Atur izin berbasis peran pada paket Enterprise

Panduan ini memandu Anda melalui pengaturan izin berbasis peran untuk organisasi Enterprise Anda. Ini memungkinkan Anda mengontrol fitur dan konektor mana yang dapat diakses oleh tim atau kelompok anggota tertentu, dan mendelegasikan akses admin khusus seperti penagihan atau manajemen pengguna, daripada memberikan semua orang izin yang sama.

Sebelum Anda mulai, pastikan Anda sudah familiar dengan:

Anda memerlukan akses Owner atau Primary Owner ke organisasi Enterprise Anda, atau peran kustom dengan Identity & Access diatur ke Kelola.

Periksa kemampuan mana yang diaktifkan di tingkat organisasi. Buka Pengaturan Organisasi dan pastikan Anda tahu kemampuan mana yang dapat diakses anggota saat ini. Untuk pengaturan yang dikelola oleh RBAC, baik pengaturan organisasi maupun pengaturan peran harus aktif agar pengguna mendapatkan akses.

Cadangkan daftar anggota Anda. Ekspor CSV anggota Anda saat ini dari Pengaturan Organisasi > Anggota sebelum membuat perubahan apa pun. Jika ada yang salah selama migrasi, ini memberi Anda referensi untuk memulihkan akses. Lihat Kelola anggota pada paket Team dan Enterprise.

Tentukan tim atau fungsi mana yang memerlukan setiap kemampuan. Misalnya, Engineering mendapatkan Claude Code + Fast Mode dan Marketing mendapatkan Cowork + Web Search. Dari sini, tentukan peran kustom Anda.

Paket dual-seat. Jika organisasi Anda berada di paket Enterprise dual-seat (dengan kursi Chat dan Chat + Claude Code), peran kustom tidak mengganti pembatasan tingkat seat. Anggota yang ditugaskan ke seat Chat-only tidak dapat mengakses Claude Code bahkan jika peran kustom mereka memberikannya. Hal yang sama berlaku sebaliknya: jika peran kustom anggota tidak memberikan kemampuan chat, mereka tidak akan memiliki akses chat terlepas dari jenis seat mereka. Rencanakan struktur peran Anda dengan penugasan seat dalam pikiran.

Tentukan cara Anda akan membuat grup. Anda dapat membuat grup secara manual di Claude, atau menyinkronkannya dari penyedia identitas (IdP) Anda melalui SCIM. Anda juga dapat menggunakan kedua metode secara bersamaan. Jika Anda berencana menggunakan grup IdP dari Okta, Entra ID, atau penyedia lain, pastikan sinkronisasi direktori SCIM dikonfigurasi. Lihat Atur penyediaan JIT atau SCIM.

Tambahkan konektor yang Anda rencanakan untuk diatur. Izin konektor hanya mencakup konektor yang telah ditambahkan Owner atau Primary Owner di bawah Pengaturan Organisasi > Konektor dan terhubung dengan kredensial admin. Tinjau kebijakan alat organisasi Anda di sana juga, karena pemberian peran mempersempit di dalamnya dan tidak dapat memperluas melampaui itu. Lihat Gunakan konektor untuk memperluas kemampuan Claude.

Sebelum membuat apa pun, tentukan fitur mana yang harus diakses oleh setiap tim atau kelompok anggota. Berikut adalah empat pola umum:

Ini adalah pendekatan yang direkomendasikan untuk sebagian besar organisasi. Buat peran "Standard Access" untuk semua orang dengan fitur umum seperti web search, memory, dan projects. Kemudian buat peran aditif yang memberikan kemampuan khusus — misalnya, peran "Cowork Enabled" yang hanya menambahkan Cowork. Tugaskan semua anggota ke peran dasar melalui grup "All Users", dan tambahkan anggota tertentu ke grup tambahan yang menambahkan fitur ekstra.

Pola ini fleksibel karena izin bersifat aditif — menggabungkan peran dasar dengan peran aditif mengkomposisi dengan bersih tanpa konflik.

Buat tingkat yang berbeda: "Full Access" dengan semua fitur, "Standard Access" dengan sebagian besar fitur, dan "Restricted Access" dengan fitur minimal. Setiap anggota masuk ke dalam satu grup yang ditugaskan ke satu tingkat.

Buat peran yang memetakan ke departemen: "Engineering" dengan chat, Cowork, Claude Code, dan code execution; "Research" dengan chat, web search, memory, dan projects; "Business" dengan chat, web search dan projects saja. Tugaskan setiap grup departemen ke peran yang sesuai.

Buat peran yang mendelegasikan bagian dari administrasi tanpa memberikan peran Owner. Peran kustom dengan izin admin tidak perlu kemampuan pengguna apa pun, dan sebaliknya. Anda dapat membuat peran "Finance" yang memberikan akses Billing tetapi tidak ada kemampuan chat atau Claude Code, atau peran "Engineering Lead" yang memberikan akses Claude Code plus Analytics view. Pelajari lebih lanjut tentang izin admin untuk peran kustom.

Ingat: fitur apa pun yang ingin Anda kontrol per-grup harus diaktifkan di tingkat organisasi. Jika fitur dimatikan di tingkat organisasi, tidak ada peran kustom yang dapat memberikan akses ke fitur tersebut.

Buat peran kustom Anda sebelum mengaktifkan fitur apa pun atau memigrasikan anggota. Ini memastikan peran Anda siap untuk memberlakukan akses pada saat fitur dihidupkan.

Perubahan peran mungkin memerlukan waktu hingga 15 menit untuk diterapkan. Anggota mungkin perlu menyegarkan browser mereka untuk melihat akses yang diperbarui.

Lihat Kelola peran kustom pada paket Enterprise untuk detail tentang kemampuan yang tersedia, izin admin, dan konektor.

Atur izin admin pada setiap peran untuk mendelegasikan akses ke pengaturan admin, seperti penagihan, manajemen pengguna, atau privasi, tanpa memberikan peran Owner. Langkah ini opsional. Jika Anda tidak mengonfigurasinya, peran tidak memberikan akses admin dan administrasi tetap bersama Owner dan Primary Owner. Untuk apa yang dicakup setiap area izin, lihat Kelola peran kustom pada paket Enterprise.

Tab Izin mencantumkan setiap area admin: Identitas & Akses, Penagihan, Analitik, Privasi, Manajemen Pengguna, dan Perpustakaan. Atur setiap area admin ke salah satu opsi berikut:

Dalam suatu area, Anda memberikan semua Tampilan atau semua Kelola. Anda tidak dapat memberikan atau membatasi halaman atau pengaturan individual.

Verifikasi izin admin setelah Anda telah memigrasikan anggota ke peran "Kustom" (Langkah 7). Lihat Langkah 11: Verifikasi dan pantau.

Atur izin konektor pada setiap peran untuk mengontrol konektor mana, dan alat mana pada konektor tersebut, yang dapat digunakan peran. Langkah ini opsional. Jika Anda tidak mengonfigurasinya, peran Anda kembali ke perilaku default yang dijelaskan di bawah. Untuk cara kerja model izin dari awal hingga akhir, lihat Kelola peran kustom pada paket Enterprise.

Pengaturan default untuk peran baru bersifat permisif. Saat membuat atau memodifikasi peran, konfirmasi pengaturan pada setiap tab untuk menghindari pemberian izin yang tidak disengaja.

Tab Konektor mencantumkan baris Semua konektor di bagian atas, diikuti oleh setiap konektor yang telah ditambahkan organisasi Anda. Setiap baris memiliki dropdown dengan empat opsi:

Memilih "Selalu izinkan," "Memerlukan persetujuan," atau "Diblokir" menerapkan tingkat itu ke setiap alat pada konektor. Baris Semua konektor bekerja dengan cara yang sama satu tingkat lebih tinggi: baris tersebut menetapkan garis dasar untuk setiap konektor sekaligus, termasuk konektor apa pun yang Anda tambahkan nanti. Gunakan untuk menetapkan default peran, lalu ganti konektor individual.

Atur konektor ke Kustom untuk mengungkapkan alatnya sebagai baris individual. Setiap alat memiliki dropdown sendiri: "Selalu izinkan," "Memerlukan persetujuan," atau "Diblokir."

Izin per-alat memungkinkan peran mencapai bagian dari konektor. Misalnya, dengan Jira diatur ke Kustom, alatnya search_issues diatur ke "Memerlukan persetujuan," dan setiap alat Jira lainnya diatur ke "Diblokir," anggota dengan peran dapat mencari Jira tetapi tidak ada yang lain. Claude hanya melihat alat yang telah Anda berikan, jadi memintanya membuat tiket mengembalikan "Saya tidak memiliki alat untuk itu" daripada kesalahan.

Karena izin konektor bersifat aditif di seluruh peran, memblokir konektor dalam satu peran tidak berpengaruh pada anggota yang juga memegang peran lain yang memberikannya. Setiap baris konektor menampilkan peringatan ketika peran lain memberikan konektor yang sama pada tingkat yang berbeda. Peringatan tersebut menamai peran-peran itu dan menautkan ke mereka, dan hibah paling permisif adalah yang berlaku.

Jika Anda memiliki pengeditan yang belum disimpan saat Anda membuka peran yang ditautkan, Anda diminta untuk membuangnya terlebih dahulu.

Verifikasi izin konektor setelah Anda telah memigrasikan anggota ke peran "Kustom" (Langkah 7). Lihat Langkah 11: Verifikasi dan pantau.

Atur akses model pada setiap peran untuk mengontrol model Claude mana yang dapat digunakan peran, batasi tingkat upaya maksimum per model, dan pilih model yang dimulai percakapan baru. Langkah ini opsional; jika Anda tidak mengonfigurasinya, peran baru dapat menggunakan setiap model yang diaktifkan di tingkat organisasi, pada tingkat upaya apa pun, dan mulai pada model default organisasi.

Untuk cara kerja akses model dan pengaturan model default dari awal hingga akhir, lihat Kelola akses model untuk organisasi Anda dan Atur model default untuk organisasi Anda.

Di bawah Akses model, aktifkan atau nonaktifkan setiap model untuk peran ini. Model yang dinonaktifkan di tingkat organisasi muncul tetapi tidak dapat diaktifkan di sini sampai Anda mengaktifkannya untuk organisasi di Pengaturan organisasi > Model. Model Haiku selalu aktif dan tidak dapat dinonaktifkan.

Untuk membatasi tingkat upaya yang dapat dipilih peran pada model, klik ikon roda gigi di sebelah model dan pilih tingkat.

Di bawah Model default, secara opsional pilih model yang dimulai percakapan baru untuk peran ini. Hanya model yang memiliki akses peran yang dapat dipilih.

Verifikasi akses model setelah Anda telah memigrasikan anggota ke peran "Kustom". Lihat Langkah 11: Verifikasi dan pantau.

Jika Anda menggunakan sinkronisasi direktori SCIM, Anda dapat menyinkronkan grup dari penyedia identitas Anda alih-alih membuatnya secara manual. Untuk detail tentang sinkronisasi grup SCIM, lihat Kelola grup dan batas pengeluaran grup pada paket Enterprise.

Beberapa organisasi di bawah organisasi induk yang sama: Grup dikelola di tingkat organisasi induk dan menyebar ke semua organisasi anak. Anda mungkin melihat anggota dari organisasi lain yang terdaftar dalam grup—ini tidak berarti mereka memiliki akses ke organisasi Anda. Peran kustom yang ditetapkan ke grup hanya memberikan kemampuan kepada anggota yang merupakan bagian dari organisasi spesifik Anda.

Jika Anda meminta untuk memindahkan organisasi dari satu induk ke induk lainnya (ini jarang terjadi dalam praktik), grup dan peran akan menjadi tidak terdefinisi dan Anda perlu membuat ulang mereka.

Sebelum memigrasikan anggota ke peran kustom, konfirmasi bahwa setiap anggota yang Anda rencanakan untuk dimigrasikan berada di setidaknya satu grup yang ditetapkan ke peran kustom. Anggota yang dimigrasikan tanpa cakupan grup atau peran akan kehilangan akses ke semua fitur yang diatur.

Agar kemampuan peran kustom berlaku, anggota harus memiliki peran mereka diatur ke "Kustom." Anggota dengan peran Pengguna, Admin, atau Pemilik mendapatkan izin mereka dari peran tersebut secara langsung, bukan dari peran kustom.

Pilih jalur migrasi berdasarkan apakah organisasi Anda sudah mengaktifkan pemetaan grup:

Gunakan jalur ini hanya jika organisasi Anda sudah mengaktifkan pemetaan grup untuk penugasan peran. Jika Anda belum menggunakan pengaturan ini, lewati ke Jalur B.

Anggota dalam grup IdP yang dipetakan ke peran "Kustom" mengikuti izin peran kustom yang ditetapkan ke grup mereka di Claude. Anggota dalam grup IdP yang dipetakan ke Pengguna mengikuti pengaturan kemampuan tingkat organisasi. Jika anggota berada dalam grup di kedua pemetaan, peran "Kustom" memiliki prioritas.

Gunakan jalur ini jika organisasi Anda belum mengaktifkan pemetaan grup.

Kami merekomendasikan memigrasikan grup pilot terlebih dahulu—satu tim atau departemen—dan memverifikasi akses mereka benar sebelum memperluas ke seluruh organisasi.

Jalur mana pun yang Anda gunakan, kami merekomendasikan migrasi dalam tahap:

Hanya aktifkan fitur tingkat organisasi setelah peran, grup, dan migrasi anggota selesai. Ini memastikan kemampuan peran kustom sudah ada, tanpa jendela di mana anggota yang tidak sah dapat mengakses fitur.

Untuk fitur apa pun yang ingin Anda kontrol per-grup:

Mengaktifkan fitur di tingkat organisasi tidak berarti semua orang mendapatkannya—izin peran kustom sudah ada untuk mengontrol siapa yang dapat menggunakannya. Pikirkan sakelar tingkat organisasi sebagai membuat fitur "tersedia untuk penugasan berbasis peran" daripada "aktif untuk semua orang."

Navigasi ke halaman "Penggunaan" untuk menugaskan batas pengeluaran bulanan per pengguna ke grup apa pun.

Perhatikan aturan prioritas berikut:

Perubahan keanggotaan berlaku secara otomatis—pengguna mewarisi atau kehilangan batas segera setelah keanggotaan grup mereka berubah. Hanya relevan untuk organisasi dengan penagihan berbasis penggunaan.

Jika Anda mengonfigurasi izin admin, juga periksa:

Jika Anda mengonfigurasi izin konektor, juga periksa:

Jika Anda mengonfigurasi akses model, juga periksa:

Perubahan peran dapat memakan waktu hingga 15 menit untuk diterapkan di seluruh platform. Anggota mungkin perlu menyegarkan browser mereka untuk melihat akses yang diperbarui.

SCIM terhubung ke kemampuan berbasis peran Anda melalui dua mekanisme yang bekerja bersama.

Ini mengontrol peran bawaan mana yang diterima anggota saat disediakan. Petakan grup IdP Anda ke peran "Khusus" sehingga akses anggota baru secara otomatis diatur oleh kemampuan peran khusus.

Ini menarik grup IdP Anda ke Claude sehingga dapat ditetapkan ke peran khusus.

Jika Anda memperhatikan struktur peran Anda salah dikonfigurasi setelah migrasi:

Jika Anda mengaktifkan pemetaan grup selama penyiapan dan kehilangan akses admin, ikuti langkah pemulihan di Siapkan penyediaan JIT atau SCIM di bawah "Saya kehilangan akses Admin/Pemilik setelah mengaktifkan pemetaan grup."

Ya. Tombol tingkat organisasi harus aktif agar peran khusus dapat mengontrol akses per anggota. Jika fitur dimatikan di tingkat organisasi, tidak ada yang dapat mengaksesnya terlepas dari peran mereka. Anggap saja sebagai saklar utama—peran khusus mengontrol siapa yang mendapat akses di bawahnya.

Mereka tidak memiliki izin peran khusus, jadi semua fitur yang memerlukan izin berwarna abu-abu atau tersembunyi. Pastikan setiap anggota yang perannya diatur ke "Khusus" berada di setidaknya satu grup yang ditetapkan ke peran khusus.

Model tersebut dinonaktifkan di tingkat organisasi (Pengaturan Organisasi > Model) atau tidak ada peran kustom anggota yang memberikannya. Penonaktifan tingkat organisasi memengaruhi semua orang, termasuk Pemilik dan Admin.

Anggota dalam peran tersebut tidak akan melihat antarmuka obrolan Claude. Mereka akan mendarat di halaman pengaturan mereka saat masuk. Jika peran mereka memberikan produk lain seperti Cowork atau Claude Code, produk tersebut tetap dapat diakses dari halaman pengaturan mereka dan dari aplikasi yang relevan.

Obrolan diaktifkan secara default di semua peran kustom, jadi Anda hanya perlu khawatir tentang ini jika Anda sengaja menonaktifkan obrolan untuk suatu peran.

Ya. Anggota dengan peran Pengguna, Admin, atau Pemilik tidak terpengaruh oleh izin peran kustom karena mereka mendapatkan izin dari peran tersebut secara langsung. Hanya anggota dengan peran yang ditetapkan ke "Kustom" yang dikendalikan oleh sistem grup-dan-peran. Ini memungkinkan migrasi bertahap.

Izin bersifat aditif. Jika peran apa pun dalam rantai anggota memberikan fitur, mereka memilikinya. Anda tidak dapat menggunakan peran untuk menghapus izin yang diberikan oleh peran lain.

Ya. Kedua jenis dapat ditugaskan ke peran kustom. Perbedaannya adalah keanggotaan grup SCIM dikelola di penyedia identitas Anda, sementara keanggotaan grup manual dikelola di pengaturan organisasi Claude.

Tidak. Pemilik dan Pemilik Utama selalu memiliki akses penuh ke semua fitur.

Grup dan sinkronisasi SCIM dikelola di tingkat organisasi induk dan dibagikan di semua organisasi anak. Penugasan peran dan batas pengeluaran dikonfigurasi secara independen di setiap organisasi anak—perubahan di satu organisasi anak tidak memengaruhi organisasi lain. Perubahan keanggotaan grup dan resinkronisasi SCIM menyebar di semua organisasi anak di bawah induk yang sama.

Setiap peran yang ada ditanam dengan pemberian "Semua konektor" pada "Selalu izinkan," jadi akses anggota tidak berubah saat pengaktifan. Anda mempersempit akses dari sana.

"Memerlukan persetujuan" pada setiap konektor. Alur pembuatan-peran melangkah melalui tab Konektor sehingga Anda melihat ini sebelum menyimpan.

Peran yang baris "Semua konektor" ditetapkan ke "Selalu izinkan," "Memerlukan persetujuan," atau "Diblokir" mencakup konektor baru pada tingkat itu secara otomatis. Peran yang baris "Semua konektor" ditetapkan ke "Kustom" memperlakukan konektor baru sebagai "Diblokir" sampai Anda menetapkannya.

Periksa apakah anggota memiliki peran lain yang memberikannya, karena pemberian paling permisif menang di seluruh peran. Peringatan konflik pada baris konektor mencantumkan peran tersebut. Juga konfirmasi bahwa peran anggota ditetapkan ke "Kustom."

Tidak. Kebijakan organisasi-luas adalah batas atas. Alat yang diblokir di sana diblokir untuk semua orang, terlepas dari pemberian peran.

Peran dapat memberikannya, tetapi pengaturan yang lebih ketat menang, jadi anggota melihatnya dibatasi pada "Memerlukan persetujuan." Untuk membiarkan anggota menetapkan "Selalu izinkan," naikkan kebijakan organisasi-luas ke "Selalu izinkan" terlebih dahulu.

Ya. Atur konektor ke "Kustom," atur satu alat ke "Selalu izinkan" atau "Memerlukan persetujuan," dan biarkan sisanya "Diblokir."

Tidak. Fitur bawaan diatur di tab Kemampuan. Tab Konektor mengatur konektor yang telah ditambahkan organisasi Anda.

Perubahan peran dapat memakan waktu hingga 15 menit untuk berlaku. Anggota mungkin perlu menyegarkan browser mereka.

Hanya jika peran mereka mencakup Identitas & Akses yang ditetapkan ke Kelola, yang mencakup pengeditan peran dan grup. Cadangkan izin itu untuk administrator keamanan dan IT terpercaya, karena dapat digunakan untuk mengubah definisi peran termasuk milik mereka sendiri.

Tidak. Izin admin hanya berlaku untuk anggota dalam peran kustom. Anggota pada peran bawaan mempertahankan akses yang diberikan peran tersebut. Untuk memberi seseorang izin admin spesifik, ubah anggota ke peran kustom dan tambahkan mereka ke grup yang ditugaskan ke peran dengan izin yang mereka butuhkan. Ingat bahwa ini menghapus akses peran bawaan mereka sebelumnya.

Pengaturan organisasi hanya menampilkan bagian yang izin mereka cakup. Bagian yang tidak mereka miliki akses disembunyikan sepenuhnya dari pengaturan organisasi mereka.

Pengaturan Organisasi > Peran menampilkan izin admin yang diberikan setiap peran kustom, dan Pengaturan Organisasi > Grup menampilkan grup mana yang ditugaskan ke setiap peran dan siapa yang termasuk di dalamnya. Untuk memeriksa anggota tertentu, cari grup mereka di Pengaturan Organisasi > Anggota, kemudian peran yang ditugaskan grup tersebut.

Buat satu peran yang memberikan akses ke berbagai area, atau tambahkan anggota ke beberapa grup yang perannya mencakup area yang mereka butuhkan. Izin menggabungkan secara aditif.