Configurare i permessi basati sui ruoli nei piani Enterprise

Questa guida ti guida nella configurazione dei permessi basati sui ruoli per la tua organizzazione Enterprise. Questo ti consente di controllare quali funzionalità e connettori possono accedere team o gruppi specifici di membri, e delegare accesso admin specifico come fatturazione o gestione utenti, invece di dare a tutti gli stessi permessi.

Prima di iniziare, assicurati di avere familiarità con:

Avrai bisogno dell'accesso Owner o Primary Owner alla tua organizzazione Enterprise, o di un ruolo personalizzato con Identity & Access impostato su Manage.

Controlla quali capacità sono abilitate a livello di organizzazione. Vai a Impostazioni organizzazione e assicurati di sapere quali capacità i membri possono accedere attualmente. Per le impostazioni gestite da RBAC, sia l'impostazione dell'organizzazione che l'impostazione del ruolo devono essere attive affinché gli utenti ottengano accesso.

Esegui il backup dell'elenco dei membri. Esporta un CSV dei tuoi membri attuali da Impostazioni organizzazione > Membri prima di apportare modifiche. Se qualcosa va storto durante la migrazione, questo ti dà un riferimento per ripristinare l'accesso. Vedi Gestire i membri nei piani Team e Enterprise.

Determina quali team o funzioni hanno bisogno di ogni capacità. Ad esempio, Engineering ottiene Claude Code + Fast Mode e Marketing ottiene Cowork + Web Search. Da qui, definisci i tuoi ruoli personalizzati.

Piani dual-seat. Se la tua organizzazione è su un piano Enterprise dual-seat (con posti Chat e Chat + Claude Code), i ruoli personalizzati non sovrascrivono le restrizioni a livello di posto. Un membro assegnato a un posto solo Chat non può accedere a Claude Code anche se il suo ruolo personalizzato lo consente. Lo stesso vale al contrario: se il ruolo personalizzato di un membro non concede la capacità di chat, non avranno accesso a chat indipendentemente dal tipo di posto. Pianifica la struttura del tuo ruolo tenendo in mente le assegnazioni dei posti.

Decidi come creerai i gruppi. Puoi creare gruppi manualmente in Claude, o sincronizzarli dal tuo provider di identità (IdP) tramite SCIM. Puoi anche usare entrambi i metodi contemporaneamente. Se prevedi di usare gruppi IdP da Okta, Entra ID, o un altro provider, assicurati che la sincronizzazione della directory SCIM sia configurata. Vedi Configurare il provisioning JIT o SCIM.

Aggiungi i connettori che prevedi di governare. I permessi dei connettori coprono solo i connettori che un Owner o Primary Owner ha già aggiunto sotto Impostazioni organizzazione > Connettori e collegato con credenziali admin. Rivedi anche la tua politica degli strumenti a livello di organizzazione lì, poiché i grant dei ruoli si restringono all'interno di essa e non possono allargarsi oltre. Vedi Usare i connettori per estendere le capacità di Claude.

Prima di creare qualcosa, decidi quali funzionalità ogni team o gruppo di membri dovrebbe avere accesso. Ecco quattro modelli comuni:

Questo è l'approccio consigliato per la maggior parte delle organizzazioni. Crea un ruolo "Standard Access" per tutti con funzionalità comuni come web search, memory, e projects. Poi crea ruoli additivi che concedono capacità specifiche — ad esempio, un ruolo "Cowork Enabled" che aggiunge solo Cowork. Assegna tutti i membri al ruolo base attraverso un gruppo "All Users", e aggiungi membri specifici a gruppi aggiuntivi che aggiungono funzionalità extra.

Questo modello è flessibile perché i permessi sono additivi — combinare un ruolo base con ruoli additivi si compone in modo pulito senza conflitti.

Crea livelli distinti: "Full Access" con tutte le funzionalità, "Standard Access" con la maggior parte delle funzionalità, e "Restricted Access" con funzionalità minime. Ogni membro va in esattamente un gruppo assegnato a un livello.

Crea ruoli che mappano ai dipartimenti: "Engineering" con chat, Cowork, Claude Code, e code execution; "Research" con chat, web search, memory, e projects; "Business" con chat, web search e projects solo. Assegna ogni gruppo di dipartimento al suo ruolo corrispondente.

Crea ruoli che delegano parti dell'amministrazione senza concedere il ruolo Owner. Un ruolo personalizzato con permessi admin non ha bisogno di alcuna capacità utente, e viceversa. Potresti creare un ruolo "Finance" che concede accesso Billing ma nessuna capacità di chat o Claude Code, o un ruolo "Engineering Lead" che concede Claude Code più accesso alla visualizzazione Analytics. Scopri di più sui permessi admin per i ruoli personalizzati.

Ricorda: qualsiasi funzionalità che vuoi controllare per gruppo deve essere abilitata a livello di organizzazione. Se una funzionalità è disattivata a livello di organizzazione, nessun ruolo personalizzato può concedere accesso ad essa.

Crea i tuoi ruoli personalizzati prima di abilitare qualsiasi funzionalità o migrare i membri. Questo assicura che i tuoi ruoli siano pronti a far rispettare l'accesso nel momento in cui le funzionalità si attivano.

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto. I membri potrebbero aver bisogno di aggiornare il loro browser per vedere l'accesso aggiornato.

Vedi Gestire ruoli personalizzati nei piani Enterprise per i dettagli sulle capacità disponibili, i permessi admin, e i connettori.

Imposta i permessi admin su ogni ruolo per delegare l'accesso alle impostazioni admin, come fatturazione, gestione utenti, o privacy, senza concedere il ruolo Owner. Questo passaggio è facoltativo. Se non lo configuri, i ruoli non concedono accesso admin e l'amministrazione rimane con Owners e Primary Owners. Per quello che copre ogni area di permesso, vedi Gestire ruoli personalizzati nei piani Enterprise.

La scheda Autorizzazioni elenca ogni area amministrativa: Identità e accesso, Fatturazione, Analitiche, Privacy, Gestione utenti e Librerie. Imposta ogni area amministrativa su una delle seguenti opzioni:

All'interno di un'area, concedi tutte le autorizzazioni di Visualizzazione o tutte quelle di Gestione. Non puoi concedere o limitare pagine o impostazioni individuali.

Verifica le autorizzazioni amministratore dopo aver migrato i membri ai ruoli "Personalizzati" (Passaggio 7). Vedi Passaggio 11: Verifica e monitoraggio.

Imposta le autorizzazioni del connettore su ogni ruolo per controllare quali connettori e quali strumenti su quei connettori il ruolo può utilizzare. Questo passaggio è facoltativo. Se non lo configuri, i tuoi ruoli tornano al comportamento predefinito descritto di seguito. Per come funziona il modello di autorizzazione da capo a fondo, vedi Gestisci ruoli personalizzati nei piani Enterprise.

Le impostazioni predefinite per i nuovi ruoli sono permissive. Quando crei o modifichi un ruolo, conferma le impostazioni su ogni scheda per evitare di concedere autorizzazioni non intenzionali.

La scheda Connettori elenca una riga Tutti i connettori in alto, seguita da ogni connettore che la tua organizzazione ha aggiunto. Ogni riga ha un menu a discesa con quattro opzioni:

La scelta di "Consenti sempre", "Richiede approvazione" o "Bloccato" applica quel livello a ogni strumento sul connettore. La riga Tutti i connettori funziona allo stesso modo un livello più in alto: imposta una linea di base per ogni connettore contemporaneamente, incluso qualsiasi connettore che aggiungerai in seguito. Usala per impostare il valore predefinito di un ruolo, quindi sostituisci i singoli connettori.

Imposta un connettore su Personalizzato per rivelare i suoi strumenti come righe individuali. Ogni strumento ha il suo menu a discesa: "Consenti sempre", "Richiede approvazione" o "Bloccato".

Le autorizzazioni per strumento consentono a un ruolo di raggiungere parte di un connettore. Ad esempio, con Jira impostato su Personalizzato, il suo strumento search_issues impostato su "Richiede approvazione" e ogni altro strumento Jira impostato su "Bloccato", i membri con il ruolo possono cercare in Jira ma nient'altro. Claude vede solo gli strumenti che hai concesso, quindi chiedergli di creare un ticket restituisce "Non ho uno strumento per questo" piuttosto che un errore.

Poiché le autorizzazioni del connettore sono cumulative tra i ruoli, bloccare un connettore in un ruolo non ha effetto su un membro che detiene anche un altro ruolo che lo concede. Ogni riga di connettore mostra un avviso quando altri ruoli concedono lo stesso connettore a un livello diverso. L'avviso nomina quei ruoli e si collega a loro, e la concessione più permissiva è quella che si applica.

Se hai modifiche non salvate quando apri un ruolo collegato, ti viene chiesto di scartarle prima.

Verifica le autorizzazioni del connettore dopo aver migrato i membri ai ruoli "Personalizzati" (Passaggio 7). Vedi Passaggio 11: Verifica e monitoraggio.

Imposta l'accesso al modello su ogni ruolo per controllare quali modelli Claude il ruolo può utilizzare, limitare il livello di sforzo massimo per modello e scegliere il modello su cui iniziano le nuove conversazioni. Questo passaggio è facoltativo; se non lo configuri, i nuovi ruoli possono utilizzare ogni modello abilitato a livello di organizzazione, a qualsiasi livello di sforzo, e iniziare sul modello predefinito dell'organizzazione.

Per come funzionano le impostazioni di accesso al modello e modello predefinito da capo a fondo, vedi Gestisci accesso al modello per la tua organizzazione e Imposta un modello predefinito per la tua organizzazione.

In Accesso al modello, attiva o disattiva ogni modello per questo ruolo. I modelli disabilitati a livello di organizzazione vengono visualizzati ma non possono essere abilitati qui finché non li attivi per l'organizzazione in Impostazioni organizzazione > Modelli. I modelli Haiku sono sempre attivi e non possono essere disabilitati.

Per limitare il livello di sforzo che un ruolo può selezionare su un modello, fai clic sull'icona dell'ingranaggio accanto al modello e scegli un livello.

In Modello predefinito, seleziona facoltativamente il modello su cui iniziano le nuove conversazioni per questo ruolo. È possibile selezionare solo i modelli a cui il ruolo ha accesso.

Verifica l'accesso al modello dopo aver migrato i membri ai ruoli "Personalizzati". Vedi Passaggio 11: Verifica e monitoraggio.

Se utilizzi la sincronizzazione della directory SCIM, puoi sincronizzare i gruppi dal tuo provider di identità invece di crearli manualmente. Per i dettagli sulla sincronizzazione dei gruppi SCIM, consulta Gestisci gruppi e limiti di spesa dei gruppi nei piani Enterprise.

Più organizzazioni sotto la stessa organizzazione padre: I gruppi vengono gestiti a livello di organizzazione padre e si propagano a tutte le organizzazioni figlie. Potresti vedere membri di altre organizzazioni elencati in un gruppo, ma ciò non significa che abbiano accesso alla tua organizzazione. I ruoli personalizzati assegnati a un gruppo concedono funzionalità solo ai membri che fanno parte della tua organizzazione specifica.

Se richiedi di spostare un'organizzazione da un'organizzazione padre a un'altra (questo è raro nella pratica), i gruppi e i ruoli diventeranno indefiniti e dovrai ricrearli.

Prima di migrare i membri ai ruoli personalizzati, conferma che ogni membro che intendi migrare sia in almeno un gruppo assegnato a un ruolo personalizzato. I membri migrati senza copertura di gruppo o ruolo perderanno l'accesso a tutte le funzioni gestite.

Affinché le funzionalità dei ruoli personalizzati abbiano effetto, i membri devono avere il loro ruolo impostato su "Personalizzato". I membri con i ruoli Utente, Amministratore o Proprietario ottengono le loro autorizzazioni direttamente da questi ruoli, non dai ruoli personalizzati.

Scegli il percorso di migrazione in base al fatto che la tua organizzazione abbia già abilitato i mapping dei gruppi:

Utilizza questo percorso solo se la tua organizzazione ha già abilitato i mapping dei gruppi per l'assegnazione dei ruoli. Se non stai già utilizzando questa impostazione, passa al Percorso B.

I membri nei gruppi IdP mappati ai ruoli "Personalizzato" seguono le autorizzazioni dei ruoli personalizzati assegnati ai loro gruppi in Claude. I membri nei gruppi IdP mappati a Utente seguono le impostazioni di funzionalità a livello di organizzazione. Se un membro è in gruppi su entrambi i mapping, i ruoli "Personalizzato" hanno la precedenza.

Utilizza questo percorso se la tua organizzazione non ha abilitato i mapping dei gruppi.

Ti consigliamo di migrare prima un gruppo pilota, un team o un reparto, e verificare che il loro accesso sia corretto prima di espandere al resto dell'organizzazione.

Indipendentemente dal percorso che utilizzi, ti consigliamo di migrare in fasi:

Abilita le funzioni a livello di organizzazione solo dopo che i ruoli, i gruppi e la migrazione dei membri sono completi. Ciò garantisce che le funzionalità dei ruoli personalizzati siano già in atto, senza una finestra in cui i membri non autorizzati potrebbero accedere a una funzione.

Per qualsiasi funzione che desideri controllare per gruppo:

L'abilitazione di una funzione a livello di organizzazione non significa che tutti la ottengono: le autorizzazioni dei ruoli personalizzati sono già in atto per controllare chi può utilizzarla. Pensa all'interruttore a livello di organizzazione come a rendere la funzione "disponibile per l'assegnazione basata su ruoli" piuttosto che "attiva per tutti".

Accedi alla pagina "Utilizzo" per assegnare un limite di spesa mensile per utente a qualsiasi gruppo.

Nota le seguenti regole di precedenza:

Le modifiche all'iscrizione hanno effetto automaticamente: gli utenti ereditano o perdono i limiti non appena cambia l'iscrizione al gruppo. Rilevante solo per le organizzazioni con fatturazione basata sull'utilizzo.

Se hai configurato le autorizzazioni amministrative, controlla anche:

Se hai configurato le autorizzazioni del connettore, controlla anche:

Se hai configurato l'accesso al modello, controlla anche:

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto su tutta la piattaforma. I membri potrebbero aver bisogno di aggiornare il browser per vedere l'accesso aggiornato.

SCIM si connette alle tue funzionalità basate su ruoli attraverso due meccanismi che funzionano insieme.

Questo controlla quale ruolo integrato un membro ottiene quando viene fornito. Mappa i tuoi gruppi IdP ai ruoli "Personalizzato" in modo che l'accesso dei nuovi membri sia automaticamente governato dalle funzionalità del ruolo personalizzato.

Questo estrae i tuoi gruppi IdP in Claude in modo che possano essere assegnati ai ruoli personalizzati.

Se noti che la struttura dei tuoi ruoli è configurata in modo errato dopo la migrazione:

Se hai abilitato le mappature dei gruppi durante la configurazione e hai perso l'accesso amministrativo, segui i passaggi di recupero in Configura il provisioning JIT o SCIM in "Ho perso l'accesso Admin/Owner dopo aver abilitato le mappature dei gruppi".

Sì. L'interruttore a livello di organizzazione deve essere attivo affinché i ruoli personalizzati controllino l'accesso per membro. Se una funzionalità è disattivata a livello di organizzazione, nessuno può accedervi indipendentemente dal suo ruolo. Pensalo come un interruttore principale: i ruoli personalizzati controllano chi ottiene l'accesso al di sotto di esso.

Non hanno autorizzazioni di ruolo personalizzato, quindi tutte le funzionalità che richiedono autorizzazioni sono disattivate o nascoste. Assicurati che ogni membro il cui ruolo è impostato su "Personalizzato" sia in almeno un gruppo assegnato a un ruolo personalizzato.

Il modello è disabilitato a livello organizzativo (Impostazioni organizzazione > Modelli) oppure nessuno dei ruoli personalizzati dei membri lo consente. I disabilitamenti a livello organizzativo interessano tutti, inclusi i Proprietari e gli Amministratori.

I membri con quel ruolo non vedranno l'interfaccia di chat di Claude. Verranno indirizzati alla pagina delle impostazioni quando accedono. Se il loro ruolo consente altri prodotti come Cowork o Claude Code, questi rimangono accessibili dalla pagina delle impostazioni e dalle app pertinenti.

La chat è abilitata per impostazione predefinita in tutti i ruoli personalizzati, quindi devi preoccuparti di questo solo se hai intenzionalmente disabilitato la chat per un ruolo.

Sì. I membri con i ruoli Utente, Amministratore o Proprietario non sono interessati dalle autorizzazioni dei ruoli personalizzati perché ottengono le loro autorizzazioni direttamente da questi ruoli. Solo i membri con un ruolo impostato su "Personalizzato" sono controllati dal sistema di gruppi e ruoli. Ciò consente una migrazione graduale.

Le autorizzazioni sono cumulative. Se qualsiasi ruolo nella catena di un membro concede una funzione, la possiede. Non puoi utilizzare un ruolo per rimuovere un'autorizzazione concessa da un altro ruolo.

Sì. Entrambi i tipi possono essere assegnati a ruoli personalizzati. La differenza è che l'appartenenza al gruppo SCIM è gestita nel tuo provider di identità, mentre l'appartenenza al gruppo manuale è gestita nelle impostazioni dell'organizzazione di Claude.

No. I Proprietari e i Proprietari Primari hanno sempre accesso completo a tutte le funzioni.

I gruppi e la sincronizzazione SCIM sono gestiti a livello di organizzazione padre e condivisi tra tutte le organizzazioni figlie. Le assegnazioni di ruoli e limiti di spesa sono configurate indipendentemente in ogni organizzazione figlia: le modifiche in un'organizzazione figlia non interessano le altre. Le modifiche all'appartenenza ai gruppi e le risincronizzazioni SCIM si propagano in tutte le organizzazioni figlie sotto lo stesso padre.

Ogni ruolo esistente viene inizializzato con la concessione "Tutti i connettori" impostata su "Consenti sempre", quindi l'accesso dei membri non cambia all'abilitazione. Da lì puoi restringere l'accesso.

"Richiede approvazione" su ogni connettore. Il flusso di creazione del ruolo esamina la scheda Connettori in modo da visualizzare questo prima di salvare.

Un ruolo la cui riga "Tutti i connettori" è impostata su "Consenti sempre", "Richiede approvazione" o "Bloccato" copre il nuovo connettore a quel livello automaticamente. Un ruolo la cui riga "Tutti i connettori" è impostata su "Personalizzato" tratta il nuovo connettore come "Bloccato" finché non lo imposti.

Verifica se il membro detiene un altro ruolo che lo consente, poiché la concessione più permissiva vince tra i ruoli. L'avviso di conflitto sulla riga del connettore elenca questi ruoli. Inoltre, conferma che il ruolo del membro sia impostato su "Personalizzato".

No. La politica a livello organizzativo è il limite massimo. Uno strumento bloccato lì è bloccato per tutti, indipendentemente dalle concessioni dei ruoli.

Il ruolo può concederlo, ma l'impostazione più restrittiva vince, quindi i membri lo vedono limitato a "Richiede approvazione". Per consentire ai membri di impostare "Consenti sempre", aumenta prima la politica a livello organizzativo a "Consenti sempre".

Sì. Imposta il connettore su "Personalizzato", imposta lo strumento su "Consenti sempre" o "Richiede approvazione" e lascia il resto "Bloccato".

No. Le funzioni incorporate sono gestite nella scheda Funzionalità. La scheda Connettori gestisce i connettori che la tua organizzazione ha aggiunto.

Le modifiche ai ruoli possono richiedere fino a 15 minuti per avere effetto. I membri potrebbero aver bisogno di aggiornare il browser.

Solo se il suo ruolo include Identità e Accesso impostato su Gestisci, che copre la modifica di ruoli e gruppi. Riserva questa autorizzazione agli amministratori di sicurezza e IT affidabili, poiché può essere utilizzata per modificare le definizioni dei ruoli incluso il loro.

No. Le autorizzazioni di amministrazione si applicano solo ai membri in un ruolo personalizzato. I membri con un ruolo incorporato mantengono l'accesso che quel ruolo concede. Per concedere a qualcuno autorizzazioni di amministrazione specifiche, cambia il membro a un ruolo personalizzato e aggiungilo a un gruppo assegnato a un ruolo con le autorizzazioni di cui ha bisogno. Tieni presente che questo rimuove il loro accesso al ruolo incorporato precedente.

Le impostazioni dell'organizzazione mostrano solo le sezioni coperte dalle loro autorizzazioni. Le sezioni a cui non hanno accesso sono completamente nascoste dalle loro impostazioni dell'organizzazione.

Impostazioni organizzazione > Ruoli mostra le autorizzazioni di amministrazione che ogni ruolo personalizzato concede, e Impostazioni organizzazione > Gruppi mostra quali gruppi sono assegnati a ogni ruolo e chi vi appartiene. Per verificare un membro specifico, cerca i suoi gruppi in Impostazioni organizzazione > Membri, quindi i ruoli a cui questi gruppi sono assegnati.

Crea un ruolo che conceda accesso a più aree, oppure aggiungi il membro a più gruppi i cui ruoli coprano le aree di cui ha bisogno. Le autorizzazioni si combinano in modo cumulativo.