Configurare i permessi basati sui ruoli nei piani Enterprise

Questa guida ti guida nella configurazione dei permessi basati sui ruoli per la tua organizzazione Enterprise. Questo ti consente di controllare quali funzionalità e connettori possono accedere team o gruppi specifici di membri, e delegare accesso admin specifico come fatturazione o gestione utenti, invece di dare a tutti gli stessi permessi.

Prima di iniziare, assicurati di avere familiarità con:

Avrai bisogno dell'accesso Owner o Primary Owner alla tua organizzazione Enterprise, o di un ruolo personalizzato con Identity & Access impostato su Manage.

Controlla quali capacità sono abilitate a livello di organizzazione. Vai a Impostazioni organizzazione e assicurati di sapere quali capacità i membri possono accedere attualmente. Per le impostazioni gestite da RBAC, sia l'impostazione dell'organizzazione che l'impostazione del ruolo devono essere attive affinché gli utenti ottengano accesso.

Esegui il backup dell'elenco dei membri. Esporta un CSV dei tuoi membri attuali da Impostazioni organizzazione > Membri prima di apportare modifiche. Se qualcosa va storto durante la migrazione, questo ti dà un riferimento per ripristinare l'accesso. Vedi Gestire i membri nei piani Team e Enterprise.

Determina quali team o funzioni hanno bisogno di ogni capacità. Ad esempio, Engineering ottiene Claude Code + Fast Mode e Marketing ottiene Cowork + Web Search. Da qui, definisci i tuoi ruoli personalizzati.

Piani dual-seat. Se la tua organizzazione è su un piano Enterprise dual-seat (con posti Chat e Chat + Claude Code), i ruoli personalizzati non sovrascrivono le restrizioni a livello di posto. Un membro assegnato a un posto solo Chat non può accedere a Claude Code anche se il suo ruolo personalizzato lo consente. Lo stesso vale al contrario: se il ruolo personalizzato di un membro non concede la capacità di chat, non avrà accesso a chat indipendentemente dal tipo di posto. Pianifica la struttura del tuo ruolo tenendo in mente le assegnazioni dei posti.

Decidi come creerai i gruppi. Puoi creare gruppi manualmente in Claude, o sincronizzarli dal tuo provider di identità (IdP) tramite SCIM. Puoi anche usare entrambi i metodi contemporaneamente. Se prevedi di usare gruppi IdP da Okta, Entra ID, o un altro provider, assicurati che la sincronizzazione della directory SCIM sia configurata. Vedi Configurare il provisioning JIT o SCIM.

Aggiungi i connettori che prevedi di governare. I permessi dei connettori coprono solo i connettori che un Owner o Primary Owner ha già aggiunto sotto Impostazioni organizzazione > Connettori e collegato con credenziali admin. Rivedi anche la tua politica degli strumenti a livello di organizzazione lì, poiché i grant dei ruoli si restringono all'interno di essa e non possono allargarsi oltre. Vedi Usare i connettori per estendere le capacità di Claude.

Prima di creare qualcosa, decidi quali funzionalità ogni team o gruppo di membri dovrebbe avere accesso. Ecco quattro modelli comuni:

Questo è l'approccio consigliato per la maggior parte delle organizzazioni. Crea un ruolo "Standard Access" per tutti con funzionalità comuni come web search, memory, e projects. Poi crea ruoli additivi che concedono capacità specifiche — ad esempio, un ruolo "Cowork Enabled" che aggiunge solo Cowork. Assegna tutti i membri al ruolo base attraverso un gruppo "All Users", e aggiungi membri specifici a gruppi aggiuntivi che aggiungono funzionalità extra.

Questo modello è flessibile perché i permessi sono additivi — combinare un ruolo base con ruoli additivi si compone in modo pulito senza conflitti.

Crea livelli distinti: "Full Access" con tutte le funzionalità, "Standard Access" con la maggior parte delle funzionalità, e "Restricted Access" con funzionalità minime. Ogni membro va in esattamente un gruppo assegnato a un livello.

Crea ruoli che mappano ai dipartimenti: "Engineering" con chat, Cowork, Claude Code, e code execution; "Research" con chat, web search, memory, e projects; "Business" con chat, web search e projects solo. Assegna ogni gruppo di dipartimento al suo ruolo corrispondente.

Crea ruoli che delegano parti dell'amministrazione senza concedere il ruolo Owner. Un ruolo personalizzato con permessi admin non ha bisogno di alcuna capacità utente, e viceversa. Potresti creare un ruolo "Finance" che concede accesso Billing ma nessuna capacità chat o Claude Code, o un ruolo "Engineering Lead" che concede Claude Code più accesso vista Analytics. Scopri di più sui permessi admin per i ruoli personalizzati.

Ricorda: qualsiasi funzionalità che vuoi controllare per gruppo deve essere abilitata a livello di organizzazione. Se una funzionalità è disattivata a livello di organizzazione, nessun ruolo personalizzato può concedere accesso ad essa.

Crea i tuoi ruoli personalizzati prima di abilitare qualsiasi funzionalità o migrare i membri. Questo assicura che i tuoi ruoli siano pronti a far rispettare l'accesso nel momento in cui le funzionalità si attivano.

I cambiamenti dei ruoli possono richiedere fino a 15 minuti per avere effetto. I membri potrebbero aver bisogno di aggiornare il loro browser per vedere l'accesso aggiornato.

Vedi Gestire ruoli personalizzati nei piani Enterprise per dettagli sulle capacità disponibili, permessi admin, e connettori.

Imposta i permessi admin su ogni ruolo per delegare l'accesso alle impostazioni admin, come fatturazione, gestione utenti, o privacy, senza concedere il ruolo Owner. Questo passaggio è facoltativo. Se non lo configuri, i ruoli non concedono accesso admin e l'amministrazione rimane con Owners e Primary Owners. Per cosa copre ogni area di permesso, vedi Gestire ruoli personalizzati nei piani Enterprise.

La scheda Autorizzazioni elenca ogni area di amministrazione: Identità e accesso, Fatturazione, Analitiche, Privacy, Gestione utenti, Librerie e Directory. Imposta ogni area di amministrazione su una delle seguenti opzioni:

All'interno di un'area, concedi tutto l'accesso di Visualizzazione o tutto l'accesso di Gestione. Non puoi concedere o limitare pagine o impostazioni individuali.

Verifica le autorizzazioni di amministratore dopo aver migrato i membri ai ruoli "Personalizzati" (Passaggio 7). Vedi Passaggio 11: Verifica e monitoraggio.

Imposta le autorizzazioni dei connettori su ogni ruolo per controllare quali connettori e quali strumenti su quei connettori il ruolo può utilizzare. Questo passaggio è facoltativo. Se non lo configuri, i tuoi ruoli tornano al comportamento predefinito descritto di seguito. Per informazioni su come funziona il modello di autorizzazione end-to-end, vedi Gestisci ruoli personalizzati nei piani Enterprise.

Le impostazioni predefinite per i nuovi ruoli sono permissive. Quando crei o modifichi un ruolo, conferma le impostazioni su ogni scheda per evitare di concedere autorizzazioni non intenzionali.

La scheda Connettori elenca una riga Tutti i connettori in alto, seguita da ogni connettore che la tua organizzazione ha aggiunto. Ogni riga ha un menu a discesa con quattro opzioni:

La scelta di "Consenti sempre", "Richiede approvazione" o "Bloccato" applica quel livello a ogni strumento sul connettore. La riga Tutti i connettori funziona allo stesso modo un livello più in alto: imposta una linea di base per ogni connettore contemporaneamente, incluso qualsiasi connettore che aggiungerai in seguito. Usala per impostare il valore predefinito di un ruolo, quindi sostituisci i singoli connettori.

Il menu a discesa Come si connettono i membri controlla se i membri del ruolo accedono ai connettori con i propri account o si connettono automaticamente tramite il tuo provider di identità:

Se un connettore ha sia Individualmente che Autorizzazione gestita attivati, Claude prova prima l'autorizzazione gestita. Se non riesce, i membri possono comunque accedere individualmente con il proprio account, quindi non rimangono bloccati dal connettore mentre un problema del provider di identità viene risolto.

La scelta di Individualmente o Autorizzazione gestita nella riga Tutti i connettori imposta una linea di base per ogni connettore contemporaneamente, incluso qualsiasi connettore che aggiungerai in seguito. Usala per impostare il valore predefinito di un ruolo, quindi sostituisci i singoli connettori.

Imposta un connettore su Personalizzato per rivelare i suoi strumenti come righe individuali. Puoi scegliere "Consenti sempre", "Richiede approvazione" o "Bloccato" per ogni strumento.

Le autorizzazioni per strumento consentono a un ruolo di raggiungere parte di un connettore. Ad esempio, con Jira impostato su Personalizzato, il suo strumento search_issues impostato su "Richiede approvazione" e ogni altro strumento Jira impostato su "Bloccato", i membri con il ruolo possono cercare in Jira ma nient'altro. Claude vede solo gli strumenti che hai concesso, quindi chiedergli di creare un ticket restituisce "Non ho uno strumento per questo" piuttosto che un errore.

Poiché le autorizzazioni dei connettori sono cumulative tra i ruoli, bloccare un connettore in un ruolo non ha effetto su un membro che detiene anche un altro ruolo che lo concede. Ogni riga di connettore mostra un avviso quando altri ruoli concedono lo stesso connettore a un livello diverso. L'avviso nomina quei ruoli e si collega a loro, e la concessione più permissiva è quella che si applica.

Se hai modifiche non salvate quando apri un ruolo collegato, ti viene chiesto di scartarle prima.

Verifica le autorizzazioni dei connettori dopo aver migrato i membri ai ruoli "Personalizzati" (Passaggio 7). Vedi Passaggio 11: Verifica e monitoraggio.

Imposta l'accesso al modello su ogni ruolo per controllare quali modelli Claude il ruolo può utilizzare, limitare il livello di sforzo massimo per modello e scegliere il modello su cui iniziano le nuove conversazioni. Questo passaggio è facoltativo; se non lo configuri, i nuovi ruoli possono utilizzare ogni modello abilitato a livello di organizzazione, a qualsiasi livello di sforzo, e iniziare sul modello predefinito dell'organizzazione.

Per informazioni su come funzionano le impostazioni di accesso al modello e modello predefinito end-to-end, vedi Gestisci l'accesso al modello per la tua organizzazione e Imposta un modello predefinito per la tua organizzazione.

In Accesso ai modelli, attiva o disattiva ogni modello per questo ruolo. I modelli disabilitati a livello organizzativo vengono visualizzati ma non possono essere abilitati qui finché non li attivi per l'organizzazione in Impostazioni organizzazione > Modelli. I modelli Haiku sono sempre attivi e non possono essere disabilitati.

Per limitare il livello di sforzo che un ruolo può selezionare su un modello, fai clic sull'icona dell'ingranaggio accanto al modello e scegli un livello.

In Modello predefinito, seleziona facoltativamente il modello su cui iniziano le nuove conversazioni per questo ruolo. È possibile selezionare solo i modelli a cui il ruolo ha accesso.

Verifica l'accesso ai modelli dopo aver migrato i membri ai ruoli "Personalizzati". Vedi Passaggio 11: Verifica e monitoraggio.

Se utilizzi la sincronizzazione della directory SCIM, puoi sincronizzare i gruppi dal tuo provider di identità invece di crearli manualmente. Per i dettagli sulla sincronizzazione dei gruppi SCIM, vedi Gestisci gruppi e limiti di spesa dei gruppi nei piani Enterprise.

Più organizzazioni sotto la stessa organizzazione padre: I gruppi vengono gestiti a livello di organizzazione padre e si propagano a tutte le organizzazioni figlie. Potresti vedere membri di altre organizzazioni elencati in un gruppo, ma ciò non significa che abbiano accesso alla tua organizzazione. I ruoli personalizzati assegnati a un gruppo concedono funzionalità solo ai membri che fanno parte della tua organizzazione specifica.

Se richiedi di spostare un'organizzazione da un padre a un altro (questo è raro nella pratica), i gruppi e i ruoli diventeranno indefiniti e dovrai ricrearli.

Prima di migrare i membri ai ruoli personalizzati, conferma che ogni membro che intendi migrare si trovi in almeno un gruppo assegnato a un ruolo personalizzato. I membri migrati senza copertura di gruppo o ruolo perderanno l'accesso a tutte le funzioni gestite.

Affinché le funzionalità dei ruoli personalizzati abbiano effetto, i membri devono avere il loro ruolo impostato su "Personalizzato". I membri con i ruoli Utente, Amministratore o Proprietario ottengono le loro autorizzazioni da questi ruoli direttamente, non dai ruoli personalizzati.

Scegli il percorso di migrazione in base al fatto che la tua organizzazione abbia già abilitato i mapping dei gruppi:

Utilizza questo percorso solo se la tua organizzazione ha già abilitato i mapping dei gruppi per l'assegnazione dei ruoli. Se non stai già utilizzando questa impostazione, passa al Percorso B.

I membri nei gruppi IdP mappati ai ruoli "Personalizzati" seguono le autorizzazioni dei ruoli personalizzati assegnati ai loro gruppi in Claude. I membri nei gruppi IdP mappati a Utente seguono le impostazioni di funzionalità a livello organizzativo. Se un membro si trova in gruppi su entrambi i mapping, i ruoli "Personalizzati" hanno la precedenza.

Utilizza questo percorso se la tua organizzazione non ha abilitato i mapping dei gruppi.

Ti consigliamo di migrare prima un gruppo pilota, un team o un reparto, e di verificare che il loro accesso sia corretto prima di espandere al resto dell'organizzazione.

Indipendentemente dal percorso che utilizzi, ti consigliamo di migrare in fasi:

Abilita le funzioni a livello organizzativo solo dopo che i ruoli, i gruppi e la migrazione dei membri sono completi. Ciò garantisce che le funzionalità dei ruoli personalizzati siano già in atto, senza una finestra in cui i membri non autorizzati potrebbero accedere a una funzione.

Per qualsiasi funzione che desideri controllare per gruppo:

L'abilitazione di una funzione a livello organizzativo non significa che tutti la ottengono: i permessi dei ruoli personalizzati sono già in atto per controllare chi può usarla. Pensa all'interruttore a livello organizzativo come a rendere la funzione "disponibile per l'assegnazione basata su ruoli" piuttosto che "attiva per tutti".

Per assegnare un limite di spesa mensile per utente a un gruppo:

Nota le seguenti regole di precedenza:

Le modifiche all'iscrizione hanno effetto automatico: gli utenti ereditano o perdono i limiti non appena cambia l'iscrizione al gruppo. Rilevante solo per le organizzazioni con fatturazione basata sull'utilizzo.

Se hai configurato i permessi di amministrazione, controlla anche:

Se hai configurato i permessi del connettore, controlla anche:

Se hai configurato l'accesso al modello, controlla anche:

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto su tutta la piattaforma. I membri potrebbero aver bisogno di aggiornare il browser per vedere l'accesso aggiornato.

SCIM si connette alle tue capacità basate su ruoli attraverso due meccanismi che funzionano insieme.

Questo controlla quale ruolo integrato un membro ottiene quando viene fornito. Mappa i tuoi gruppi IdP ai ruoli "Personalizzati" in modo che l'accesso dei nuovi membri sia automaticamente governato dalle capacità dei ruoli personalizzati.

Questo estrae i tuoi gruppi IdP in Claude in modo che possano essere assegnati ai ruoli personalizzati.

Se noti che la struttura dei ruoli è configurata in modo errato dopo la migrazione:

Se hai abilitato i mapping dei gruppi durante la configurazione e hai perso l'accesso amministratore, segui i passaggi di recupero in Configura il provisioning JIT o SCIM nella sezione "Ho perso l'accesso Admin/Owner dopo aver abilitato i mapping dei gruppi."

Sì. L'interruttore a livello di organizzazione deve essere attivo affinché i ruoli personalizzati controllino l'accesso per membro. Se una funzione è disattivata a livello di organizzazione, nessuno può accedervi indipendentemente dal suo ruolo. Pensalo come un interruttore principale: i ruoli personalizzati controllano chi ottiene l'accesso al di sotto di esso. Questo include le impostazioni Design, Slides e Docs in Impostazioni organizzazione > Artefatti.

Non ha autorizzazioni di ruolo personalizzato, quindi tutte le funzioni che richiedono autorizzazioni sono disattivate o nascoste. Assicurati che ogni membro il cui ruolo è impostato su "Personalizzato" sia in almeno un gruppo assegnato a un ruolo personalizzato.

Il modello è disabilitato a livello di organizzazione (Impostazioni organizzazione > Modelli) oppure nessuno dei ruoli personalizzati del membro lo concede. Le disabilitazioni a livello di organizzazione interessano tutti, inclusi i proprietari e gli amministratori.

I membri in quel ruolo non vedranno l'interfaccia di chat di Claude. Verranno indirizzati alla loro pagina di impostazioni quando accedono. Se il loro ruolo concede altri prodotti come Cowork o Claude Code, rimangono accessibili dalla loro pagina di impostazioni e dalle app pertinenti.

La chat è abilitata per impostazione predefinita in tutti i ruoli personalizzati, quindi devi preoccuparti di questo solo se hai intenzionalmente disattivato la chat per un ruolo.

Sì. I membri con i ruoli Utente, Amministratore o Proprietario non sono interessati dalle autorizzazioni dei ruoli personalizzati perché ottengono le loro autorizzazioni direttamente da quei ruoli. Solo i membri con un ruolo impostato su "Personalizzato" sono controllati dal sistema di gruppi e ruoli. Questo consente una migrazione graduale.

Le autorizzazioni sono cumulative. Se qualsiasi ruolo nella catena di un membro concede una funzione, la possiede. Non puoi usare un ruolo per rimuovere un'autorizzazione concessa da un altro ruolo.

Sì. Entrambi i tipi possono essere assegnati a ruoli personalizzati. La differenza è che l'appartenenza al gruppo SCIM è gestita nel tuo provider di identità, mentre l'appartenenza al gruppo manuale è gestita nelle impostazioni dell'organizzazione di Claude.

No. I proprietari e i proprietari primari hanno sempre accesso completo a tutte le funzioni.

I gruppi e la sincronizzazione SCIM sono gestiti a livello di organizzazione padre e condivisi tra tutte le organizzazioni figlio. Gli assegnamenti di ruoli e limiti di spesa sono configurati indipendentemente in ogni organizzazione figlio: le modifiche in un'organizzazione figlio non influiscono sulle altre. Le modifiche all'appartenenza ai gruppi e le risincronizzazioni SCIM si propagano in tutte le organizzazioni figlio sotto lo stesso padre.

Ogni ruolo esistente viene inizializzato con la concessione "Tutti i connettori" impostata su "Consenti sempre", quindi l'accesso dei membri non cambia all'abilitazione. Da lì puoi restringere l'accesso.

"Richiede approvazione" su ogni connettore. Il flusso di creazione del ruolo esamina la scheda Connettori in modo da visualizzare questo prima di salvare.

Un ruolo la cui riga "Tutti i connettori" è impostata su "Consenti sempre", "Richiede approvazione" o "Bloccato" copre il nuovo connettore a quel livello automaticamente. Un ruolo la cui riga "Tutti i connettori" è impostata su "Personalizzato" tratta il nuovo connettore come "Bloccato" finché non lo imposti.

Verifica se il membro detiene un altro ruolo che lo concede, poiché la concessione più permissiva vince tra i ruoli. L'avviso di conflitto sulla riga del connettore elenca quei ruoli. Inoltre, conferma che il ruolo del membro è impostato su "Personalizzato".

No. La politica a livello di organizzazione è il limite massimo. Uno strumento bloccato lì è bloccato per tutti, indipendentemente dalle concessioni dei ruoli.

Cowork ha un'impostazione organizzativa separata, Consenti "Consenti sempre" per gli strumenti del connettore, che controlla gli strumenti del connettore con capacità di scrittura. È disattivata per impostazione predefinita. Finché non è attivata, "Consenti per tutti i compiti" rimane disattivato indipendentemente dalle concessioni dei ruoli e dalle politiche degli strumenti, e le preferenze sempre-consenti salvate in precedenza non vengono rispettate. Gli strumenti di sola lettura sono esenti solo quando il connettore li annota come di sola lettura, cosa che la maggior parte dei connettori personalizzati non fa. Per ulteriori informazioni, consulta Approvazioni degli strumenti del connettore.

Il ruolo può concederlo, ma l'impostazione più restrittiva vince, quindi i membri lo vedono limitato a "Richiede approvazione". Per consentire ai membri di impostare "Consenti sempre", aumenta prima la politica a livello di organizzazione a "Consenti sempre".

Sì. Imposta il connettore su "Personalizzato", imposta lo strumento su "Consenti sempre" o "Richiede approvazione" e lascia il resto "Bloccato".

No. Le funzioni integrate sono governate dalla scheda Funzionalità. La scheda Connettori governa i connettori che la tua organizzazione ha aggiunto.

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto. I membri potrebbero aver bisogno di aggiornare il browser.

Solo se il suo ruolo include Identità e Accesso impostato su Gestisci, che copre la modifica di ruoli e gruppi. Riserva questa autorizzazione agli amministratori di sicurezza e IT affidabili, poiché può essere utilizzata per modificare le definizioni dei ruoli, incluse le loro.

No. Le autorizzazioni di amministratore si applicano solo ai membri in un ruolo personalizzato. I membri con un ruolo integrato mantengono l'accesso che quel ruolo concede. Per concedere a qualcuno autorizzazioni di amministratore specifiche, cambia il membro in un ruolo personalizzato e aggiungilo a un gruppo assegnato a un ruolo con le autorizzazioni di cui ha bisogno. Tieni presente che questo rimuove il loro precedente accesso al ruolo integrato.

Le impostazioni dell'organizzazione mostrano solo le sezioni coperte dalle loro autorizzazioni. Le sezioni a cui non hanno accesso sono completamente nascoste dalle loro impostazioni dell'organizzazione.

Impostazioni organizzazione > Ruoli mostra le autorizzazioni di amministratore che ogni ruolo personalizzato concede, e Impostazioni organizzazione > Gruppi mostra quali gruppi sono assegnati a ogni ruolo e chi vi appartiene. Per verificare un membro specifico, cerca i suoi gruppi in Impostazioni organizzazione > Membri, quindi i ruoli a cui sono assegnati questi gruppi.

Crea un ruolo che conceda accesso a più aree, oppure aggiungi il membro a più gruppi i cui ruoli coprono le aree di cui ha bisogno. Le autorizzazioni si combinano in modo additivo.