La gestion centralisée offre à votre organisation parent sa propre console d'administration à admin.claude.com, où vous gérez les paramètres à l'échelle de l'entreprise tels que l'authentification unique (SSO), la synchronisation d'annuaire, les domaines vérifiés et les groupes au même endroit. Cet article explique ce qui change lors de l'inscription, comment inscrire votre organisation parent et comment utiliser chaque partie de la console.
La gestion centralisée est disponible en version bêta sur les plans Enterprise.
Fonctionnement des organisations parent et enfant
La gestion centralisée utilise deux termes tout au long :
Organisation parent : Représente votre entreprise et votre relation commerciale avec Anthropic. Les paramètres à l'échelle de l'entreprise se trouvent ici, y compris les fournisseurs d'identité, la vérification de domaine et, le cas échéant, votre accord d'associé commercial (BAA).
Organisation enfant : Une organisation Claude individuelle sous le parent, comme une organisation Claude Enterprise, un plan Team ou une organisation Claude Platform achetée directement auprès d'Anthropic. Chacune a ses propres utilisateurs, administrateurs et paramètres.
L'inscription ne fusionne pas vos organisations enfants. Chacune reste une organisation distincte avec une limite de données stricte et conserve ses propres utilisateurs, rôles et projets.
Rôles de l'organisation parent
Votre organisation parent obtient deux nouveaux rôles pour gérer la console. Ces rôles sont distincts des autorisations de l'organisation enfant.
Rôle | Ce qu'ils peuvent faire |
Propriétaire de l'organisation parent (nouveau) | Tout au niveau parent, y compris le choix de qui détient les rôles de propriétaire et d'administrateur. Chaque organisation parent a besoin d'au moins un propriétaire. |
Administrateur de l'organisation parent (nouveau) | Tout au niveau parent sauf le choix des propriétaires et des administrateurs. |
Administrateur de l'organisation enfant | Tout à l'intérieur de leur propre organisation. Ils ne peuvent pas voir ou modifier les paramètres au niveau parent, comme l'application obligatoire de SSO. |
Un rôle parent n'ajoute pas quelqu'un à une organisation enfant et ne lui permet pas de s'y connecter. Un propriétaire ou un administrateur parent qui doit travailler dans une organisation enfant doit être ajouté comme n'importe quel autre utilisateur. Les propriétaires et administrateurs parents peuvent auditer la configuration et afficher les données de conformité dans les organisations enfants via l'API. En savoir plus dans la section Clés API ci-dessous.
Contrôles qui se déplacent vers l'organisation parent
Ces contrôles s'appliquaient déjà au niveau parent, mais vous les gériez à partir des paramètres d'administration de l'organisation enfant. Après votre inscription, les propriétaires et administrateurs parents les gèrent une fois pour chaque organisation, dans la console de l'organisation parent.
Contrôle | Maintenant géré dans | Ce qu'il fait |
SSO et Exiger SSO | Fournisseurs d'identité et domaines | Connexion pour vos domaines vérifiés, pour Claude et Console. L'exigence SSO est définie par domaine. |
Synchronisation d'annuaire (SCIM) | Fournisseurs d'identité | Provisionne les utilisateurs et les groupes de votre fournisseur d'identité. |
Vérification de domaine | Domaines | Vérifie les domaines de messagerie avec lesquels vos utilisateurs se connectent. |
Restriction de domaine du connecteur | Domaines | Limite les connecteurs sur vos domaines aux comptes de votre entreprise. |
Restreindre la création d'organisation | Organisations (section Sécurité) | Bloque les nouvelles organisations, y compris les comptes personnels, sur vos domaines vérifiés. |
Clés API de conformité | Clés API | Consultez, désactivez et supprimez les clés au niveau parent créées à partir de n'importe quelle organisation enfant. |
Groupes | Groupes | Groupes d'annuaire synchronisés à partir de votre fournisseur d'identité, plus les groupes créés manuellement. |
Inviter les organisations au parent | Organisations | Libre-service pour les organisations Claude Platform et les plans Team sur un domaine vérifié. Pour les organisations Claude Enterprise, contactez votre équipe de compte. |
Les administrateurs de l'organisation enfant conservent tout à l'intérieur de leur propre organisation : utilisateurs, rôles, paramètres d'organisation et contrôles de sécurité au niveau de l'organisation tels que la liste blanche IP et la durée de la session.
Nouveaux contrôles au niveau parent
La gestion centralisée ajoute également des contrôles qui n'existaient pas auparavant :
Contrôle | Où | Ce qu'il fait |
Aperçu des organisations | Organisations | Affiche chaque organisation enfant au même endroit, avec son type et son ID |
Rôles de l'organisation parent | Rôles d'administrateur | Attribue les propriétaires et administrateurs parents qui gèrent les paramètres à l'échelle de l'entreprise |
Plusieurs fournisseurs d'identité | Fournisseurs d'identité | Connecte plus d'une configuration SSO et SCIM sous un parent unique, chaque domaine étant acheminé vers un ou plusieurs d'entre eux |
Domaines fractionnés | Domaines et fournisseurs d'identité | Achemine un domaine vers plusieurs fournisseurs d'identité pour la connexion, et vous permet de choisir qui voit chaque fournisseur d'identité à la connexion |
Clés API de conformité au niveau parent | Clés API | Crée des clés au niveau parent à partir d'admin.claude.com. Les organisations enfants peuvent toujours créer des clés pour leur propre organisation |
En savoir plus sur la configuration de plusieurs fournisseurs d'identité et de domaines fractionnés.
La disponibilité des groupes, qui vous permettra de choisir quelles organisations enfants peuvent voir et utiliser chaque groupe, n'est pas encore disponible. En attendant, chaque administrateur d'organisation enfant Enterprise peut voir chaque groupe sous le parent.
Limitations actuelles
Ces limites s'appliquent pendant la version bêta :
Création d'organisation enfant : Les nouvelles organisations enfants passent par votre équipe de compte. Il n'y a pas d'option libre-service.
Facturation : La facturation ne change pas lors de votre inscription.
Organisations de la place de marché cloud : Les organisations Claude Platform achetées via la place de marché AWS ou Azure ne peuvent pas rejoindre une organisation parent.
Deux types d'organisations parent ne peuvent pas s'inscrire :
Organisations parent avec une organisation enfant compatible HIPAA
Organisations parent dont les seules organisations enfants sont des plans Team
Inscrivez votre organisation parent
Tout propriétaire d'une organisation enfant sous le parent peut commencer l'inscription à admin.claude.com. L'inscription est un court processus d'approbation au cours duquel chaque organisation enfant approuve qui seront les administrateurs de l'organisation parent. Tous les candidats proposés qui sont toujours éligibles à la fin de l'inscription deviennent propriétaires de l'organisation parent. Les propriétaires peuvent ajouter des administrateurs ultérieurement sur la page Rôles d'administrateur.
Avertissement : L'inscription ne peut pas être annulée, et elle peut se terminer dès que quelqu'un commence la configuration.
Avant de commencer
Si votre réseau utilise des restrictions de locataire, ajoutez l'ID d'organisation parent à votre liste d'ID d'organisation autorisés (l'en-tête anthropic-allowed-org-ids) avant que quiconque ne commence la configuration, et conservez les ID déjà présents. Sans l'ID parent, les propriétaires et administrateurs parents sur ce réseau ne peuvent pas gérer la console parent.
Copiez l'ID d'organisation parent à partir de Paramètres d'organisation > Organisation dans Claude, ou à partir de Paramètres > Organisation dans Console. Les organisations enfants que vous administrez doivent également être sur la liste, sinon la configuration peut échouer.
Terminer la configuration
Accédez à admin.claude.com et commencez la configuration. Vous voyez les organisations enfants que vous administrez.
Proposez des administrateurs d'organisation parent à partir de ces organisations. Recherchez par nom, e-mail ou organisation pour trouver des personnes. Commencer la configuration compte comme une approbation pour les organisations que vous administrez.
Si d'autres organisations enfants restent, attendez que leurs administrateurs examinent la proposition. Ils peuvent nommer des administrateurs de leurs propres organisations et approuver. Vous pouvez rappeler à quiconque n'a pas encore approuvé.
Lorsque la configuration est terminée, sélectionnez « Terminé ». La console s'ouvre sur la page Organisations.
Si vous administrez chaque organisation sous le parent, votre organisation parent est inscrite immédiatement. Sinon, la dernière approbation l'inscrit. L'authentification unique, SCIM, les domaines vérifiés et les paramètres de sécurité passent au parent, et chaque organisation enfant conserve ses propres utilisateurs, rôles et projets.
Modifier les administrateurs proposés demande à chaque organisation enfant d'approuver à nouveau. Si une organisation n'a toujours pas approuvé sept jours après la dernière modification, tout propriétaire d'une organisation enfant sous le parent peut approuver en son nom.
Gérez votre organisation parent
La console a une page pour chaque domaine de votre organisation parent. Les propriétaires et administrateurs parents peuvent tous les utiliser.
Général
Modifiez le nom de l'organisation parent ici. Le nom apparaît partout où le parent est nommé, y compris dans le sélecteur d'organisation. Vous pouvez également trouver l'ID d'organisation parent sur cette page.
Organisations
Cette page répertorie chaque organisation enfant sous le parent, avec son type (par exemple Claude Enterprise, Claude Team ou Claude Platform) et son ID.
Pour placer une organisation existante sous votre parent, sélectionnez « Inviter » sous Fusionner les organisations. Les invitations sont libre-service pour les organisations Claude Platform et les plans Team sur l'un de vos domaines vérifiés. Pour placer une organisation Claude Enterprise sous le parent, contactez votre équipe de compte.
Domaines
Cette page contient les domaines de messagerie vérifiés pour le parent, que chaque organisation enfant partage. Chaque domaine se connecte via le fournisseur d'identité que vous choisissez pour lui, ou via plusieurs avec des domaines fractionnés. Un domaine sans fournisseur d'identité n'a pas de connexion SSO.
Pour ajouter et router un domaine :
Sélectionnez « Ajouter un domaine » et vérifiez le domaine. Un domaine vérifié ne peut appartenir qu'à une seule organisation parent.
Sélectionnez l'icône de crayon dans la colonne Connexion SSO à.
Sélectionnez chaque fournisseur d'identité via lequel le domaine doit se connecter, et désactivez ceux qu'il ne doit plus utiliser.
Sélectionnez « Enregistrer ». La modification s'applique à la connexion dès que vous l'enregistrez.
Activez Restreindre les connecteurs de domaine vérifié à votre entreprise pour empêcher les comptes Claude en dehors de votre entreprise de connecter les connecteurs pris en charge, tels que Google Drive, Gmail, Microsoft 365 et Slack, avec une adresse e-mail sur vos domaines.
Fournisseurs d'identité
Cette page répertorie chaque configuration SSO et SCIM connectée au parent, avec son statut de connexion, son statut de synchronisation d'annuaire et ses domaines. Ouvrez-en un pour le gérer :
Authentification unique : Sélectionnez « Gérer SSO » pour ouvrir le portail de configuration et examiner ou modifier la connexion SAML ou OIDC. Ci-dessous, choisissez qui peut se connecter avec ce fournisseur d'identité et s'il s'affiche sur la page de connexion.
Synchronisation d'annuaire : Sélectionnez « Configurer la synchronisation d'annuaire » pour ouvrir le portail de configuration et connecter SCIM. Une fois connecté, sélectionnez « Resynchroniser maintenant » pour récupérer les dernières modifications. La page répertorie les groupes synchronisés à partir de votre annuaire.
Domaines : Affiche les domaines vérifiés qui se connectent ici. Activez Exiger SSO pour Claude et Exiger SSO pour Console pour forcer SSO pour ces utilisateurs. Ces paramètres s'appliquent par domaine, et vous pouvez également les modifier sur la page Domaines.
Pour ajouter, router ou supprimer un fournisseur d'identité, en savoir plus sur la configuration de plusieurs fournisseurs d'identité et de domaines fractionnés.
Clés API
Cette page affiche les clés au niveau du parent, avec la portée, l'organisation, le créateur et la date de création de chaque clé. Les clés appartiennent à l'organisation parent et restent actives après la suppression de la personne qui les a créées. Les clés limitées à une seule organisation enfant n'apparaissent pas ici. Elles restent dans les paramètres d'administration de cette organisation.
Le commutateur API de conformité au-dessus des clés active ou désactive l'API de conformité pour chaque organisation sous le parent. Lorsqu'il est désactivé, les clés API existantes ne peuvent pas utiliser les portées de conformité.
Créer une clé
La création de clés nécessite au moins une organisation Claude Enterprise sous le parent. Chaque clé que vous créez ici fonctionne dans chaque organisation sous le parent.
Sélectionnez « Créer une clé ».
Nommez la clé et sélectionnez ses portées. Les portées de conformité, telles que read:compliance_activities, donnent à la clé l'accès à l'API de conformité. Si vous ne les voyez pas, activez d'abord le commutateur API de conformité, qui active également la journalisation des événements de conformité pour chaque organisation sous le parent. Les portées de groupe (read:rbac_groups et write:rbac_groups) permettent à la clé de lire ou de gérer les groupes et leurs membres.
Sélectionnez « Créer ». Une clé avec delete:compliance_user_data peut supprimer définitivement les données de toute organisation sous le parent, vous devez donc la confirmer en premier.
Sélectionnez « Copier la clé » et stockez la clé quelque part en sécurité. Vous ne pourrez pas la consulter à nouveau.
Gérer les clés
Sélectionnez le menu d'actions d'une clé pour la désactiver, la réactiver ou la supprimer. Une clé que vous créez ici affiche le nom de l'organisation parent dans la colonne Organisation. Une clé créée à partir d'une organisation enfant qui fonctionne dans chaque organisation affiche le nom de cette organisation avec une icône d'avertissement. Ces clés continuent de fonctionner, et vous les gérez également ici.
Clés dans les organisations enfants
Les administrateurs des organisations enfants peuvent toujours créer des clés limitées à leur propre organisation.
Ils ne peuvent pas créer une clé qui fonctionne dans chaque organisation, ni en réactiver une une fois qu'elle est désactivée.
Dans les organisations Claude Enterprise, les propriétaires principaux peuvent également créer des clés avec des portées read:org_audit ou de groupe pour leur propre organisation. Ces clés accèdent toujours à tous les groupes du parent.
Les clés limitées à une organisation ne peuvent pas lire les connexions ou d'autres événements au niveau du parent, tels que les modifications apportées à Exiger SSO. Pour les lire, utilisez une clé qui fonctionne dans chaque organisation.
Sécurité
Sur la page Organisations, sous Sécurité, activez Restreindre la création d'organisations pour empêcher quiconque sur vos domaines vérifiés de créer une nouvelle organisation, y compris un compte personnel. La page Sécurité du menu latéral répertorie le statut HIPAA de chaque organisation.
Les propriétaires et administrateurs du parent commencent également une réclamation de domaine ici, au lieu de le faire à partir des paramètres d'une organisation enfant. Vous choisissez une organisation enfant pour que les comptes migrent vers elle, et la réclamation couvre chaque compte Free, Pro, Max et Ultra sur les domaines vérifiés à ce moment-là. Les utilisateurs peuvent choisir d'apporter leurs données avec eux, mais ils ont besoin d'un siège dans cette organisation pour se connecter après. En savoir plus sur la réponse à une réclamation de domaine d'entreprise.
La durée de la session reste avec chaque organisation enfant pendant la version bêta, et chaque organisation enfant conserve sa propre liste d'adresses IP autorisées.
Les restrictions de locataire s'appliquent déjà à la console parent. Si votre réseau les utilise, conservez l'ID d'organisation parent de la page Général sur votre liste d'ID d'organisations autorisées, ainsi que vos ID d'organisations enfants, car l'ID du parent ne les couvre pas.
Groupes
Les groupes sont des collections d'utilisateurs qui partagent les mêmes rôles. Ils vivent au niveau du parent, donc un groupe peut se voir attribuer des rôles dans toute organisation enfant. Les administrateurs des organisations enfants attribuent ces rôles au sein de leur propre organisation.
L'onglet Groupes affiche chaque groupe sous le parent, avec son nombre de membres. Vous pouvez filtrer par source et rechercher par nom.
Les groupes synchronisés à partir de votre annuaire portent un badge SCIM. Ouvrez-en un pour voir ses membres. Son nom et son appartenance proviennent de votre fournisseur d'identité.
Sélectionnez « Ajouter un groupe » pour créer un groupe manuellement. Ouvrez-le pour le renommer, ou pour ajouter et supprimer des membres par nom ou adresse e-mail.
Supprimez un groupe à partir de son menu d'actions.
Remarque : Jusqu'à ce que la disponibilité des groupes soit disponible, chaque administrateur d'organisation enfant Enterprise peut voir chaque groupe sous le parent.
Rôles d'administrateur
Cette page répertorie les personnes qui administrent l'organisation parent. Sélectionnez « Ajouter un administrateur » pour donner à quelqu'un un rôle parent.