Configurer les autorisations basées sur les rôles pour les plans Enterprise

Ce guide vous explique comment configurer les autorisations basées sur les rôles pour votre organisation Enterprise. Cela vous permet de contrôler les fonctionnalités et les connecteurs auxquels des équipes ou des groupes de membres spécifiques peuvent accéder, et de déléguer des accès administrateur spécifiques comme la facturation ou la gestion des utilisateurs, plutôt que de donner les mêmes autorisations à tout le monde.

Avant de commencer, assurez-vous de connaître :

Vous devez avoir un accès Propriétaire ou Propriétaire principal à votre organisation Enterprise, ou un rôle personnalisé avec Identité et accès défini sur Gérer.

Vérifiez les capacités activées au niveau de l'organisation. Accédez aux Paramètres de l'organisation et assurez-vous de connaître les capacités auxquelles les membres peuvent actuellement accéder. Pour les paramètres gérés par RBAC, le paramètre d'organisation et le paramètre de rôle doivent tous deux être activés pour que les utilisateurs aient accès.

Sauvegardez votre liste de membres. Exportez un fichier CSV de vos membres actuels à partir des Paramètres de l'organisation > Membres avant d'apporter des modifications. Si quelque chose se passe mal lors de la migration, cela vous donne une référence pour restaurer l'accès. Consultez Gérer les membres pour les plans Team et Enterprise.

Déterminez les équipes ou fonctions qui ont besoin de chaque capacité. Par exemple, l'Ingénierie obtient Claude Code + Mode rapide et le Marketing obtient Cowork + Recherche Web. À partir de là, définissez vos rôles personnalisés.

Plans à double siège. Si votre organisation utilise un plan Enterprise à double siège (avec des sièges Chat et Chat + Claude Code), les rôles personnalisés ne remplacent pas les restrictions au niveau du siège. Un membre assigné à un siège Chat uniquement ne peut pas accéder à Claude Code même si son rôle personnalisé l'autorise. L'inverse s'applique également : si le rôle personnalisé d'un membre n'accorde pas la capacité de chat, il n'aura pas accès au chat quel que soit son type de siège. Planifiez votre structure de rôles en tenant compte des assignations de sièges.

Décidez comment vous allez créer des groupes. Vous pouvez créer des groupes manuellement dans Claude, ou les synchroniser à partir de votre fournisseur d'identité (IdP) via SCIM. Vous pouvez également utiliser les deux méthodes simultanément. Si vous prévoyez d'utiliser des groupes IdP d'Okta, Entra ID ou un autre fournisseur, assurez-vous que la synchronisation du répertoire SCIM est configurée. Consultez Configurer l'approvisionnement JIT ou SCIM.

Ajoutez les connecteurs que vous prévoyez de gouverner. Les autorisations de connecteur ne couvrent que les connecteurs qu'un Propriétaire ou Propriétaire principal a déjà ajoutés sous Paramètres de l'organisation > Connecteurs et connectés avec des identifiants administrateur. Consultez également votre politique d'outils à l'échelle de l'organisation, car les octrois de rôles se réduisent dans celle-ci et ne peuvent pas la dépasser. Consultez Utiliser les connecteurs pour étendre les capacités de Claude.

Avant de créer quoi que ce soit, décidez quelles fonctionnalités chaque équipe ou groupe de membres devrait avoir accès. Voici quatre modèles courants :

C'est l'approche recommandée pour la plupart des organisations. Créez un rôle « Accès standard » pour tous avec des fonctionnalités courantes comme la recherche Web, la mémoire et les projets. Ensuite, créez des rôles additifs qui accordent des capacités spécifiques — par exemple, un rôle « Cowork activé » qui ajoute uniquement Cowork. Assignez tous les membres au rôle de base via un groupe « Tous les utilisateurs », et ajoutez des membres spécifiques à des groupes supplémentaires qui superposent des fonctionnalités supplémentaires.

Ce modèle est flexible car les autorisations sont additives — la combinaison d'un rôle de base avec des rôles additifs se compose proprement sans conflits.

Créez des niveaux distincts : « Accès complet » avec toutes les fonctionnalités, « Accès standard » avec la plupart des fonctionnalités, et « Accès restreint » avec des fonctionnalités minimales. Chaque membre va dans exactement un groupe assigné à un niveau.

Créez des rôles qui correspondent aux départements : « Ingénierie » avec chat, Cowork, Claude Code et exécution de code ; « Recherche » avec chat, recherche Web, mémoire et projets ; « Affaires » avec chat, recherche Web et projets uniquement. Assignez chaque groupe de département à son rôle correspondant.

Créez des rôles qui délèguent des parties de l'administration sans accorder le rôle Propriétaire. Un rôle personnalisé avec des autorisations administrateur n'a pas besoin d'avoir de capacités utilisateur, et vice versa. Vous pouvez créer un rôle « Finance » qui accorde l'accès à la Facturation mais aucune capacité de chat ou Claude Code, ou un rôle « Chef d'ingénierie » qui accorde l'accès à Claude Code plus l'accès à la vue Analytique. En savoir plus sur les autorisations administrateur pour les rôles personnalisés.

Rappelez-vous : toute fonctionnalité que vous souhaitez contrôler par groupe doit être activée au niveau de l'organisation. Si une fonctionnalité est désactivée au niveau de l'organisation, aucun rôle personnalisé ne peut accorder l'accès à celle-ci.

Créez vos rôles personnalisés avant d'activer des fonctionnalités ou de migrer des membres. Cela garantit que vos rôles sont prêts à appliquer l'accès dès que les fonctionnalités s'activent.

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet. Les membres peuvent avoir besoin d'actualiser leur navigateur pour voir l'accès mis à jour.

Consultez Gérer les rôles personnalisés pour les plans Enterprise pour plus de détails sur les capacités disponibles, les autorisations administrateur et les connecteurs.

Définissez les autorisations administrateur sur chaque rôle pour déléguer l'accès aux paramètres administrateur, comme la facturation, la gestion des utilisateurs ou la confidentialité, sans accorder le rôle Propriétaire. Cette étape est facultative. Si vous ne la configurez pas, les rôles n'accordent aucun accès administrateur et l'administration reste avec les Propriétaires et Propriétaires principaux. Pour savoir ce que couvre chaque zone d'autorisation, consultez Gérer les rôles personnalisés pour les plans Enterprise.

L'onglet Autorisations répertorie chaque zone d'administration : Identité et accès, Facturation, Analyses, Confidentialité, Gestion des utilisateurs et Bibliothèques. Définissez chaque zone d'administration sur l'une des options suivantes :

Dans une zone, vous accordez tous les droits d'affichage ou tous les droits de gestion. Vous ne pouvez pas accorder ou restreindre des pages ou des paramètres individuels.

Vérifiez les autorisations d'administrateur après avoir migré les membres vers les rôles « Personnalisé » (Étape 7). Voir Étape 11 : Vérifier et surveiller.

Définissez les autorisations des connecteurs sur chaque rôle pour contrôler quels connecteurs et quels outils sur ces connecteurs le rôle peut utiliser. Cette étape est facultative. Si vous ne la configurez pas, vos rôles reviennent au comportement par défaut décrit ci-dessous. Pour savoir comment le modèle d'autorisation fonctionne de bout en bout, consultez Gérer les rôles personnalisés sur les plans Entreprise.

Les paramètres par défaut pour les nouveaux rôles sont permissifs. Lors de la création ou de la modification d'un rôle, confirmez les paramètres de chaque onglet pour éviter d'accorder des autorisations involontaires.

L'onglet Connecteurs répertorie une ligne Tous les connecteurs en haut, suivie de chaque connecteur que votre organisation a ajouté. Chaque ligne a une liste déroulante avec quatre options :

Le choix de « Toujours autoriser », « Nécessite une approbation » ou « Bloqué » applique ce niveau à chaque outil du connecteur. La ligne Tous les connecteurs fonctionne de la même manière à un niveau supérieur : elle définit une ligne de base pour chaque connecteur à la fois, y compris tout connecteur que vous ajoutez ultérieurement. Utilisez-la pour définir la valeur par défaut d'un rôle, puis remplacez les connecteurs individuels.

Définissez un connecteur sur Personnalisé pour révéler ses outils sous forme de lignes individuelles. Chaque outil a sa propre liste déroulante : « Toujours autoriser », « Nécessite une approbation » ou « Bloqué ».

Les autorisations par outil permettent à un rôle d'accéder à une partie d'un connecteur. Par exemple, avec Jira défini sur Personnalisé, son outil search_issues défini sur « Nécessite une approbation » et tous les autres outils Jira définis sur « Bloqué », les membres ayant le rôle peuvent rechercher dans Jira mais rien d'autre. Claude ne voit que les outils que vous avez accordés, donc lui demander de créer un ticket retourne « Je n'ai pas d'outil pour cela » plutôt qu'une erreur.

Comme les autorisations des connecteurs sont additives entre les rôles, bloquer un connecteur dans un rôle n'a aucun effet sur un membre qui détient également un autre rôle qui l'accorde. Chaque ligne de connecteur affiche un avertissement lorsque d'autres rôles accordent le même connecteur à un niveau différent. L'avertissement nomme ces rôles et les relie, et l'autorisation la plus permissive est celle qui s'applique.

Si vous avez des modifications non enregistrées lorsque vous ouvrez un rôle lié, vous êtes invité à les abandonner d'abord.

Vérifiez les autorisations des connecteurs après avoir migré les membres vers les rôles « Personnalisé » (Étape 7). Voir Étape 11 : Vérifier et surveiller.

Définissez l'accès au modèle sur chaque rôle pour contrôler quels modèles Claude le rôle peut utiliser, limiter le niveau d'effort maximal par modèle et choisir le modèle sur lequel les nouvelles conversations commencent. Cette étape est facultative ; si vous ne la configurez pas, les nouveaux rôles peuvent utiliser chaque modèle activé au niveau de l'organisation, à n'importe quel niveau d'effort, et commencer sur le modèle par défaut de l'organisation.

Pour savoir comment les paramètres d'accès au modèle et de modèle par défaut fonctionnent de bout en bout, consultez Gérer l'accès au modèle pour votre organisation et Définir un modèle par défaut pour votre organisation.

Sous Accès au modèle, activez ou désactivez chaque modèle pour ce rôle. Les modèles désactivés au niveau de l'organisation apparaissent mais ne peuvent pas être activés ici jusqu'à ce que vous les activiez pour l'organisation dans Paramètres de l'organisation > Modèles. Les modèles Haiku sont toujours activés et ne peuvent pas être désactivés.

Pour limiter le niveau d'effort qu'un rôle peut sélectionner sur un modèle, cliquez sur l'icône d'engrenage à côté du modèle et choisissez un niveau.

Sous Modèle par défaut, sélectionnez éventuellement le modèle sur lequel les nouvelles conversations commencent pour ce rôle. Seuls les modèles auxquels le rôle a accès peuvent être sélectionnés.

Vérifiez l'accès au modèle après avoir migré les membres vers les rôles « Personnalisé ». Voir Étape 11 : Vérifier et surveiller.

Si vous utilisez la synchronisation d'annuaire SCIM, vous pouvez synchroniser les groupes de votre fournisseur d'identité au lieu de les créer manuellement. Pour plus de détails sur la synchronisation des groupes SCIM, consultez Gérer les groupes et les limites de dépenses des groupes sur les plans Entreprise.

Plusieurs organisations sous la même organisation parent : Les groupes sont gérés au niveau de l'organisation parent et se propagent à toutes les organisations enfants. Vous pouvez voir des membres d'autres organisations répertoriés dans un groupe, ce qui ne signifie pas qu'ils ont accès à votre organisation. Les rôles personnalisés attribués à un groupe accordent uniquement des capacités aux membres qui font partie de votre organisation spécifique.

Si vous demandez de déplacer une organisation d'un parent à un autre (ce qui est rare en pratique), les groupes et les rôles deviendront indéfinis et vous devrez les recréer.

Avant de migrer les membres vers des rôles personnalisés, confirmez que chaque membre que vous prévoyez de migrer se trouve dans au moins un groupe attribué à un rôle personnalisé. Les membres migrés sans couverture de groupe ou de rôle perdront l'accès à toutes les fonctionnalités gouvernées.

Pour que les capacités des rôles personnalisés prennent effet, les membres doivent avoir leur rôle défini sur « Personnalisé ». Les membres ayant les rôles Utilisateur, Administrateur ou Propriétaire obtiennent leurs autorisations directement de ces rôles, et non des rôles personnalisés.

Choisissez le chemin de migration en fonction de si votre organisation a déjà activé les mappages de groupes :

Utilisez ce chemin uniquement si votre organisation a déjà activé les mappages de groupes pour l'attribution de rôles. Si vous n'utilisez pas déjà ce paramètre, passez au Chemin B.

Les membres des groupes IdP mappés aux rôles « Personnalisé » suivent les autorisations des rôles personnalisés attribués à leurs groupes dans Claude. Les membres des groupes IdP mappés à Utilisateur suivent les paramètres de capacité au niveau de l'organisation. Si un membre se trouve dans des groupes avec les deux mappages, les rôles « Personnalisé » ont la priorité.

Utilisez ce chemin si votre organisation n'a pas activé les mappages de groupes.

Nous recommandons de migrer d'abord un groupe pilote (une équipe ou un département) et de vérifier que son accès est correct avant de l'étendre au reste de l'organisation.

Quel que soit le chemin que vous utilisez, nous recommandons de migrer par étapes :

Activez uniquement les fonctionnalités au niveau de l'organisation après que les rôles, les groupes et la migration des membres soient terminés. Cela garantit que les capacités des rôles personnalisés sont déjà en place, sans fenêtre où les membres non autorisés pourraient accéder à une fonctionnalité.

Pour toute fonctionnalité que vous souhaitez contrôler par groupe :

Activer une fonctionnalité au niveau de l'organisation ne signifie pas que tout le monde l'obtient. Les autorisations des rôles personnalisés sont déjà en place pour contrôler qui peut l'utiliser. Pensez au bouton bascule au niveau de l'organisation comme rendant la fonctionnalité « disponible pour l'attribution basée sur les rôles » plutôt que « activée pour tout le monde ».

Accédez à la page « Utilisation » pour attribuer une limite de dépenses mensuelle par utilisateur à n'importe quel groupe.

Notez les règles de priorité suivantes :

Les modifications d'adhésion prennent effet automatiquement : les utilisateurs héritent ou perdent les limites dès que leur adhésion au groupe change. Pertinent uniquement pour les organisations avec facturation basée sur l'utilisation.

Si vous avez configuré les permissions d'administrateur, vérifiez également :

Si vous avez configuré les permissions de connecteur, vérifiez également :

Si vous avez configuré l'accès au modèle, vérifiez également :

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet sur la plateforme. Les membres peuvent avoir besoin d'actualiser leur navigateur pour voir l'accès mis à jour.

SCIM se connecte à vos capacités basées sur les rôles par deux mécanismes qui fonctionnent ensemble.

Cela contrôle quel rôle intégré un membre obtient lorsqu'il est provisionné. Mappez vos groupes IdP à des rôles « Personnalisés » afin que l'accès des nouveaux membres soit automatiquement régi par les capacités des rôles personnalisés.

Cela extrait vos groupes IdP dans Claude afin qu'ils puissent être affectés à des rôles personnalisés.

Si vous remarquez que votre structure de rôles est mal configurée après la migration :

Si vous avez activé les mappages de groupe lors de la configuration et avez perdu l'accès administrateur, suivez les étapes de récupération dans Configurer la provisioning JIT ou SCIM sous « J'ai perdu l'accès Admin/Propriétaire après l'activation des mappages de groupe. »

Oui. Le bouton au niveau de l'organisation doit être activé pour que les rôles personnalisés contrôlent l'accès par membre. Si une fonctionnalité est désactivée au niveau de l'organisation, personne ne peut y accéder quel que soit son rôle. Pensez-y comme un interrupteur principal : les rôles personnalisés contrôlent qui obtient l'accès en dessous.

Il n'a aucune permission de rôle personnalisé, donc toutes les fonctionnalités qui nécessitent des permissions sont grisées ou masquées. Assurez-vous que chaque membre dont le rôle est défini sur « Personnalisé » est dans au moins un groupe affecté à un rôle personnalisé.

Soit le modèle est désactivé au niveau de l'organisation (Paramètres de l'organisation > Modèles), soit aucun des rôles personnalisés des membres ne l'autorise. Les désactivations au niveau de l'organisation affectent tout le monde, y compris les propriétaires et les administrateurs.

Les membres ayant ce rôle ne verront pas l'interface de chat de Claude. Ils accèderont à leur page de paramètres lors de la connexion. Si leur rôle accorde d'autres produits comme Cowork ou Claude Code, ceux-ci restent accessibles depuis leur page de paramètres et depuis les applications pertinentes.

Le chat est activé par défaut dans tous les rôles personnalisés, vous n'avez donc besoin de vous en préoccuper que si vous avez intentionnellement désactivé le chat pour un rôle.

Oui. Les membres ayant les rôles Utilisateur, Administrateur ou Propriétaire ne sont pas affectés par les autorisations des rôles personnalisés car ils obtiennent leurs autorisations directement de ces rôles. Seuls les membres ayant un rôle défini sur « Personnalisé » sont contrôlés par le système de groupes et de rôles. Cela permet une migration progressive.

Les autorisations sont cumulatives. Si l'un des rôles dans la chaîne d'un membre accorde une fonctionnalité, il l'a. Vous ne pouvez pas utiliser un rôle pour supprimer une autorisation accordée par un autre rôle.

Oui. Les deux types peuvent être assignés à des rôles personnalisés. La différence est que l'appartenance au groupe SCIM est gérée dans votre fournisseur d'identité, tandis que l'appartenance au groupe manuel est gérée dans les paramètres de l'organisation Claude.

Non. Les propriétaires et propriétaires principaux ont toujours un accès complet à toutes les fonctionnalités.

Les groupes et la synchronisation SCIM sont gérés au niveau de l'organisation parent et partagés entre toutes les organisations enfants. Les attributions de rôles et de limites de dépenses sont configurées indépendamment dans chaque organisation enfant : les modifications dans une organisation enfant n'affectent pas les autres. Les modifications d'appartenance aux groupes et les resynchronisations SCIM se propagent dans toutes les organisations enfants sous le même parent.

Chaque rôle existant est initialisé avec l'octroi « Tous les connecteurs » défini sur « Toujours autoriser », de sorte que l'accès des membres ne change pas lors de l'activation. Vous restreignez l'accès à partir de là.

« Approbation requise » sur chaque connecteur. Le flux de création de rôle parcourt l'onglet Connecteurs pour que vous le voyiez avant d'enregistrer.

Un rôle dont la ligne « Tous les connecteurs » est définie sur « Toujours autoriser », « Approbation requise » ou « Bloqué » couvre automatiquement le nouveau connecteur à ce niveau. Un rôle dont la ligne « Tous les connecteurs » est définie sur « Personnalisé » traite le nouveau connecteur comme « Bloqué » jusqu'à ce que vous le définissiez.

Vérifiez si le membre détient un autre rôle qui l'autorise, car l'octroi le plus permissif gagne entre les rôles. L'avertissement de conflit sur la ligne du connecteur énumère ces rôles. Confirmez également que le rôle du membre est défini sur « Personnalisé ».

Non. La politique au niveau de l'organisation est le plafond. Un outil bloqué là est bloqué pour tout le monde, indépendamment des octrois de rôles.

Le rôle peut l'accorder, mais le paramètre le plus strict gagne, de sorte que les membres le voient limité à « Approbation requise ». Pour permettre aux membres de définir « Toujours autoriser », augmentez d'abord la politique au niveau de l'organisation à « Toujours autoriser ».

Oui. Définissez le connecteur sur « Personnalisé », définissez l'outil sur « Toujours autoriser » ou « Approbation requise », et laissez le reste « Bloqué ».

Non. Les fonctionnalités intégrées sont régies par l'onglet Capacités. L'onglet Connecteurs régit les connecteurs que votre organisation a ajoutés.

Les modifications de rôles peuvent prendre jusqu'à 15 minutes pour prendre effet. Les membres peuvent avoir besoin d'actualiser leur navigateur.

Uniquement si son rôle inclut Identité et accès défini sur Gérer, ce qui couvre l'édition des rôles et des groupes. Réservez cette autorisation aux administrateurs de sécurité et informatiques de confiance, car elle peut être utilisée pour modifier les définitions de rôles, y compris les leurs.

Non. Les autorisations d'administrateur s'appliquent uniquement aux membres ayant un rôle personnalisé. Les membres ayant un rôle intégré conservent l'accès que ce rôle accorde. Pour donner à quelqu'un des autorisations d'administrateur spécifiques, changez le membre en rôle personnalisé et ajoutez-le à un groupe assigné à un rôle avec les autorisations dont il a besoin. Gardez à l'esprit que cela supprime son accès au rôle intégré précédent.

Les paramètres de l'organisation affichent uniquement les sections que ses autorisations couvrent. Les sections auxquelles il n'a pas accès sont entièrement masquées de ses paramètres de l'organisation.

Paramètres de l'organisation > Rôles affiche les autorisations d'administrateur que chaque rôle personnalisé accorde, et Paramètres de l'organisation > Groupes affiche les groupes assignés à chaque rôle et qui en fait partie. Pour vérifier un membre spécifique, recherchez ses groupes sur Paramètres de l'organisation > Membres, puis les rôles auxquels ces groupes sont assignés.

Créez un rôle qui accorde l'accès à plusieurs domaines, ou ajoutez le membre à plusieurs groupes dont les rôles couvrent les domaines dont il a besoin. Les autorisations se combinent de manière additive.