Questo articolo spiega come funziona l'autenticazione gestita dall'azienda e come gli amministratori possono autorizzare i connettori per la loro organizzazione, tramite il loro provider di identità o direttamente con l'autenticazione emessa da Claude. Con l'autenticazione gestita dall'azienda, autorizzi un connettore una sola volta per l'intera organizzazione e il tuo team eredita automaticamente l'accesso al primo accesso.
L'autenticazione gestita dall'azienda è disponibile per i piani Team ed Enterprise su Claude. L'autenticazione gestita da IdP è generalmente disponibile e l'autenticazione emessa da Claude è in versione beta.
Che cos'è l'autenticazione gestita dall'azienda?
L'autenticazione gestita dall'azienda è un modello di autorizzazione e autenticazione per i connettori in Claude. Invece di far autenticare ogni persona a ogni connettore individualmente, gli amministratori forniscono l'accesso ai connettori centralmente.
Ogni connettore utilizza una di due fonti di identità:
Gestita da IdP: Il tuo provider di identità si basa sull'abilitazione del single sign-on (SSO) su Claude e sul connettore. Con questa configurazione, l'IdP accede all'utente nel connettore.
Emessa da Claude (beta): Claude può indicare al connettore quale utente ha effettuato l'accesso a Claude e utilizzare queste informazioni per il connettore, in un URL emittente univoco per la tua organizzazione. Non hai bisogno di un provider di identità o di SSO.
Una volta abilitato un connettore per la tua organizzazione, il tuo team lo riceve automaticamente al primo accesso. Con l'autenticazione gestita da IdP, l'identità viene ereditata dai gruppi e dai ruoli del provider di identità esistente. Con l'autenticazione emessa da Claude, gli utenti vengono abbinati nel connettore tramite indirizzo email.
Quello che controlli
Decidi quali connettori sono abilitati, quali gruppi o ruoli li ricevono e a quale livello di accesso:
Autentica i connettori una sola volta per la tua organizzazione e l'accesso viene concesso automaticamente al tuo team.
Usa autorizzazioni basate sui ruoli per scegliere esattamente quali ruoli ricevono ogni connettore, in modo che i diversi team ottengano l'accesso appropriato al loro lavoro. Vedi Scegli quali ruoli ricevono l'autenticazione gestita di seguito.
Scegli quali autorizzazioni Claude può richiedere quando i membri si connettono tramite il tuo provider di identità e restringi ulteriormente per i singoli ruoli.
Revoca l'accesso. Con l'autenticazione gestita da IdP, il deprovisioning di qualcuno nel tuo provider di identità rimuove il suo accesso al connettore contemporaneamente. Con l'autenticazione emessa da Claude, la rimozione di qualcuno dalla tua organizzazione Claude impedisce a Claude di farli accedere. Rimuovili anche dal servizio connesso.
Richiedi che un connettore si connetta solo tramite autorizzazione gestita in modo che gli account personali rimangono fuori dagli strumenti di lavoro.
Nota: Ogni connettore e il tuo provider di identità, se ne usi uno, sono gestiti da terze parti secondo i loro termini. Con l'autenticazione gestita da IdP, Claude trasmette l'autorizzazione emessa dal tuo provider di identità e le decisioni di accesso, l'ambito e i dati che ogni connettore può raggiungere sono governati dalle politiche del tuo provider di identità e dalle autorizzazioni del servizio connesso, non da Anthropic. Con l'autenticazione emessa da Claude, Claude firma l'accesso per i membri attuali della tua organizzazione.
Su tua istruzione, Anthropic invia l'indirizzo email di ogni membro e un identificatore univoco al connettore. Claude controlla solo l'appartenenza all'organizzazione, non SSO, MFA o le regole di accesso proprie del connettore. Le decisioni di accesso, l'ambito e i dati che ogni connettore può raggiungere sono governati dalle tue impostazioni Claude e dalle autorizzazioni del servizio connesso.
La durata e il ciclo di vita dei token sono gestiti dal server di autorizzazione connesso e, con l'autenticazione gestita da IdP, dal tuo provider di identità. Le sessioni esistenti terminano quando il token di accesso del connettore scade o viene revocato.
Scegli quali ruoli ricevono l'autenticazione gestita
Quando configuri l'autenticazione gestita dall'azienda per un connettore, scegli quali ruoli ereditano il connettore quando configuri le autorizzazioni basate sui ruoli. Puoi utilizzare le autorizzazioni basate sui ruoli per testare un connettore con un team specifico prima di attivarlo per l'intera organizzazione.
Vai a Impostazioni organizzazione > Connettori e seleziona un connettore.
Nella scheda Configurazione, fai clic su "Configura" accanto a Autorizzazione gestita.
Nel passaggio Connetti, scegli una Fonte di identità:
Gestita da IdP: Conferma la connessione del tuo provider di identità. Segui la guida di configurazione per configurare l'autenticazione gestita dall'azienda per questo connettore nel tuo provider di identità e per abilitare l'autenticazione gestita nelle impostazioni di amministrazione del connettore. Fai clic su "Esegui test" per confermare che la connessione funziona.
Emessa da Claude: Segui i passaggi in Configura l'autenticazione emessa da Claude di seguito.
Nel passaggio Ruoli, seleziona chi dovrebbe ricevere questo connettore automaticamente.
Utente, Amministratore, Proprietario, Proprietario principale: i ruoli incorporati della tua organizzazione, come gruppo.
Qualsiasi ruolo personalizzato, selezionato individualmente.
Per testare un connettore con un team, seleziona solo il ruolo personalizzato di quel team e lascia i ruoli incorporati deselezionati. I membri con il ruolo Utente, Amministratore, Proprietario o Proprietario principale non riceveranno il connettore finché non torni indietro e aggiungi questa opzione.
Nel passaggio Ambiti, scegli quali autorizzazioni Claude può richiedere quando i membri si connettono. Questi si applicano a ogni ruolo che hai selezionato. Per restringere le autorizzazioni per un ruolo specifico, utilizza invece la scheda Connettori di quel ruolo (vedi di seguito).
Fai clic su "Salva e attiva".
Una volta configurato, la scheda Configurazione del connettore mostra il suo stato attuale: Ruoli applicati elenca quali ruoli si connettono tramite autorizzazione gestita e Ambiti mostra cosa è concesso. Per espandere un test pilota, fai clic su "Modifica" accanto a Ruoli applicati e aggiungi "Utente, Amministratore, Proprietario, Proprietario principale" o più ruoli personalizzati.
Nota: Accesso tramite browser e Autorizzazione gestita possono essere attivi contemporaneamente per un connettore. Quando lo sono, Claude prova prima Autorizzazione gestita e chiede all'utente di accedere individualmente se non riesce, in modo che i membri non rimangono bloccati mentre viene risolto un problema del provider di identità.
Impostazioni del connettore all'interno di un ruolo personalizzato
Puoi anche iniziare da un ruolo in Impostazioni organizzazione > Ruoli invece che da un connettore. Nella scheda Connettori di un ruolo personalizzato, Come si connettono i membri controlla come i membri di quel ruolo si autenticano, su ogni connettore contemporaneamente o per connettore:
Individualmente: i membri accedono con i loro account personali.
Autorizzazione gestita: i membri si connettono tramite la fonte di identità impostata per ogni connettore.
Imposta per connettore: scegli individualmente per ogni connettore.
Usa l'autenticazione emessa da Claude
Con l'autenticazione emessa da Claude, Claude invia un'asserzione firmata al connettore, in un URL emittente univoco per la tua organizzazione. Il servizio connesso utilizza questo URL per confermare che Claude ha firmato l'accesso per un membro attuale della tua organizzazione, quindi il servizio deve elencarlo come emittente attendibile.
Non hai bisogno di un provider di identità o di SSO, anche se consigliamo comunque di applicare SSO per la tua organizzazione Claude. Claude controlla solo l'appartenenza all'organizzazione, non SSO, MFA o le regole di accesso proprie del connettore.
Nota: L'autenticazione emessa da Claude è in versione beta.
Prima di iniziare
Un connettore supportato: Solo i connettori il cui provider supporta l'autenticazione emessa da Claude possono utilizzarla. Vedi Connettori di seguito.
Un amministratore del servizio connesso: Hai bisogno di qualcuno che possa aggiungere un emittente attendibile al tuo workspace. Potrebbe essere tu.
Indirizzi email corrispondenti: Gli utenti vengono abbinati tramite email, quindi l'email Claude di ogni utente deve corrispondere all'email sul suo account nel servizio connesso.
I requisiti del provider: Alcuni provider hanno i loro requisiti, come SSO dalla loro parte. Controlla la guida di configurazione del provider.
Ogni connettore utilizza una fonte di identità alla volta. Puoi cambiare in seguito sulla stessa schermata di configurazione.
Configura l'autenticazione emessa da Claude
Configura l'autenticazione emessa da Claude una volta per ogni connettore.
Vai a Impostazioni organizzazione > Connettori e seleziona un connettore.
Nella scheda Configurazione, fai clic su "Configura" accanto a Autorizzazione gestita.
Nel passaggio Connetti, seleziona "Emessa da Claude" in Fonte di identità.
Copia l'URL dell'emittente.
Nella console di amministrazione del servizio connesso, aggiungi l'URL come emittente attendibile per il tuo workspace. Segui la guida di configurazione del provider, collegata dal passaggio Connetti. Se non sei un amministratore di quel servizio, condividi l'URL e la guida con qualcuno che lo sia.
Se il servizio connesso ti fornisce un ID workspace o tenant, incollalo nel campo tenant in Claude.
Di nuovo in Claude, fai clic su "Test della connessione" per eseguire il test della connessione, quindi fai clic su "Abilita e continua".
Scegli chi riceve il connettore. Tutti i ruoli lo ricevono per impostazione predefinita.
Se il test non riesce, verifica che l'URL dell'emittente sia attendibile nel workspace corretto, che l'ID tenant sia corretto e che il workspace abbia un account con il tuo indirizzo email.
Per disattivare l'autenticazione emessa da Claude, apri le impostazioni Autorizzazione gestita del connettore e scegli "Disabilita". Gli utenti si connettono quindi al servizio da soli.
Quello che vedono gli utenti
Il connettore è già connesso la prima volta che un utente ne ha bisogno, senza pagina di accesso o schermata di consenso. Un utente il cui indirizzo email non corrisponde a un account nel servizio connesso non viene connesso automaticamente e vede il solito prompt di connessione.
Prima di annunciare il connettore alla tua organizzazione, chiedi a due o tre utenti di confermare che è connesso ed esegui una richiesta reale.
Quando qualcuno lascia la tua organizzazione
Claude firma solo per i membri attuali della tua organizzazione. Quando rimuovi qualcuno, Claude smette di farli accedere ai servizi connessi, ma l'accesso già concesso a un servizio dura fino alla scadenza. Rimuovili da ogni servizio connesso prima che l'indirizzo email venga riutilizzato, altrimenti una nuova persona con quell'indirizzo potrebbe essere firmata nell'account precedente.
Se usi la sincronizzazione della directory (SCIM), verifica che la persona non appaia più nell'elenco dei membri. Claude rimuove un membro quando la tua directory lo elimina, ma non quando la tua directory lo sospende solo o lo contrassegna come inattivo.
Cosa funziona con l'autenticazione gestita dall'azienda
L'autenticazione gestita dall'azienda funziona con i connettori che i tuoi team utilizzano quotidianamente. Con l'autenticazione gestita da IdP, il tuo provider di identità controlla chi ottiene l'accesso. Con l'autenticazione emessa da Claude, Claude firma i membri attuali della tua organizzazione.
Provider di identità
L'autenticazione gestita da IdP richiede SSO con un provider di identità supportato. Okta è supportato, con altri provider di identità in arrivo presto. Vedi la documentazione di Okta per ulteriori dettagli.
L'autenticazione emessa da Claude non utilizza un provider di identità, quindi non è necessaria alcuna configurazione del provider di identità.
Connettori
Attualmente, puoi fornire questi connettori tramite l'autenticazione gestita dall'azienda:
Amplitude (vedi la documentazione di Amplitude)
Apollo.io (vedi la documentazione di Apollo)
Asana (vedi la documentazione di Asana)
Atlassian (vedi la documentazione di Atlassian)
Canva (vedi la documentazione di Canva)
Crossbeam (vedi la documentazione di Crossbeam)
Datadog (vedi la documentazione di Datadog)
Dropbox (vedi la documentazione di Dropbox)
Figma (vedi la documentazione di Figma)
Granola (vedi la documentazione di Granola)
HubSpot (vedi la documentazione di HubSpot)
Linear (vedi la documentazione di Linear)
Lovable (vedi la documentazione di Lovable)
Mixpanel (vedi la documentazione di Mixpanel)
Monday.com (vedi la documentazione di Monday)
Notion (vedi la documentazione di Notion)
PagerDuty (vedi la documentazione di Pagerduty)
Semrush (vedi la documentazione di Semrush)
Slack (vedi la documentazione di Slack)
Supabase (vedi la documentazione di Supabase)
Sbloccato
L'autenticazione emessa da Claude funziona solo con i connettori il cui provider la supporta. La versione beta include: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush e Supabase.
Qualsiasi provider MCP può aggiungere il supporto per l'autenticazione gestita dall'azienda. Vedi Autorizzazione gestita dall'azienda per ulteriori dettagli.
Connettori personali
Il tuo team può comunque aggiungere connettori personali oltre a quelli che fornisci. L'autenticazione gestita dall'azienda gestisce i connettori che abiliti per la tua organizzazione, mentre i singoli possono connettere servizi aggiuntivi per il loro uso personale.