Este artículo explica cómo funciona la autenticación gestionada por la empresa y cómo los administradores pueden autorizar conectores para su organización, ya sea a través de su proveedor de identidad o directamente con la autenticación emitida por Claude. Con la autenticación gestionada por la empresa, autorizas un conector una sola vez para toda tu organización, y tu equipo hereda el acceso automáticamente en el primer inicio de sesión.
La autenticación gestionada por la empresa está disponible para planes Team y Enterprise en Claude. La autenticación gestionada por IdP está disponible en general, y la autenticación emitida por Claude está en versión beta.
¿Qué es la autenticación gestionada por la empresa?
La autenticación gestionada por la empresa es un modelo de autorización y autenticación para conectores en Claude. En lugar de que cada persona autentique cada conector individualmente, los administradores aprovisionan el acceso del conector de forma centralizada.
Cada conector utiliza una de dos fuentes de identidad:
Gestionada por IdP: Tu proveedor de identidad se basa en que el inicio de sesión único (SSO) esté habilitado en Claude y en el conector. Con esto en su lugar, el IdP inicia la sesión del usuario en el conector.
Emitida por Claude (beta): Claude puede indicar al conector qué usuario inició sesión en Claude y usar esa información para el conector, bajo una URL de emisor única para tu organización. No necesitas un proveedor de identidad ni SSO.
Una vez que habilitas un conector para tu organización, tu equipo lo obtiene automáticamente la primera vez que inician sesión. Con la autenticación gestionada por IdP, la identidad se hereda de los grupos y roles del proveedor de identidad existente. Con la autenticación emitida por Claude, los usuarios se cotejan en el conector por dirección de correo electrónico.
Lo que controlas
Decides qué conectores están habilitados, qué grupos o roles los obtienen y en qué nivel de acceso:
Autentica conectores una sola vez para tu organización, y el acceso se otorga a tu equipo automáticamente.
Usa permisos basados en roles para elegir exactamente qué roles obtienen cada conector, de modo que diferentes equipos obtengan el acceso que se ajusta a su trabajo. Consulta Elige qué roles obtienen autenticación gestionada a continuación.
Elige qué permisos puede solicitar Claude cuando los miembros se conectan a través de tu proveedor de identidad, y estréchalo aún más para roles individuales.
Revoca el acceso. Con la autenticación gestionada por IdP, desaprovisionar a alguien en tu proveedor de identidad elimina su acceso al conector al mismo tiempo. Con la autenticación emitida por Claude, eliminar a alguien de tu organización Claude impide que Claude los inicie sesión. Elimínalos del servicio conectado también.
Requiere que un conector solo se conecte a través de autorización gestionada para que las cuentas personales se mantengan fuera de las herramientas de trabajo.
Nota: Cada conector, y tu proveedor de identidad si usas uno, es operado por un tercero bajo sus propios términos. Con la autenticación gestionada por IdP, Claude retransmite la autorización que emite tu proveedor de identidad, y las decisiones de acceso, el alcance y los datos que cada conector puede alcanzar se rigen por las políticas de tu proveedor de identidad y los permisos del servicio conectado, no por Anthropic. Con la autenticación emitida por Claude, Claude firma el inicio de sesión para los miembros actuales de tu organización.
A tu instrucción, Anthropic envía la dirección de correo electrónico de cada miembro y un identificador único al conector. Claude verifica solo la pertenencia a la organización, no SSO, MFA ni las propias reglas de inicio de sesión del conector. Las decisiones de acceso, el alcance y los datos que cada conector puede alcanzar se rigen por tu configuración de Claude y los permisos del servicio conectado.
Los tiempos de vida útil del token y el ciclo de vida se gestionan mediante el servidor de autorización conectado y, con la autenticación gestionada por IdP, tu proveedor de identidad. Las sesiones existentes terminan cuando el token de acceso del conector expira o se revoca.
Elige qué roles obtienen autenticación gestionada
Cuando configuras la autenticación gestionada por la empresa para un conector, eliges qué roles heredan el conector cuando configuras permisos basados en roles. Puedes usar permisos basados en roles para probar un conector con un equipo específico antes de activarlo para toda tu organización.
Ve a Configuración de la organización > Conectores y selecciona un conector.
En la pestaña Configuración, haz clic en "Configurar" junto a Autorización gestionada.
En el paso Conectar, elige una Fuente de identidad:
Gestionada por IdP: Confirma tu conexión del proveedor de identidad. Sigue la guía de configuración para configurar la autenticación gestionada por la empresa para este conector en tu proveedor de identidad y para habilitar la autenticación gestionada en la configuración de administrador del conector. Haz clic en "Ejecutar prueba" para confirmar que la conexión funciona.
Emitida por Claude: Sigue los pasos en Configura la autenticación emitida por Claude a continuación.
En el paso Roles, selecciona quién debe obtener este conector automáticamente.
Usuario, Administrador, Propietario, Propietario principal: los roles integrados de tu organización, como grupo.
Cualquier rol personalizado, seleccionado individualmente.
Para probar un conector con un equipo, selecciona solo el rol personalizado de ese equipo y deja sin marcar los roles integrados. Los miembros en el rol Usuario, Administrador, Propietario o Propietario principal no obtendrán el conector hasta que regreses y agregues esa opción.
En el paso Alcances, elige qué permisos puede solicitar Claude cuando los miembros se conectan. Estos se aplican a cada rol que seleccionaste. Para limitar los permisos para un rol específico, usa la pestaña Conectores de ese rol en su lugar (consulta a continuación).
Haz clic en "Guardar y activar".
Una vez configurado, la pestaña Configuración del conector muestra su estado actual: Roles aplicados enumera qué roles se conectan a través de autorización gestionada, y Alcances muestra lo que se otorga. Para expandir una prueba piloto, haz clic en "Editar" junto a Roles aplicados y agrega "Usuario, Administrador, Propietario, Propietario principal" o más roles personalizados.
Nota: Inicio de sesión del navegador y Autorización gestionada pueden estar activados para un conector al mismo tiempo. Cuando lo están, Claude intenta Autorización gestionada primero e invita al usuario a iniciar sesión individualmente si eso falla, para que los miembros no queden bloqueados mientras se resuelve un problema del proveedor de identidad.
Configuración del conector dentro de un rol personalizado
También puedes comenzar desde un rol en Configuración de la organización > Roles en lugar de un conector. En la pestaña Conectores de un rol personalizado, Cómo se conectan los miembros controla cómo los miembros de ese rol se autentican, en cada conector a la vez o por conector:
Individualmente: los miembros inician sesión con sus propias cuentas.
Autorización gestionada: los miembros se conectan a través de la fuente de identidad establecida para cada conector.
Establecer por conector: elige individualmente para cada conector.
Usa la autenticación emitida por Claude
Con la autenticación emitida por Claude, Claude envía una aserción firmada al conector, bajo una URL de emisor única para tu organización. El servicio conectado utiliza esta URL para confirmar que Claude firmó el inicio de sesión para un miembro actual de tu organización, por lo que el servicio debe incluirla como emisor de confianza.
No necesitas un proveedor de identidad ni SSO, aunque aún recomendamos aplicar SSO para tu organización Claude. Claude verifica solo la pertenencia a la organización, no SSO, MFA ni las propias reglas de inicio de sesión del conector.
Nota: La autenticación emitida por Claude está en versión beta.
Antes de comenzar
Un conector compatible: Solo los conectores cuyo proveedor admita la autenticación emitida por Claude pueden usarla. Consulta Conectores a continuación.
Un administrador del servicio conectado: Necesitas a alguien que pueda agregar un emisor de confianza a tu espacio de trabajo. Esto podrías ser tú.
Coincidencia de direcciones de correo electrónico: Los usuarios se cotejan por correo electrónico, por lo que el correo electrónico de Claude de cada usuario debe coincidir con el correo electrónico en su cuenta en el servicio conectado.
Los requisitos propios del proveedor: Algunos proveedores tienen sus propios requisitos, como SSO de su parte. Consulta la guía de configuración del proveedor.
Cada conector utiliza una fuente de identidad a la vez. Puedes cambiar más tarde en la misma pantalla de configuración.
Configura la autenticación emitida por Claude
Configura la autenticación emitida por Claude una sola vez para cada conector.
Ve a Configuración de la organización > Conectores y selecciona un conector.
En la pestaña Configuración, haz clic en "Configurar" junto a Autorización gestionada.
En el paso Conectar, selecciona "Emitida por Claude" bajo Fuente de identidad.
Copia la URL del emisor.
En la consola de administrador del servicio conectado, agrega la URL como emisor de confianza para tu espacio de trabajo. Sigue la guía de configuración del proveedor, vinculada desde el paso Conectar. Si no eres administrador de ese servicio, comparte la URL y la guía con alguien que lo sea.
Si el servicio conectado te proporciona un ID de espacio de trabajo o inquilino, pégalo en el campo de inquilino en Claude.
De vuelta en Claude, haz clic en "Probar conexión" para ejecutar la prueba de conexión, luego haz clic en "Habilitar y continuar".
Elige quién obtiene el conector. Todos los roles lo obtienen de forma predeterminada.
Si la prueba falla, verifica que la URL del emisor sea de confianza en el espacio de trabajo correcto, que el ID del inquilino sea correcto y que el espacio de trabajo tenga una cuenta con tu dirección de correo electrónico.
Para desactivar la autenticación emitida por Claude, abre la configuración de Autorización gestionada del conector y elige "Desactivar". Los usuarios luego se conectan al servicio ellos mismos.
Lo que ven los usuarios
El conector ya está conectado la primera vez que un usuario lo necesita, sin página de inicio de sesión ni pantalla de consentimiento. Un usuario cuyo correo electrónico no coincida con una cuenta en el servicio conectado no se conecta automáticamente y ve el mensaje de Conectar habitual.
Antes de anunciar el conector a tu organización, pide a dos o tres usuarios que confirmen que está conectado y ejecuten una solicitud real.
Cuando alguien se va de tu organización
Claude solo firma para los miembros actuales de tu organización. Cuando eliminas a alguien, Claude deja de firmarlos en los servicios conectados, pero el acceso ya otorgado en un servicio dura hasta que expira. Elimínalos de cada servicio conectado antes de que esa dirección de correo electrónico se reutilice, o una nueva persona con esa dirección podría ser firmada en la cuenta anterior.
Si usas sincronización de directorios (SCIM), verifica que la persona ya no aparezca en tu lista de miembros. Claude elimina un miembro cuando tu directorio los elimina, pero no cuando tu directorio solo los suspende o los marca como inactivos.
Lo que funciona con la autenticación gestionada por la empresa
La autenticación gestionada por la empresa funciona con los conectores que tus equipos usan día a día. Con la autenticación gestionada por IdP, tu proveedor de identidad controla quién obtiene acceso. Con la autenticación emitida por Claude, Claude inicia sesión para los miembros actuales de tu organización.
Proveedores de identidad
La autenticación gestionada por IdP requiere SSO con un proveedor de identidad compatible. Okta es compatible, con más proveedores de identidad próximamente. Consulta la documentación de Okta para más detalles.
La autenticación emitida por Claude no utiliza un proveedor de identidad, por lo que no se necesita configuración del proveedor de identidad.
Conectores
Actualmente, puedes aprovisionar estos conectores a través de la autenticación gestionada por la empresa:
Amplitude (consulta la documentación de Amplitude)
Apollo.io (consulta la documentación de Apollo)
Asana (consulta la documentación de Asana)
Atlassian (consulta la documentación de Atlassian)
Canva (consulta la documentación de Canva)
Crossbeam (consulta la documentación de Crossbeam)
Datadog (consulta la documentación de Datadog)
Dropbox (consulta la documentación de Dropbox)
Figma (consulta la documentación de Figma)
Granola (consulta la documentación de Granola)
HubSpot (consulta la documentación de HubSpot)
Linear (consulta la documentación de Linear)
Lovable (consulta la documentación de Lovable)
Mixpanel (consulta la documentación de Mixpanel)
Monday.com (consulta la documentación de Monday)
Notion (consulta la documentación de Notion)
PagerDuty (consulta la documentación de Pagerduty)
Semrush (consulta la documentación de Semrush)
Slack (consulta la documentación de Slack)
Supabase (consulta la documentación de Supabase)
Desbloqueado
La autenticación emitida por Claude funciona solo con conectores cuyo proveedor la admita. La versión beta incluye: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush y Supabase.
Cualquier proveedor de MCP puede agregar soporte para la autenticación gestionada por la empresa. Consulta Autorización gestionada por la empresa para más detalles.
Conectores personales
Tu equipo aún puede agregar conectores personales además de lo que aprovisionas. La autenticación gestionada por la empresa maneja los conectores que habilitas para tu organización, mientras que los individuos pueden conectar servicios adicionales para su propio uso.