Gérer les rôles personnalisés sur les plans Enterprise

Les rôles personnalisés vous permettent de définir les fonctionnalités auxquelles vos membres peuvent accéder. Chaque rôle personnalisé contient un ensemble de permissions qui accordent ou restreignent l'accès à des capacités spécifiques comme le chat, Claude Cowork, Claude Code et la recherche web, ainsi qu'aux connecteurs que votre organisation a ajoutés, tels que Slack ou Google Drive. Les rôles personnalisés peuvent également accorder des permissions d'administrateur, qui donnent aux membres l'accès à des zones administratives spécifiques comme la facturation, l'identité ou la confidentialité sans les rendre propriétaires.

Les rôles personnalisés fonctionnent aux côtés des groupes. Le flux de travail typique est : créer des rôles personnalisés, les assigner à des groupes, puis définir les rôles des membres sur « Personnalisé » afin que leur accès soit entièrement régi par les rôles personnalisés assignés à leurs groupes.

L'accès aux fonctionnalités est déterminé par une chaîne de précédence à quatre niveaux, où le niveau le plus restrictif l'emporte :

Le point clé à retenir : le bouton bascule au niveau de l'organisation est un interrupteur principal. Les rôles personnalisés sont les interrupteurs individuels en dessous. Une fonctionnalité doit être activée au niveau de l'organisation avant que les rôles personnalisés puissent contrôler qui y a accès.

Chaque rôle personnalisé peut accorder ou restreindre l'accès aux capacités suivantes :

Les rôles personnalisés régissent également les autorisations d'administrateur, les connecteurs et l'accès aux modèles, qui sont configurés sur des onglets Autorisations, Connecteurs et Modèles distincts dans l'éditeur de rôles. Voir Autorisations d'administrateur, Autorisations des connecteurs et Accès aux modèles ci-dessous.

Au lieu de basculer les capacités individuellement, vous pouvez accorder à un rôle chaque capacité. Lors de la création ou de la modification d'un rôle, choisissez une option sur l'onglet Capacités pour Accès aux capacités :

Les rôles définis sur l'une ou l'autre option récupèrent automatiquement les nouvelles capacités au fur et à mesure de leur lancement. Les rôles définis sur « Seulement sélectionné » incluent uniquement les capacités que vous sélectionnez.

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet, et les membres peuvent avoir besoin d'actualiser leur navigateur. Tous les membres des groupes assignés à ce rôle sont affectés.

Cliquez sur le bouton de menu sur n'importe quel rôle personnalisé et sélectionnez « Supprimer le rôle ». La suppression d'un rôle supprime ses autorisations de tous les groupes auxquels il a été assigné. Les membres de ces groupes perdent les autorisations que le rôle accordait, sauf si un autre rôle dans leur chaîne les accorde également.

Les rôles personnalisés sont assignés à des groupes, non directement à des membres individuels. Pour assigner un groupe à un rôle :

Vous pouvez également assigner des rôles personnalisés lors de la création ou de la modification d'un groupe dans Paramètres de l'organisation > Groupes. Voir Gérer les groupes et les limites de dépenses des groupes sur les plans Entreprise.

Si un membre appartient à plusieurs groupes avec différents rôles personnalisés, ses autorisations sont additives—il obtient l'union de toutes les autorisations de tous les rôles dans sa chaîne. Si un rôle accorde une fonctionnalité, le membre y a accès.

Cela signifie que vous ne pouvez pas utiliser un rôle pour supprimer une autorisation accordée par un autre rôle. C'est intentionnel — cela permet une approche en couches où un rôle de base couvre les fonctionnalités communes et les rôles supplémentaires ajoutent des capacités spécifiques et des autorisations d'administrateur.

Exemple : Un membre est dans deux groupes. Le groupe « Tous les utilisateurs » est assigné à un rôle « Accès standard » avec recherche web et mémoire. Le groupe « Ingénierie » est assigné à un rôle « Développeur » avec Cowork et Claude Code. Le membre obtient les quatre : recherche web, mémoire, Cowork et Claude Code.

Lorsqu'un membre appartient à plusieurs groupes dont les rôles accordent différentes capacités, il peut être difficile de dire ce qu'il peut réellement faire. L'option « Afficher le rôle effectif » affiche le résultat combiné : chaque capacité, autorisation d'administrateur et connecteur que le membre a, avec le rôle qui accorde chacun.

La fenêtre modale répertorie les rôles attribués au membre et trois onglets :

Cette vue est en lecture seule. Pour modifier ce qu'un membre peut faire, modifiez les rôles attribués à ses groupes.

Les rôles personnalisés peuvent accorder des autorisations d'administrateur en plus des capacités et des autorisations de connecteur. Les autorisations d'administrateur donnent aux membres l'accès à des zones administratives spécifiques, comme la facturation ou la confidentialité, sans les rendre propriétaires. Vous pouvez configurer les autorisations d'administrateur dans l'onglet Autorisations de l'éditeur de rôles.

Dans l'onglet Autorisations, vous définissez chaque zone de permission à l'un des trois niveaux :

Dans une zone, vous accordez tout l'accès Affichage ou tout l'accès Gestion. Vous ne pouvez pas accorder ou restreindre des pages ou des paramètres individuels.

Il y a sept zones de permission d'administrateur :

Les éléments suivants restent disponibles uniquement pour les Propriétaires et Propriétaires principaux, même pour les membres disposant de permissions d'administrateur :

Si un membre n'a pas accès à une permission d'administrateur spécifique, la section n'apparaît pas dans ses paramètres d'organisation. Seules les sections couvertes par ses permissions sont affichées.

Les rôles personnalisés contrôlent également les connecteurs et les outils de ces connecteurs qu'un rôle peut utiliser. Là où les capacités couvrent les fonctionnalités intégrées de Claude, les permissions des connecteurs couvrent les applications et services que vous avez connectés à votre organisation, comme Slack, Google Drive ou Jira. Vous les définissez dans l'onglet Connecteurs de l'éditeur de rôles, à côté des onglets Capacités et Permissions.

Dans l'onglet Connecteurs, vous définissez tous les connecteurs, chaque connecteur ou chaque outil sur un connecteur à l'un des trois niveaux :

Un connecteur peut également être défini sur Personnalisé, ce qui vous permet de définir chacun de ses outils individuellement. Pour la configuration complète, consultez Configurer les permissions basées sur les rôles sur les plans Entreprise.

Un connecteur ou un outil passe par plusieurs couches avant qu'un membre puisse l'utiliser, évaluées dans cet ordre :

Pour les membres utilisant Claude Code, une couche supplémentaire s'applique : les politiques des paramètres gérés et les autorisations de connecteur se composent par la plus restrictive. Un outil est appelable sans invite uniquement lorsque les deux l'autorisent. Pour plus d'informations, consultez Paramètres de Claude Code.

Pour les membres utilisant Claude Cowork, les outils de connecteur compatibles avec l'écriture passent par une porte supplémentaire. Voir Paramètre d'approbation Cowork pour les outils d'écriture ci-dessous.

Ce tableau montre comment la politique d'outil à l'échelle de l'organisation et l'attribution de rôle d'un membre se combinent :

Claude Cowork dispose d'un paramètre d'organisation distinct, Autoriser « Toujours autoriser » pour les outils de connecteur, qui contrôle les outils de connecteur compatibles avec l'écriture. Il est désactivé par défaut, et les attributions de rôle personnalisées ne peuvent pas le contourner : même lorsque la politique d'outil à l'échelle de l'organisation et chaque attribution de rôle sont définis sur « Toujours autoriser », les membres approuvent ces outils par tâche dans Cowork jusqu'à ce que le paramètre soit activé. En savoir plus sur les approbations d'outils de connecteur dans Cowork.

Les autorisations de connecteur sont appliquées sur les serveurs d'Anthropic, elles s'appliquent donc sur chaque surface Claude qui achemine le trafic des connecteurs via Anthropic :

Les autorisations de connecteur régissent les connecteurs que votre organisation a ajoutés sous Paramètres de l'organisation > Connecteurs. Elles ne régissent pas les connecteurs qu'un membre exécute localement sur sa propre machine, et elles ne régissent pas Claude Cowork lorsqu'il est déployé sur une plateforme tierce. Pour les déploiements Cowork tiers, utilisez MDM à la place. Voir Cowork sur 3P : MCP, plugins, compétences et hooks.

Les membres ne peuvent pas déterminer quelle couche a restreint un outil. Le message est le même que la limite provienne de la politique d'outil à l'échelle de l'organisation, d'une attribution de rôle, ou des deux. Pour trouver la source, comparez la politique à l'échelle de l'organisation avec les attributions de rôle du membre.

Les rôles personnalisés contrôlent également les modèles Claude qu'un rôle peut utiliser et le niveau d'effort maximal que les membres peuvent sélectionner sur chacun. Vous les définissez sur l'onglet Modèles de l'éditeur de rôle, à côté du modèle par défaut du rôle.

Le paramètre de modèle au niveau de l'organisation est le plafond. Un rôle ne peut pas accorder un modèle qui est désactivé au niveau de l'organisation. Parmi les rôles d'un membre, l'accès aux modèles est additif et les limites d'effort prennent le plafond le plus élevé que tout rôle autorise. Les modèles Haiku sont toujours disponibles et ne peuvent pas être désactivés.

Pour les étapes de configuration et ce que voient les membres, consultez Gérer l'accès aux modèles pour votre organisation. Pour le comportement du modèle par défaut, consultez Définir un modèle par défaut pour votre organisation.

Lorsqu'une capacité est restreinte, voici ce que voient les membres. Pour les restrictions de connecteur et d'outil, consultez Permissions des connecteurs ci-dessus.