Cet article explique le fonctionnement de l'authentification gérée par l'entreprise et comment les administrateurs peuvent autoriser les connecteurs pour leur organisation, soit par le biais de leur fournisseur d'identité, soit directement avec l'authentification émise par Claude. Avec l'authentification gérée par l'entreprise, vous autorisez un connecteur une seule fois pour toute votre organisation, et votre équipe hérite automatiquement de l'accès lors de la première connexion.
L'authentification gérée par l'entreprise est disponible pour les plans Team et Enterprise sur Claude. L'authentification gérée par IdP est généralement disponible, et l'authentification émise par Claude est en version bêta.
Qu'est-ce que l'authentification gérée par l'entreprise ?
L'authentification gérée par l'entreprise est un modèle d'autorisation et d'authentification pour les connecteurs dans Claude. Au lieu de faire authentifier chaque personne individuellement pour chaque connecteur, les administrateurs provisionnent l'accès aux connecteurs de manière centralisée.
Chaque connecteur utilise l'une des deux sources d'identité suivantes :
Gérée par IdP : Votre fournisseur d'identité s'appuie sur l'authentification unique (SSO) activée sur Claude et le connecteur. Une fois en place, l'IdP connecte l'utilisateur au connecteur.
Émise par Claude (bêta) : Claude peut indiquer au connecteur quel utilisateur s'est connecté à Claude, et utiliser ces informations pour le connecteur, sous une URL d'émetteur unique pour votre organisation. Vous n'avez pas besoin d'un fournisseur d'identité ou de SSO.
Une fois que vous activez un connecteur pour votre organisation, votre équipe l'obtient automatiquement la première fois qu'elle se connecte. Avec l'authentification gérée par IdP, l'identité est héritée des groupes et rôles existants de leur fournisseur d'identité. Avec l'authentification émise par Claude, les utilisateurs sont appariés au connecteur par adresse e-mail.
Ce que vous contrôlez
Vous décidez quels connecteurs sont activés, quels groupes ou rôles les obtiennent, et à quel niveau d'accès :
Authentifiez les connecteurs une seule fois pour votre organisation, et l'accès est accordé automatiquement à votre équipe.
Utilisez les autorisations basées sur les rôles pour choisir exactement quels rôles obtiennent chaque connecteur, afin que différentes équipes obtiennent l'accès qui correspond à leur travail. Voir Choisir quels rôles obtiennent l'authentification gérée ci-dessous.
Choisissez les autorisations que Claude peut demander lorsque les membres se connectent via votre fournisseur d'identité, et réduisez-les davantage pour les rôles individuels.
Révoquez l'accès. Avec l'authentification gérée par IdP, le déprovisionnement de quelqu'un dans votre fournisseur d'identité supprime son accès au connecteur en même temps. Avec l'authentification émise par Claude, la suppression de quelqu'un de votre organisation Claude empêche Claude de les connecter. Supprimez-les également du service connecté.
Exigez qu'un connecteur se connecte uniquement via l'autorisation gérée afin que les comptes personnels restent en dehors des outils de travail.
Remarque : Chaque connecteur, et votre fournisseur d'identité si vous en utilisez un, est exploité par un tiers selon ses propres conditions. Avec l'authentification gérée par IdP, Claude relaye l'autorisation émise par votre fournisseur d'identité, et les décisions d'accès, la portée et les données que chaque connecteur peut atteindre sont régies par les politiques de votre fournisseur d'identité et les autorisations du service connecté, et non par Anthropic. Avec l'authentification émise par Claude, Claude signe la connexion pour les membres actuels de votre organisation.
À votre instruction, Anthropic envoie l'adresse e-mail de chaque membre et un identifiant unique au connecteur. Claude vérifie uniquement l'appartenance à l'organisation, et non le SSO, l'authentification multifacteur ou les propres règles de connexion du connecteur. Les décisions d'accès, la portée et les données que chaque connecteur peut atteindre sont régies par vos paramètres Claude et les autorisations du service connecté.
Les durées de vie et le cycle de vie des jetons sont gérés par le serveur d'autorisation connecté et, avec l'authentification gérée par IdP, votre fournisseur d'identité. Les sessions existantes se terminent lorsque le jeton d'accès du connecteur expire ou est révoqué.
Choisir quels rôles obtiennent l'authentification gérée
Lorsque vous configurez l'authentification gérée par l'entreprise pour un connecteur, vous choisissez quels rôles héritent du connecteur lorsque vous configurez les autorisations basées sur les rôles. Vous pouvez utiliser les autorisations basées sur les rôles pour tester un connecteur avec une équipe spécifique avant de l'activer pour toute votre organisation.
Accédez à Paramètres de l'organisation > Connecteurs et sélectionnez un connecteur.
Dans l'onglet Configuration, cliquez sur « Configurer » à côté de Autorisation gérée.
À l'étape Connexion, choisissez une Source d'identité :
Gérée par IdP : Confirmez votre connexion au fournisseur d'identité. Suivez le guide de configuration pour configurer l'authentification gérée par l'entreprise pour ce connecteur dans votre fournisseur d'identité, et pour activer l'authentification gérée dans les propres paramètres d'administration du connecteur. Cliquez sur « Exécuter le test » pour confirmer que la connexion fonctionne.
Émise par Claude : Suivez les étapes dans Configurer l'authentification émise par Claude ci-dessous.
À l'étape Rôles, sélectionnez qui devrait obtenir ce connecteur automatiquement.
Utilisateur, Administrateur, Propriétaire, Propriétaire principal : les rôles intégrés de votre organisation, en tant que groupe.
N'importe quel rôle personnalisé, sélectionné individuellement.
Pour tester un connecteur avec une équipe, sélectionnez uniquement le rôle personnalisé de cette équipe et laissez les rôles intégrés décochés. Les membres ayant le rôle Utilisateur, Administrateur, Propriétaire ou Propriétaire principal n'obtiendront pas le connecteur jusqu'à ce que vous reveniez et ajoutiez cette option.
À l'étape Portées, choisissez les autorisations que Claude peut demander lorsque les membres se connectent. Celles-ci s'appliquent à chaque rôle que vous avez sélectionné. Pour réduire les autorisations pour un rôle spécifique, utilisez plutôt l'onglet Connecteurs de ce rôle (voir ci-dessous).
Cliquez sur « Enregistrer et activer ».
Une fois configuré, l'onglet Configuration du connecteur affiche son état actuel : Rôles appliqués répertorie les rôles qui se connectent via l'autorisation gérée, et Portées affiche ce qui est accordé. Pour développer un test pilote, cliquez sur « Modifier » à côté de Rôles appliqués et ajoutez « Utilisateur, Administrateur, Propriétaire, Propriétaire principal » ou d'autres rôles personnalisés.
Remarque : Connexion au navigateur et Autorisation gérée peuvent être activées pour un connecteur en même temps. Lorsqu'elles le sont, Claude essaie d'abord Autorisation gérée et invite l'utilisateur à se connecter individuellement si cela échoue, afin que les membres ne soient pas bloqués pendant qu'un problème de fournisseur d'identité est résolu.
Paramètres du connecteur dans un rôle personnalisé
Vous pouvez également commencer à partir d'un rôle dans Paramètres de l'organisation > Rôles au lieu d'un connecteur. Dans l'onglet Connecteurs d'un rôle personnalisé, Comment les membres se connectent contrôle comment les membres de ce rôle s'authentifient, sur tous les connecteurs à la fois, ou par connecteur :
Individuellement : les membres se connectent avec leurs propres comptes.
Autorisation gérée : les membres se connectent via la source d'identité définie pour chaque connecteur.
Défini par connecteur : choisissez individuellement pour chaque connecteur.
Utiliser l'authentification émise par Claude
Avec l'authentification émise par Claude, Claude envoie une assertion signée au connecteur, sous une URL d'émetteur unique pour votre organisation. Le service connecté utilise cette URL pour confirmer que Claude a signé la connexion pour un membre actuel de votre organisation, de sorte que le service doit la répertorier comme émetteur de confiance.
Vous n'avez pas besoin d'un fournisseur d'identité ou de SSO, bien que nous recommandions toujours d'appliquer le SSO pour votre organisation Claude. Claude vérifie uniquement l'appartenance à l'organisation, et non le SSO, l'authentification multifacteur ou les propres règles de connexion du connecteur.
Remarque : L'authentification émise par Claude est en version bêta.
Avant de commencer
Un connecteur pris en charge : Seuls les connecteurs dont le fournisseur prend en charge l'authentification émise par Claude peuvent l'utiliser. Voir Connecteurs ci-dessous.
Un administrateur du service connecté : Vous avez besoin de quelqu'un qui peut ajouter un émetteur de confiance à votre espace de travail. Cela pourrait être vous.
Adresses e-mail correspondantes : Les utilisateurs sont appariés par e-mail, donc l'e-mail Claude de chaque utilisateur doit correspondre à l'e-mail de son compte dans le service connecté.
Les propres exigences du fournisseur : Certains fournisseurs ont leurs propres exigences, comme le SSO de leur côté. Consultez le guide de configuration du fournisseur.
Chaque connecteur utilise une seule source d'identité à la fois. Vous pouvez basculer ultérieurement sur le même écran de configuration.
Configurer l'authentification émise par Claude
Configurez l'authentification émise par Claude une seule fois pour chaque connecteur.
Accédez à Paramètres de l'organisation > Connecteurs et sélectionnez un connecteur.
Dans l'onglet Configuration, cliquez sur « Configurer » à côté de Autorisation gérée.
À l'étape Connexion, sélectionnez « Émise par Claude » sous Source d'identité.
Copiez l'URL de l'émetteur.
Dans la console d'administration du service connecté, ajoutez l'URL en tant qu'émetteur de confiance pour votre espace de travail. Suivez le guide de configuration du fournisseur, lié à partir de l'étape Connexion. Si vous n'êtes pas administrateur de ce service, partagez l'URL et le guide avec quelqu'un qui l'est.
Si le service connecté vous donne un ID d'espace de travail ou de locataire, collez-le dans le champ locataire dans Claude.
De retour dans Claude, cliquez sur « Tester la connexion » pour exécuter le test de connexion, puis cliquez sur « Activer et continuer ».
Choisissez qui obtient le connecteur. Tous les rôles l'obtiennent par défaut.
Si le test échoue, vérifiez que l'URL de l'émetteur est approuvée dans l'espace de travail correct, que l'ID du locataire est correct, et que l'espace de travail a un compte avec votre adresse e-mail.
Pour désactiver l'authentification émise par Claude, ouvrez les paramètres Autorisation gérée du connecteur et choisissez « Désactiver ». Les utilisateurs se connectent ensuite au service eux-mêmes.
Ce que voient les utilisateurs
Le connecteur est déjà connecté la première fois qu'un utilisateur en a besoin, sans page de connexion ni écran de consentement. Un utilisateur dont l'e-mail ne correspond pas à un compte dans le service connecté n'est pas connecté automatiquement et voit l'invite de connexion habituelle.
Avant d'annoncer le connecteur à votre organisation, demandez à deux ou trois utilisateurs de confirmer qu'il est connecté et d'exécuter une demande réelle.
Quand quelqu'un quitte votre organisation
Claude signe uniquement pour les membres actuels de votre organisation. Lorsque vous supprimez quelqu'un, Claude arrête de les connecter aux services connectés, mais l'accès déjà accordé à un service dure jusqu'à son expiration. Supprimez-les de chaque service connecté avant que cette adresse e-mail ne soit réutilisée, ou une nouvelle personne avec cette adresse pourrait être connectée à l'ancien compte.
Si vous utilisez la synchronisation d'annuaire (SCIM), vérifiez que la personne n'apparaît plus dans votre liste de membres. Claude supprime un membre lorsque votre annuaire le supprime, mais pas lorsque votre annuaire le suspend ou le marque comme inactif.
Ce qui fonctionne avec l'authentification gérée par l'entreprise
L'authentification gérée par l'entreprise fonctionne avec les connecteurs que vos équipes utilisent au quotidien. Avec l'authentification gérée par IdP, votre fournisseur d'identité contrôle qui obtient l'accès. Avec l'authentification émise par Claude, Claude connecte les membres actuels de votre organisation.
Fournisseurs d'identité
L'authentification gérée par IdP nécessite le SSO avec un fournisseur d'identité pris en charge. Okta est pris en charge, avec d'autres fournisseurs d'identité à venir bientôt. Consultez la documentation d'Okta pour plus de détails.
L'authentification émise par Claude n'utilise pas de fournisseur d'identité, donc aucune configuration de fournisseur d'identité n'est nécessaire.
Connecteurs
Actuellement, vous pouvez provisionner ces connecteurs via l'authentification gérée par l'entreprise :
Amplitude (voir la documentation d'Amplitude)
Apollo.io (voir la documentation d'Apollo)
Asana (voir la documentation d'Asana)
Atlassian (voir la documentation d'Atlassian)
Canva (voir la documentation de Canva)
Crossbeam (voir la documentation de Crossbeam)
Datadog (voir la documentation de Datadog)
Dropbox (voir la documentation de Dropbox)
Figma (voir la documentation de Figma)
Granola (voir la documentation de Granola)
HubSpot (voir la documentation de HubSpot)
Linear (voir la documentation de Linear)
Lovable (voir la documentation de Lovable)
Mixpanel (voir la documentation de Mixpanel)
Monday.com (voir la documentation de Monday)
Notion (voir la documentation de Notion)
PagerDuty (voir la documentation de Pagerduty)
Semrush (voir la documentation de Semrush)
Slack (voir la documentation de Slack)
Supabase (voir la documentation de Supabase)
Débloqué
L'authentification émise par Claude fonctionne uniquement avec les connecteurs dont le fournisseur la prend en charge. La version bêta comprend : Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush et Supabase.
N'importe quel fournisseur MCP peut ajouter la prise en charge de l'authentification gérée par l'entreprise. Consultez Enterprise-Managed Authorization pour plus de détails.
Connecteurs personnels
Votre équipe peut toujours ajouter des connecteurs personnels en plus de ce que vous provisionnez. L'authentification gérée par l'entreprise gère les connecteurs que vous activez pour votre organisation, tandis que les individus peuvent connecter des services supplémentaires pour leur propre usage.