabilitado a nivel de organización (Configuración de organización > Modelos) o ninguno de los roles personalizados del miembro lo otorga. Las deshabilitaciones a nivel de organización afectan a todos, incluidos propietarios y administradores.

Los miembros en ese rol no verán la interfaz de chat de Claude. Llegarán a su página de configuración cuando inicien sesión. Si su rol otorga otros productos como Cowork o Claude Code, permanecen accesibles desde su página de configuración y desde las aplicaciones relevantes.

El chat está habilitado de forma predeterminada en todos los roles personalizados, por lo que solo necesita preocuparse por esto si desactivó intencionalmente el chat para un rol.

Sí. Los miembros con roles de Usuario, Administrador o Propietario no se ven afectados por los permisos de rol personalizado porque obtienen sus permisos de esos roles directamente. Solo los miembros con un rol configurado como "Personalizado" se controlan mediante el sistema de grupo y rol. Esto permite una migración gradual.

Los permisos son aditivos. Si algún rol en la cadena de un miembro otorga una función, la tienen. No puede usar un rol para eliminar un permiso otorgado por otro rol.

Sí. Ambos tipos se pueden asignar a roles personalizados. La diferencia es que la pertenencia al grupo SCIM se gestiona en su proveedor de identidad, mientras que la pertenencia al grupo manual se gestiona en la configuración de organización de Claude.

No. Los propietarios y propietarios principales siempre tienen acceso completo a todas las funciones.

Los grupos y la sincronización SCIM se gestionan a nivel de organización principal y se comparten en todas las organizaciones secundarias. Las asignaciones de rol y límite de gasto se configuran independientemente en cada organización secundaria: los cambios en una organización secundaria no afectan a otras. Los cambios de pertenencia a grupos y las resincronizaciones SCIM se propagan en todas las organizaciones secundarias bajo el mismo padre.

Cada rol existente se inicializa con la concesión "Todos los conectores" en "Siempre permitir", por lo que el acceso de los miembros no cambia en la habilitación. Desde allí restringe el acceso.

"Requiere aprobación" en cada conector. El flujo de creación de rol recorre la pestaña Conectores para que lo vea antes de guardar.

Un rol cuya fila "Todos los conectores" está configurada en "Siempre permitir", "Requiere aprobación" o "Bloqueado" cubre el nuevo conector en ese nivel automáticamente. Un rol cuya fila "Todos los conectores" está configurada en "Personalizado" trata el nuevo conector como "Bloqueado" hasta que lo configure.

Verifique si el miembro tiene otro rol que lo otorgue, ya que la concesión más permisiva gana en todos los roles. La advertencia de conflicto en la fila del conector enumera esos roles. También confirme que el rol del miembro está configurado como "Personalizado".

No. La política en toda la organización es el límite. Una herramienta bloqueada allí está bloqueada para todos, independientemente de las concesiones de rol.

Cowork tiene una configuración de organización separada, Permitir "Siempre permitir" para herramientas de conector, que controla las herramientas de conector con capacidad de escritura. Está desactivada de forma predeterminada. Hasta que se active, "Permitir para todas las tareas" permanece deshabilitado independientemente de las concesiones de rol y políticas de herramientas, y las preferencias de siempre permitir guardadas anteriormente no se respetan. Las herramientas de solo lectura están exentas solo cuando el conector las anota como de solo lectura, lo que la mayoría de conectores personalizados no hacen. Para obtener más información, consulte Aprobaciones de herramientas de conector.

El rol puede otorgarla, pero la configuración más estricta gana, por lo que los miembros la ven limitada a "Requiere aprobación". Para permitir que los miembros establezcan "Siempre permitir", primero aumente la política en toda la organización a "Siempre permitir".

Sí. Configure el conector en "Personalizado", configure la herramienta en "Siempre permitir" o "Requiere aprobación" y deje el resto "Bloqueado".

No. Las funciones integradas se rigen en la pestaña Capacidades. La pestaña Conectores rige los conectores que su organización ha agregado.

Los cambios de rol pueden tardar hasta 15 minutos en entrar en vigor. Los miembros pueden necesitar actualizar su navegador.

Solo si su rol incluye Identidad y Acceso configurado en Administrar, lo que cubre la edición de roles y grupos. Reserve ese permiso para administradores de seguridad e IT de confianza, ya que se puede usar para cambiar definiciones de roles, incluidas las propias.

No. Los permisos de administrador solo se aplican a miembros en un rol personalizado. Los miembros en un rol integrado mantienen el acceso que otorga ese rol. Para otorgar permisos de administrador específicos a alguien, cambie el miembro a un rol personalizado y agréguelo a un grupo asignado a un rol con los permisos que necesita. Tenga en cuenta que esto elimina su acceso anterior al rol integrado.

La configuración de la organización solo muestra las secciones que cubren sus permisos. Las secciones a las que no tienen acceso se ocultan completamente de su configuración de organización.

Configuración de la organización > Roles muestra los permisos de administrador que otorga cada rol personalizado, y Configuración de la organización > Grupos muestra qué grupos están asignados a cada rol y quién pertenece a ellos. Para verificar un miembro específico, busque sus grupos en Configuración de la organización > Miembros, luego los roles a los que están asignados esos grupos.

Cree un rol que otorgue acceso a múltiples áreas, o agregue el miembro a múltiples grupos cuyos roles cubran las áreas que necesita. Los permisos se combinan de forma aditiva.