Configurer les autorisations basées sur les rôles pour les plans Enterprise

Ce guide vous explique comment configurer les autorisations basées sur les rôles pour votre organisation Enterprise. Cela vous permet de contrôler les fonctionnalités et les connecteurs auxquels des équipes ou des groupes de membres spécifiques peuvent accéder, et de déléguer des accès administrateur spécifiques comme la facturation ou la gestion des utilisateurs, plutôt que de donner à tout le monde les mêmes autorisations.

Avant de commencer, assurez-vous de connaître :

Vous devez avoir un accès Propriétaire ou Propriétaire principal à votre organisation Enterprise, ou un rôle personnalisé avec Identité et accès défini sur Gérer.

Vérifiez les capacités activées au niveau de l'organisation. Accédez aux Paramètres de l'organisation et assurez-vous de connaître les capacités auxquelles les membres peuvent actuellement accéder. Pour les paramètres gérés par RBAC, le paramètre d'organisation et le paramètre de rôle doivent tous deux être activés pour que les utilisateurs obtiennent l'accès.

Sauvegardez votre liste de membres. Exportez un CSV de vos membres actuels à partir des Paramètres de l'organisation > Membres avant d'apporter des modifications. Si quelque chose se passe mal lors de la migration, cela vous donne une référence pour restaurer l'accès. Voir Gérer les membres sur les plans Team et Enterprise.

Déterminez les équipes ou fonctions qui ont besoin de chaque capacité. Par exemple, l'ingénierie obtient Claude Code + Mode rapide et le marketing obtient Cowork + Recherche Web. À partir de là, définissez vos rôles personnalisés.

Plans à double siège. Si votre organisation utilise un plan Enterprise à double siège (avec des sièges Chat et Chat + Claude Code), les rôles personnalisés ne remplacent pas les restrictions au niveau du siège. Un membre assigné à un siège Chat uniquement ne peut pas accéder à Claude Code même si son rôle personnalisé l'autorise. L'inverse s'applique également : si le rôle personnalisé d'un membre n'accorde pas la capacité de chat, il n'aura pas accès au chat quel que soit son type de siège. Planifiez votre structure de rôles en tenant compte des assignations de sièges.

Décidez comment vous allez créer des groupes. Vous pouvez créer des groupes manuellement dans Claude, ou les synchroniser à partir de votre fournisseur d'identité (IdP) via SCIM. Vous pouvez également utiliser les deux méthodes simultanément. Si vous prévoyez d'utiliser des groupes IdP d'Okta, Entra ID ou un autre fournisseur, assurez-vous que la synchronisation du répertoire SCIM est configurée. Voir Configurer l'approvisionnement JIT ou SCIM.

Ajoutez les connecteurs que vous prévoyez de gouverner. Les autorisations de connecteur ne couvrent que les connecteurs qu'un Propriétaire ou Propriétaire principal a déjà ajoutés sous Paramètres de l'organisation > Connecteurs et connectés avec des identifiants administrateur. Examinez également votre politique d'outils à l'échelle de l'organisation, car les octrois de rôles se réduisent dans celle-ci et ne peuvent pas la dépasser. Voir Utiliser les connecteurs pour étendre les capacités de Claude.

Avant de créer quoi que ce soit, décidez quelles fonctionnalités chaque équipe ou groupe de membres devrait avoir accès. Voici quatre modèles courants :

C'est l'approche recommandée pour la plupart des organisations. Créez un rôle « Accès standard » pour tout le monde avec des fonctionnalités courantes comme la recherche Web, la mémoire et les projets. Ensuite, créez des rôles additifs qui accordent des capacités spécifiques — par exemple, un rôle « Cowork activé » qui ajoute uniquement Cowork. Assignez tous les membres au rôle de base via un groupe « Tous les utilisateurs », et ajoutez des membres spécifiques à des groupes supplémentaires qui superposent des fonctionnalités supplémentaires.

Ce modèle est flexible car les autorisations sont additives — la combinaison d'un rôle de base avec des rôles additifs se compose proprement sans conflits.

Créez des niveaux distincts : « Accès complet » avec toutes les fonctionnalités, « Accès standard » avec la plupart des fonctionnalités, et « Accès restreint » avec des fonctionnalités minimales. Chaque membre va dans exactement un groupe assigné à un niveau.

Créez des rôles qui correspondent aux départements : « Ingénierie » avec chat, Cowork, Claude Code et exécution de code ; « Recherche » avec chat, recherche Web, mémoire et projets ; « Affaires » avec chat, recherche Web et projets uniquement. Assignez chaque groupe de département à son rôle correspondant.

Créez des rôles qui délèguent des parties de l'administration sans accorder le rôle Propriétaire. Un rôle personnalisé avec des autorisations d'administration n'a pas besoin de capacités utilisateur, et vice versa. Vous pouvez créer un rôle « Finance » qui accorde l'accès à la facturation mais aucune capacité de chat ou Claude Code, ou un rôle « Chef d'ingénierie » qui accorde l'accès à Claude Code plus l'accès à la vue Analytics. En savoir plus sur les autorisations d'administration pour les rôles personnalisés.

Rappelez-vous : toute fonctionnalité que vous souhaitez contrôler par groupe doit être activée au niveau de l'organisation. Si une fonctionnalité est désactivée au niveau de l'organisation, aucun rôle personnalisé ne peut accorder l'accès à celle-ci.

Créez vos rôles personnalisés avant d'activer des fonctionnalités ou de migrer des membres. Cela garantit que vos rôles sont prêts à appliquer l'accès dès que les fonctionnalités s'activent.

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet. Les membres peuvent avoir besoin d'actualiser leur navigateur pour voir l'accès mis à jour.

Voir Gérer les rôles personnalisés sur les plans Enterprise pour plus de détails sur les capacités disponibles, les autorisations d'administration et les connecteurs.

Définissez les autorisations d'administration sur chaque rôle pour déléguer l'accès aux paramètres d'administration, comme la facturation, la gestion des utilisateurs ou la confidentialité, sans accorder le rôle Propriétaire. Cette étape est facultative. Si vous ne la configurez pas, les rôles n'accordent aucun accès administrateur et l'administration reste avec les Propriétaires et Propriétaires principaux. Pour savoir ce que couvre chaque zone d'autorisation, voir Gérer les rôles personnalisés sur les plans Enterprise.

L'onglet Autorisations répertorie chaque zone d'administration : Identité et accès, Facturation, Analyses, Confidentialité, Gestion des utilisateurs, Bibliothèques et Annuaire. Définissez chaque zone d'administration sur l'une des options suivantes :

Dans une zone, vous accordez tout l'accès Affichage ou tout l'accès Gérer. Vous ne pouvez pas accorder ou restreindre des pages ou des paramètres individuels.

Vérifiez les autorisations d'administrateur après avoir migré les membres vers les rôles « Personnalisé » (Étape 7). Voir Étape 11 : Vérifier et surveiller.

Définissez les autorisations des connecteurs sur chaque rôle pour contrôler quels connecteurs et quels outils sur ces connecteurs le rôle peut utiliser. Cette étape est facultative. Si vous ne la configurez pas, vos rôles reviennent au comportement par défaut décrit ci-dessous. Pour savoir comment le modèle d'autorisation fonctionne de bout en bout, consultez Gérer les rôles personnalisés sur les plans Entreprise.

Les paramètres par défaut pour les nouveaux rôles sont permissifs. Lors de la création ou de la modification d'un rôle, confirmez les paramètres de chaque onglet pour éviter d'accorder des autorisations involontaires.

L'onglet Connecteurs répertorie une ligne Tous les connecteurs en haut, suivie de chaque connecteur que votre organisation a ajouté. Chaque ligne a une liste déroulante avec quatre options :

Le choix de « Toujours autoriser », « Approbation requise » ou « Bloqué » applique ce niveau à chaque outil du connecteur. La ligne Tous les connecteurs fonctionne de la même manière un niveau plus haut : elle définit une ligne de base pour chaque connecteur à la fois, y compris tout connecteur que vous ajoutez ultérieurement. Utilisez-la pour définir la valeur par défaut d'un rôle, puis remplacez les connecteurs individuels.

La liste déroulante Comment les membres se connectent contrôle si les membres du rôle se connectent aux connecteurs avec leurs propres comptes ou se connectent automatiquement via votre fournisseur d'identité :

Si un connecteur a à la fois Individuellement et Autorisation gérée activés, Claude essaie d'abord l'autorisation gérée. Si cela échoue, les membres peuvent toujours se connecter individuellement avec leur propre compte, ils ne sont donc pas bloqués du connecteur pendant qu'un problème de fournisseur d'identité est résolu.

Le choix de Individuellement ou Autorisation gérée dans la ligne Tous les connecteurs définit une ligne de base pour chaque connecteur à la fois, y compris tout connecteur que vous ajoutez ultérieurement. Utilisez-la pour définir la valeur par défaut d'un rôle, puis remplacez les connecteurs individuels.

Définissez un connecteur sur Personnalisé pour révéler ses outils sous forme de lignes individuelles. Vous pouvez choisir « Toujours autoriser », « Approbation requise » ou « Bloqué » pour chaque outil.

Les autorisations par outil permettent à un rôle d'accéder à une partie d'un connecteur. Par exemple, avec Jira défini sur Personnalisé, son outil search_issues défini sur « Approbation requise » et chaque autre outil Jira défini sur « Bloqué », les membres ayant le rôle peuvent rechercher dans Jira mais rien d'autre. Claude ne voit que les outils que vous avez accordés, donc lui demander de créer un ticket retourne « Je n'ai pas d'outil pour cela » plutôt qu'une erreur.

Comme les autorisations des connecteurs sont additives entre les rôles, bloquer un connecteur dans un rôle n'a aucun effet sur un membre qui détient également un autre rôle qui l'accorde. Chaque ligne de connecteur affiche un avertissement lorsque d'autres rôles accordent le même connecteur à un niveau différent. L'avertissement nomme ces rôles et les lie, et l'autorisation la plus permissive est celle qui s'applique.

Si vous avez des modifications non enregistrées lorsque vous ouvrez un rôle lié, vous êtes invité à les abandonner d'abord.

Vérifiez les autorisations des connecteurs après avoir migré les membres vers les rôles « Personnalisé » (Étape 7). Voir Étape 11 : Vérifier et surveiller.

Définissez l'accès au modèle sur chaque rôle pour contrôler quels modèles Claude le rôle peut utiliser, limiter le niveau d'effort maximal par modèle et choisir le modèle sur lequel les nouvelles conversations commencent. Cette étape est facultative ; si vous ne la configurez pas, les nouveaux rôles peuvent utiliser chaque modèle activé au niveau de l'organisation, à n'importe quel niveau d'effort, et commencer sur le modèle par défaut de l'organisation.

Pour savoir comment les paramètres d'accès au modèle et de modèle par défaut fonctionnent de bout en bout, consultez Gérer l'accès au modèle pour votre organisation et Définir un modèle par défaut pour votre organisation.

Sous Accès aux modèles, activez ou désactivez chaque modèle pour ce rôle. Les modèles désactivés au niveau de l'organisation s'affichent mais ne peuvent pas être activés ici tant que vous ne les activez pas pour l'organisation dans Paramètres de l'organisation > Modèles. Les modèles Haiku sont toujours activés et ne peuvent pas être désactivés.

Pour limiter le niveau d'effort qu'un rôle peut sélectionner sur un modèle, cliquez sur l'icône d'engrenage à côté du modèle et choisissez un niveau.

Sous Modèle par défaut, sélectionnez éventuellement le modèle sur lequel les nouvelles conversations commencent pour ce rôle. Seuls les modèles auxquels le rôle a accès peuvent être sélectionnés.

Vérifiez l'accès aux modèles après avoir migré les membres vers les rôles « Personnalisé ». Voir Étape 11 : Vérifier et surveiller.

Si vous utilisez la synchronisation d'annuaire SCIM, vous pouvez synchroniser les groupes à partir de votre fournisseur d'identité au lieu de les créer manuellement. Pour plus de détails sur la synchronisation des groupes SCIM, consultez Gérer les groupes et les limites de dépenses des groupes sur les plans Entreprise.

Plusieurs organisations sous la même organisation parent : Les groupes sont gérés au niveau de l'organisation parent et se propagent à toutes les organisations enfants. Vous pouvez voir des membres d'autres organisations répertoriés dans un groupe, ce qui ne signifie pas qu'ils ont accès à votre organisation. Les rôles personnalisés attribués à un groupe accordent uniquement des capacités aux membres qui font partie de votre organisation spécifique.

Si vous demandez de déplacer une organisation d'un parent à un autre (ce qui est rare en pratique), les groupes et les rôles deviennent indéfinis et vous devrez les recréer.

Avant de migrer les membres vers des rôles personnalisés, confirmez que chaque membre que vous prévoyez de migrer se trouve dans au moins un groupe attribué à un rôle personnalisé. Les membres migrés sans couverture de groupe ou de rôle perdront l'accès à toutes les fonctionnalités gouvernées.

Pour que les capacités des rôles personnalisés prennent effet, les membres doivent avoir leur rôle défini sur « Personnalisé ». Les membres ayant les rôles Utilisateur, Administrateur ou Propriétaire obtiennent leurs autorisations directement de ces rôles, et non des rôles personnalisés.

Choisissez le chemin de migration en fonction de si votre organisation a déjà activé les mappages de groupes :

Utilisez ce chemin uniquement si votre organisation a déjà activé les mappages de groupes pour l'attribution de rôles. Si vous n'utilisez pas déjà ce paramètre, passez au Chemin B.

Les membres des groupes IdP mappés aux rôles « Personnalisé » suivent les autorisations des rôles personnalisés attribués à leurs groupes dans Claude. Les membres des groupes IdP mappés à Utilisateur suivent les paramètres de capacité au niveau de l'organisation. Si un membre se trouve dans des groupes sur les deux mappages, les rôles « Personnalisé » ont la priorité.

Utilisez ce chemin si votre organisation n'a pas activé les mappages de groupes.

Nous recommandons de migrer d'abord un groupe pilote (une équipe ou un département) et de vérifier que son accès est correct avant de l'étendre au reste de l'organisation.

Quel que soit le chemin que vous utilisez, nous recommandons de migrer par étapes :

Activez uniquement les fonctionnalités au niveau de l'organisation après que les rôles, les groupes et la migration des membres soient terminés. Cela garantit que les capacités des rôles personnalisés sont déjà en place, sans fenêtre où les membres non autorisés pourraient accéder à une fonctionnalité.

Pour toute fonctionnalité que vous souhaitez contrôler par groupe :

L'activation d'une fonctionnalité au niveau de l'organisation ne signifie pas que tout le monde l'obtient : les autorisations de rôle personnalisé sont déjà en place pour contrôler qui peut l'utiliser. Pensez au bouton bascule au niveau de l'organisation comme rendant la fonctionnalité « disponible pour l'attribution basée sur les rôles » plutôt que « activée pour tout le monde ».

Pour attribuer une limite de dépenses mensuelle par utilisateur à un groupe :

Notez les règles de priorité suivantes :

Les modifications d'adhésion prennent effet automatiquement : les utilisateurs héritent ou perdent des limites dès que leur adhésion au groupe change. Pertinent uniquement pour les organisations de facturation basée sur l'utilisation.

Si vous avez configuré les autorisations d'administrateur, vérifiez également :

Si vous avez configuré les autorisations de connecteur, vérifiez également :

Si vous avez configuré l'accès au modèle, vérifiez également :

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet sur la plateforme. Les membres peuvent avoir besoin d'actualiser leur navigateur pour voir l'accès mis à jour.

SCIM se connecte à vos capacités basées sur les rôles par deux mécanismes qui fonctionnent ensemble.

Cela contrôle quel rôle intégré un membre obtient lorsqu'il est provisionné. Mappez vos groupes IdP à des rôles « Personnalisé » afin que l'accès des nouveaux membres soit automatiquement régi par les capacités de rôle personnalisé.

Cela extrait vos groupes IdP dans Claude afin qu'ils puissent être attribués à des rôles personnalisés.

Si vous remarquez que votre structure de rôle est mal configurée après la migration :

Si vous avez activé les mappages de groupes lors de la configuration et perdu l'accès administrateur, suivez les étapes de récupération dans Configurer l'approvisionnement JIT ou SCIM sous « J'ai perdu l'accès administrateur/propriétaire après l'activation des mappages de groupes. »

Oui. Le bouton au niveau de l'organisation doit être activé pour que les rôles personnalisés contrôlent l'accès par membre. Si une fonctionnalité est désactivée au niveau de l'organisation, personne ne peut y accéder, quel que soit son rôle. Pensez-y comme un interrupteur principal : les rôles personnalisés contrôlent qui y a accès en dessous.

Il n'a aucune autorisation de rôle personnalisé, donc toutes les fonctionnalités qui nécessitent des autorisations sont grisées ou masquées. Assurez-vous que chaque membre dont le rôle est défini sur « Personnalisé » est dans au moins un groupe assigné à un rôle personnalisé.

Soit le modèle est désactivé au niveau de l'organisation (Paramètres de l'organisation > Modèles), soit aucun des rôles personnalisés du membre ne l'accorde. Les désactivations au niveau de l'organisation affectent tout le monde, y compris les propriétaires et les administrateurs.

Les membres de ce rôle ne verront pas l'interface de chat de Claude. Ils accèderont à leur page de paramètres lors de la connexion. Si leur rôle accorde d'autres produits comme Cowork ou Claude Code, ceux-ci restent accessibles depuis leur page de paramètres et depuis les applications pertinentes.

Le chat est activé par défaut dans tous les rôles personnalisés, vous n'avez donc besoin de vous en préoccuper que si vous avez intentionnellement désactivé le chat pour un rôle.

Oui. Les membres ayant les rôles Utilisateur, Administrateur ou Propriétaire ne sont pas affectés par les autorisations de rôle personnalisé car ils obtiennent leurs autorisations directement de ces rôles. Seuls les membres dont le rôle est défini sur « Personnalisé » sont contrôlés par le système de groupe et de rôle. Cela permet une migration progressive.

Les autorisations sont cumulatives. Si un rôle dans la chaîne d'un membre accorde une fonctionnalité, il l'a. Vous ne pouvez pas utiliser un rôle pour supprimer une autorisation accordée par un autre rôle.

Oui. Les deux types peuvent être assignés à des rôles personnalisés. La différence est que l'appartenance au groupe SCIM est gérée dans votre fournisseur d'identité, tandis que l'appartenance au groupe manuel est gérée dans les paramètres de l'organisation Claude.

Non. Les propriétaires et propriétaires principaux ont toujours un accès complet à toutes les fonctionnalités.

Les groupes et la synchronisation SCIM sont gérés au niveau de l'organisation parent et partagés entre toutes les organisations enfants. Les assignations de rôles et de limites de dépenses sont configurées indépendamment dans chaque organisation enfant : les modifications dans une organisation enfant n'affectent pas les autres. Les modifications d'appartenance aux groupes et les resynchronisations SCIM se propagent dans toutes les organisations enfants sous le même parent.

Chaque rôle existant est initialisé avec l'octroi « Tous les connecteurs » à « Toujours autoriser », de sorte que l'accès des membres ne change pas à l'activation. Vous restreignez l'accès à partir de là.

« Approbation requise » sur chaque connecteur. Le flux de création de rôle parcourt l'onglet Connecteurs pour que vous le voyiez avant d'enregistrer.

Un rôle dont la ligne « Tous les connecteurs » est définie sur « Toujours autoriser », « Approbation requise » ou « Bloqué » couvre le nouveau connecteur à ce niveau automatiquement. Un rôle dont la ligne « Tous les connecteurs » est définie sur « Personnalisé » traite le nouveau connecteur comme « Bloqué » jusqu'à ce que vous le définissiez.

Vérifiez si le membre détient un autre rôle qui l'accorde, car l'octroi le plus permissif gagne entre les rôles. L'avertissement de conflit sur la ligne du connecteur énumère ces rôles. Confirmez également que le rôle du membre est défini sur « Personnalisé ».

Non. La politique au niveau de l'organisation est le plafond. Un outil bloqué là est bloqué pour tout le monde, quel que soit les octrois de rôle.

Cowork a un paramètre d'organisation distinct, Autoriser « Toujours autoriser » pour les outils de connecteur, qui contrôle les outils de connecteur avec capacité d'écriture. Il est désactivé par défaut. Jusqu'à ce qu'il soit activé, « Autoriser pour toutes les tâches » reste grisé quel que soit les octrois de rôle et les politiques d'outils, et les préférences d'autorisation toujours activées précédemment enregistrées ne sont pas honorées. Les outils en lecture seule sont exempts uniquement lorsque le connecteur les annote comme en lecture seule, ce que la plupart des connecteurs personnalisés ne font pas. Pour plus d'informations, consultez Approbations des outils de connecteur.

Le rôle peut l'accorder, mais le paramètre plus strict gagne, de sorte que les membres le voient limité à « Approbation requise ». Pour permettre aux membres de définir « Toujours autoriser », augmentez d'abord la politique au niveau de l'organisation à « Toujours autoriser ».

Oui. Définissez le connecteur sur « Personnalisé », définissez l'outil sur « Toujours autoriser » ou « Approbation requise », et laissez le reste « Bloqué ».

Non. Les fonctionnalités intégrées sont régies par l'onglet Capacités. L'onglet Connecteurs régit les connecteurs que votre organisation a ajoutés.

Les modifications de rôle peuvent prendre jusqu'à 15 minutes pour prendre effet. Les membres peuvent avoir besoin d'actualiser leur navigateur.

Uniquement si leur rôle inclut Identité et Accès défini sur Gérer, ce qui couvre la modification des rôles et des groupes. Réservez cette permission aux administrateurs de sécurité et informatique de confiance, car elle peut être utilisée pour modifier les définitions de rôles, y compris les leurs.

Non. Les permissions d'administrateur s'appliquent uniquement aux membres d'un rôle personnalisé. Les membres ayant un rôle intégré conservent l'accès que ce rôle leur accorde. Pour donner à quelqu'un des permissions d'administrateur spécifiques, changez le membre en rôle personnalisé et ajoutez-le à un groupe assigné à un rôle avec les permissions dont il a besoin. Gardez à l'esprit que cela supprime son accès au rôle intégré précédent.

Les paramètres d'organisation affichent uniquement les sections couvertes par ses permissions. Les sections auxquelles il n'a pas accès sont entièrement masquées de ses paramètres d'organisation.

Paramètres d'organisation > Rôles affiche les permissions d'administrateur que chaque rôle personnalisé accorde, et Paramètres d'organisation > Groupes affiche les groupes assignés à chaque rôle et qui en fait partie. Pour vérifier un membre spécifique, recherchez ses groupes sur Paramètres d'organisation > Membres, puis les rôles auxquels ces groupes sont assignés.

Créez un rôle qui accorde l'accès à plusieurs domaines, ou ajoutez le membre à plusieurs groupes dont les rôles couvrent les domaines dont il a besoin. Les permissions se combinent de manière additive.