Gestisci ruoli personalizzati nei piani Enterprise

I ruoli personalizzati ti permettono di definire quali funzionalità i tuoi membri possono utilizzare. Ogni ruolo personalizzato contiene un set di autorizzazioni che concedono o limitano l'accesso a funzionalità specifiche come chat, Claude Cowork, Claude Code e ricerca web, oltre ai connettori che la tua organizzazione ha aggiunto, come Slack o Google Drive. I ruoli personalizzati possono anche concedere autorizzazioni amministrative, che danno ai membri accesso ad aree amministrative specifiche come fatturazione, identità o privacy senza renderli proprietari.

I ruoli personalizzati funzionano insieme ai gruppi. Il flusso di lavoro tipico è: creare ruoli personalizzati, assegnarli ai gruppi e quindi impostare il ruolo dei membri su "Personalizzato" in modo che il loro accesso sia interamente governato dai ruoli personalizzati assegnati ai loro gruppi.

L'accesso alle funzionalità è determinato da una catena di precedenza a quattro livelli, dove il livello più restrittivo prevale:

Il concetto chiave: l'interruttore a livello di organizzazione è un interruttore principale. I ruoli personalizzati sono gli interruttori per singolo membro sottostanti. Una funzionalità deve essere abilitata a livello di organizzazione prima che i ruoli personalizzati possano controllare chi ottiene l'accesso.

Ogni ruolo personalizzato può concedere o limitare l'accesso alle seguenti funzionalità:

I ruoli personalizzati governano anche i permessi di amministrazione, i connettori e l'accesso ai modelli, che sono configurati nelle schede separate Permessi, Connettori e Modelli nell'editor dei ruoli. Vedi Permessi di amministrazione, Permessi dei connettori e Accesso ai modelli di seguito.

Invece di attivare/disattivare le funzionalità singolarmente, puoi concedere a un ruolo ogni funzionalità. Quando crei o modifichi un ruolo, scegli un'opzione nella scheda Funzionalità per Accesso alle funzionalità:

I ruoli impostati su una delle due opzioni acquisiscono automaticamente le nuove funzionalità al loro lancio. I ruoli impostati su "Solo selezionate" includono solo le funzionalità che selezioni.

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto e i membri potrebbero dover aggiornare il browser. Tutti i membri nei gruppi assegnati a questo ruolo sono interessati.

Fai clic sul pulsante del menu su qualsiasi ruolo personalizzato e seleziona "Elimina ruolo." L'eliminazione di un ruolo rimuove i suoi permessi da tutti i gruppi a cui era assegnato. I membri di questi gruppi perdono i permessi che il ruolo concedeva, a meno che un altro ruolo nella loro catena non li conceda anche.

I ruoli personalizzati sono assegnati ai gruppi, non direttamente ai singoli membri. Per assegnare un gruppo a un ruolo:

Puoi anche assegnare ruoli personalizzati quando crei o modifichi un gruppo in Impostazioni organizzazione > Gruppi. Vedi Gestisci gruppi e limiti di spesa dei gruppi nei piani Enterprise.

Se un membro appartiene a più gruppi con diversi ruoli personalizzati, i suoi permessi sono additivi: ottiene l'unione di tutti i permessi da tutti i ruoli nella sua catena. Se un ruolo concede una funzionalità, il membro ha accesso ad essa.

Ciò significa che non puoi usare un ruolo per rimuovere un permesso concesso da un altro ruolo. Questo è intenzionale: consente un approccio stratificato in cui un ruolo di base copre le funzionalità comuni e i ruoli aggiuntivi aggiungono funzionalità specifiche e permessi di amministrazione.

Esempio: Un membro è in due gruppi. Il gruppo "Tutti gli utenti" è assegnato a un ruolo "Accesso standard" con ricerca web e memoria. Il gruppo "Ingegneria" è assegnato a un ruolo "Sviluppatore" con Cowork e Claude Code. Il membro ottiene tutti e quattro: ricerca web, memoria, Cowork e Claude Code.

Quando un membro appartiene a diversi gruppi i cui ruoli concedono funzionalità diverse, può essere difficile dire cosa può effettivamente fare. L'opzione "Visualizza ruolo effettivo" mostra il risultato combinato: ogni funzionalità, permesso di amministrazione e connettore che il membro ha, con il ruolo che concede ciascuno.

La finestra modale elenca i ruoli assegnati del membro e tre schede:

Questa visualizzazione è di sola lettura. Per modificare cosa può fare un membro, modifica i ruoli assegnati ai loro gruppi.

I ruoli personalizzati possono concedere autorizzazioni amministratore oltre alle capacità e alle autorizzazioni dei connettori. Le autorizzazioni amministratore consentono ai membri di accedere ad aree amministrative specifiche, come fatturazione o privacy, senza renderli Proprietari. Puoi configurare le autorizzazioni amministratore nella scheda Autorizzazioni dell'editor dei ruoli.

Nella scheda Autorizzazioni, imposti ogni area di autorizzazione su uno di tre livelli:

All'interno di un'area, concedi tutto di Visualizza o tutto di Gestisci. Non puoi concedere o limitare singole pagine o impostazioni.

Ci sono sette aree di autorizzazione amministratore:

I seguenti rimangono disponibili solo per Proprietari e Proprietari Primari, anche per i membri con permessi di amministrazione:

Se un membro non ha accesso a un permesso di amministrazione specifico, la sezione non appare nelle impostazioni della sua organizzazione. Vengono mostrate solo le sezioni coperte dai suoi permessi.

I ruoli personalizzati controllano anche quali connettori e quali strumenti su quei connettori un ruolo può utilizzare. Dove le capacità coprono le funzioni integrate di Claude, i permessi dei connettori coprono le app e i servizi che hai collegato alla tua organizzazione, come Slack, Google Drive o Jira. Li imposti nella scheda Connettori dell'editor dei ruoli, accanto alle schede Capacità e Permessi.

Nella scheda Connettori, imposti tutti i connettori, ogni connettore o ogni strumento su un connettore a uno di tre livelli:

Un connettore può anche essere impostato su Personalizzato, che ti consente di impostare ciascuno dei suoi strumenti individualmente. Per la configurazione completa, vedi Configura permessi basati su ruoli nei piani Enterprise.

Un connettore o uno strumento passa attraverso diversi livelli prima che un membro possa utilizzarlo, valutati in questo ordine:

Per i membri che utilizzano Claude Code, si applica un altro livello: le politiche di Impostazioni gestite e i permessi dei connettori si compongono per il più restrittivo. Uno strumento è richiamabile senza un prompt solo quando entrambi lo consentono. Per ulteriori informazioni, vedi Impostazioni di Claude Code.

Per i membri che utilizzano Claude Cowork, gli strumenti dei connettori con capacità di scrittura passano attraverso un altro gate. Vedi Impostazione di approvazione di Cowork per strumenti di scrittura di seguito.

Questa tabella mostra come la politica di strumenti a livello organizzativo e la concessione del ruolo di un membro si combinano:

Claude Cowork ha un'impostazione organizzativa separata, Consenti "Consenti sempre" per gli strumenti connettore, che controlla gli strumenti connettore con capacità di scrittura. È disattivata per impostazione predefinita e le concessioni di ruoli personalizzati non possono ignorarla: anche quando la politica degli strumenti a livello organizzativo e ogni concessione di ruolo sono impostati su "Consenti sempre", i membri approvano questi strumenti per attività in Cowork fino a quando l'impostazione non viene attivata. Scopri di più su approvazioni dei connettori in Cowork.

I permessi dei connettori sono applicati sui server di Anthropic, quindi si applicano su ogni superficie Claude che instrada il traffico dei connettori attraverso Anthropic:

I permessi dei connettori governano i connettori che la tua organizzazione ha aggiunto in Impostazioni organizzazione > Connettori. Non governano i connettori che un membro esegue localmente sulla propria macchina e non governano Claude Cowork quando viene distribuito su una piattaforma di terze parti. Per le distribuzioni Cowork di terze parti, utilizza MDM. Vedi Cowork su 3P: MCP, plugin, competenze e hook.

I membri non riescono a capire quale livello ha limitato uno strumento. Il messaggio è lo stesso indipendentemente dal fatto che il limite provenga dalla politica degli strumenti a livello organizzativo, da una concessione di ruolo o da entrambi. Per trovare l'origine, confronta la politica a livello organizzativo con le concessioni di ruolo del membro.

I ruoli personalizzati controllano anche quali modelli Claude un ruolo può utilizzare e il livello di impegno massimo che i membri possono selezionare su ciascuno. Questi vengono impostati nella scheda Modelli dell'editor dei ruoli, insieme al modello predefinito del ruolo.

L'impostazione del modello a livello organizzativo è il limite massimo. Un ruolo non può concedere un modello disabilitato a livello organizzativo. Tra i ruoli di un membro, l'accesso al modello è additivo e i limiti di impegno prendono il limite massimo più alto che qualsiasi ruolo consente. I modelli Haiku sono sempre disponibili e non possono essere disabilitati.

Per i passaggi di configurazione e cosa vedono i membri, consulta Gestisci l'accesso al modello per la tua organizzazione. Per il comportamento del modello predefinito, consulta Imposta un modello predefinito per la tua organizzazione.

Quando una funzionalità è limitata, ecco cosa vedono i membri. Per le restrizioni di connettore e strumento, consulta Autorizzazioni connettore sopra.