La gestione centralizzata offre alla tua organizzazione principale una propria console di amministrazione su admin.claude.com, dove gestisci le impostazioni a livello aziendale come single sign-on (SSO), sincronizzazione directory, domini verificati e gruppi in un'unica posizione. Questo articolo spiega quali modifiche avvengono quando ti iscrivi, come iscrivere la tua organizzazione principale e come utilizzare ogni parte della console.
La gestione centralizzata è disponibile in versione beta nei piani Enterprise.
Come funzionano le organizzazioni principale e secondaria
La gestione centralizzata utilizza due termini in tutto il documento:
Organizzazione principale: Rappresenta la tua azienda e la tua relazione commerciale con Anthropic. Le impostazioni a livello aziendale si trovano qui, inclusi i provider di identità, la verifica del dominio e, se applicabile, il tuo Business Associate Agreement (BAA).
Organizzazione secondaria: Una singola organizzazione Claude sotto la principale, come un'organizzazione Claude Enterprise, un piano Team o un'organizzazione Claude Platform acquistata direttamente da Anthropic. Ognuna ha i propri utenti, amministratori e impostazioni.
L'iscrizione non unisce le tue organizzazioni secondarie. Ognuna rimane un'organizzazione separata con un confine dati rigido e mantiene i propri utenti, ruoli e progetti.
Ruoli dell'organizzazione principale
La tua organizzazione principale ottiene due nuovi ruoli per gestire la console. Questi ruoli sono separati dalle autorizzazioni dell'organizzazione secondaria.
Ruolo | Cosa possono fare |
Proprietario dell'organizzazione principale (nuovo) | Tutto a livello principale, inclusa la scelta di chi ricopre i ruoli di proprietario e amministratore. Ogni organizzazione principale ha bisogno di almeno un proprietario. |
Amministratore dell'organizzazione principale (nuovo) | Tutto a livello principale tranne la scelta di proprietari e amministratori. |
Amministratore dell'organizzazione secondaria | Tutto all'interno della propria organizzazione. Non possono visualizzare o modificare le impostazioni a livello principale, come l'applicazione di SSO. |
Un ruolo principale non aggiunge qualcuno a un'organizzazione secondaria né consente loro di accedervi. Un proprietario o amministratore principale che ha bisogno di lavorare in un'organizzazione secondaria deve essere aggiunto come qualsiasi altro utente. I proprietari e gli amministratori principali possono controllare la configurazione e visualizzare i dati di conformità nelle organizzazioni secondarie tramite l'API. Scopri di più nella sezione Chiavi API di seguito.
Controlli che si spostano nell'organizzazione principale
Questi controlli si applicavano già a livello principale, ma li gestivi dalle impostazioni di amministrazione dell'organizzazione secondaria. Dopo l'iscrizione, i proprietari e gli amministratori principali li gestiscono una sola volta per ogni organizzazione, nella console dell'organizzazione principale.
Controllo | Ora gestito in | Cosa fa |
SSO e Richiedi SSO | Provider di identità e Domini | Accesso per i tuoi domini verificati, per Claude e Console. Richiedi SSO è impostato per dominio. |
Sincronizzazione directory (SCIM) | Provider di identità | Esegue il provisioning di utenti e gruppi dal tuo provider di identità. |
Verifica del dominio | Domini | Verifica i domini di posta elettronica con cui i tuoi utenti accedono. |
Restrizione del dominio del connettore | Domini | Limita i connettori nei tuoi domini agli account della tua azienda. |
Limita la creazione di organizzazioni | Organizzazioni (sezione Sicurezza) | Blocca le nuove organizzazioni, inclusi gli account personali, nei tuoi domini verificati. |
Chiavi API di conformità | Chiavi API | Visualizza, disabilita ed elimina le chiavi a livello principale create da qualsiasi organizzazione secondaria. |
Gruppi | Gruppi | Gruppi di directory sincronizzati dal tuo provider di identità, più gruppi creati manualmente. |
Invita organizzazioni al principale | Organizzazioni | Self-service per le organizzazioni Claude Platform e i piani Team su un dominio verificato. Per le organizzazioni Claude Enterprise, contatta il tuo account team. |
Gli amministratori dell'organizzazione secondaria mantengono tutto all'interno della propria organizzazione: utenti, ruoli, impostazioni dell'organizzazione e controlli di sicurezza a livello organizzativo come l'allowlisting IP e la durata della sessione.
Nuovi controlli a livello principale
La gestione centralizzata aggiunge anche controlli che non esistevano prima:
Controllo | Dove | Cosa fa |
Panoramica delle organizzazioni | Organizzazioni | Mostra ogni organizzazione figlio in un unico posto, con il suo tipo e ID |
Ruoli dell'organizzazione padre | Ruoli di amministratore | Assegna i proprietari e gli amministratori padre che gestiscono le impostazioni a livello aziendale |
Provider di identità multipli | Provider di identità | Connette più di una configurazione SSO e SCIM sotto un padre, con ogni dominio instradato a uno o più di essi |
Domini divisi | Domini e provider di identità | Instrada un dominio a più di un provider di identità per l'accesso e ti consente di scegliere chi vede ogni provider di identità all'accesso |
Chiavi API di conformità a livello padre | Chiavi API | Crea chiavi a livello padre da admin.claude.com. Le organizzazioni figlio possono comunque creare chiavi per la propria organizzazione |
Scopri di più su configurazione di più provider di identità e domini divisi.
La disponibilità dei gruppi, che ti permetterà di scegliere quali organizzazioni figlio possono vedere e utilizzare ogni gruppo, non è ancora disponibile. Fino ad allora, ogni amministratore dell'organizzazione figlio Enterprise può vedere ogni gruppo sotto il padre.
Limitazioni attuali
Questi limiti si applicano durante la beta:
Creazione dell'organizzazione figlio: Le nuove organizzazioni figlio passano attraverso il tuo team di account. Non c'è un'opzione self-service.
Fatturazione: La fatturazione non cambia quando ti iscrivi.
Organizzazioni del marketplace cloud: Le organizzazioni Claude Platform acquistate tramite il marketplace AWS o Azure non possono aderire a un'organizzazione padre.
Due tipi di organizzazione padre non possono iscriversi:
Organizzazioni padre con un'organizzazione figlio abilitata per HIPAA
Organizzazioni padre le cui uniche organizzazioni figlio sono piani Team
Iscrivi la tua organizzazione padre
Qualsiasi proprietario di un'organizzazione figlio sotto il padre può avviare l'iscrizione su admin.claude.com. L'iscrizione è un breve flusso di approvazione in cui ogni organizzazione figlio approva chi saranno gli amministratori dell'organizzazione padre. Tutti coloro che sono stati proposti e che sono ancora idonei quando l'iscrizione si completa diventano proprietari dell'organizzazione padre. I proprietari possono aggiungere amministratori in seguito nella pagina Ruoli di amministratore.
Avvertenza: L'iscrizione non può essere annullata e può completarsi non appena qualcuno avvia la configurazione.
Prima di iniziare
Se la tua rete utilizza restrizioni tenant, aggiungi l'ID dell'organizzazione padre al tuo elenco di ID organizzazione consentiti (l'intestazione anthropic-allowed-org-ids) prima che chiunque avvii la configurazione e mantieni gli ID già presenti. Senza l'ID padre, i proprietari e gli amministratori padre su quella rete non possono gestire la console padre.
Copia l'ID dell'organizzazione padre da Impostazioni organizzazione > Organizzazione in Claude, o da Impostazioni > Organizzazione in Console. Anche le organizzazioni figlio che amministri devono essere nell'elenco, altrimenti la configurazione potrebbe non riuscire.
Completa la configurazione
Vai a admin.claude.com e avvia la configurazione. Vedi le organizzazioni figlio che amministri.
Proponi amministratori dell'organizzazione padre da quelle organizzazioni. Cerca per nome, email o organizzazione per trovare persone. L'avvio della configurazione conta come approvazione per le organizzazioni che amministri.
Se rimangono altre organizzazioni figlio, attendi che i loro amministratori rivedano la proposta. Possono nominare amministratori dalle loro organizzazioni e approvare. Puoi ricordare a chiunque non abbia ancora approvato.
Quando la configurazione è terminata, seleziona "Fine". La console si apre nella pagina Organizzazioni.
Se amministri ogni organizzazione sotto il padre, la tua organizzazione padre viene iscritta immediatamente. Altrimenti, l'ultima approvazione la iscrive. SSO, SCIM, domini verificati e impostazioni di sicurezza si spostano al padre, e ogni organizzazione figlio mantiene i propri utenti, ruoli e progetti.
La modifica degli amministratori proposti chiede a ogni organizzazione figlio di approvare di nuovo. Se un'organizzazione non ha ancora approvato sette giorni dopo l'ultima modifica, qualsiasi proprietario di un'organizzazione figlio sotto il padre può approvare per suo conto.
Gestisci la tua organizzazione padre
La console ha una pagina per ogni area della tua organizzazione padre. I proprietari e gli amministratori padre possono usarle tutte.
Generale
Cambia il nome dell'organizzazione padre qui. Il nome appare ovunque l'organizzazione padre sia nominata, incluso il selettore di organizzazione. Puoi anche trovare l'ID dell'organizzazione padre su questa pagina.
Organizzazioni
Questa pagina elenca ogni organizzazione figlio sotto il padre, con il suo tipo (ad esempio Claude Enterprise, Claude Team o Claude Platform) e ID.
Per portare un'organizzazione esistente sotto il tuo padre, seleziona "Invita" sotto Unisci organizzazioni. Gli inviti sono self-service per le organizzazioni Claude Platform e i piani Team su uno dei tuoi domini verificati. Per portare un'organizzazione Claude Enterprise sotto il padre, contatta il tuo team di account.
Domini
Questa pagina contiene i domini email verificati per l'organizzazione padre, che ogni organizzazione figlio condivide. Ogni dominio accede tramite il provider di identità che scegli per esso, o tramite diversi con domini divisi. Un dominio senza provider di identità non ha accesso SSO.
Per aggiungere e instradare un dominio:
Seleziona "Aggiungi dominio" e verifica il dominio. Un dominio verificato può appartenere a una sola organizzazione padre.
Seleziona l'icona della matita nella colonna Accesso SSO a.
Seleziona ogni provider di identità attraverso il quale il dominio deve accedere e deseleziona quelli che deve smettere di usare.
Seleziona "Salva". La modifica si applica all'accesso non appena salvi.
Attiva Limita i connettori di dominio verificato alla tua azienda per impedire agli account Claude al di fuori della tua azienda di connettere i connettori supportati, come Google Drive, Gmail, Microsoft 365 e Slack, con un'email sui tuoi domini.
Provider di identità
Questa pagina elenca ogni configurazione SSO e SCIM connessa all'organizzazione padre, con il suo stato di accesso, lo stato della sincronizzazione della directory e i domini. Apri uno per gestirlo:
Single sign-on: Seleziona "Gestisci SSO" per aprire il portale di configurazione e rivedere o modificare la connessione SAML o OIDC. Sotto, scegli chi può accedere con questo provider di identità e se viene visualizzato nella pagina di accesso.
Sincronizzazione della directory: Seleziona "Configura sincronizzazione della directory" per aprire il portale di configurazione e connettere SCIM. Una volta connesso, seleziona "Risincronizza ora" per recuperare le ultime modifiche. La pagina elenca i gruppi sincronizzati dalla tua directory.
Domini: Mostra i domini verificati che accedono qui. Attiva Richiedi SSO per Claude e Richiedi SSO per Console per forzare SSO per quegli utenti. Queste impostazioni si applicano per dominio e puoi modificarle anche nella pagina Domini.
Per aggiungere, instradare o rimuovere un provider di identità, scopri di più su configurazione di più provider di identità e domini divisi.
Chiavi API
Questa pagina mostra le chiavi a livello padre, con gli ambiti, l'organizzazione, il creatore e la data di creazione di ogni chiave. Le chiavi appartengono all'organizzazione padre e rimangono attive dopo la rimozione della persona che le ha create. Le chiavi limitate a una singola organizzazione figlio non vengono visualizzate qui. Rimangono nelle impostazioni di amministrazione di quell'organizzazione.
L'interruttore API di conformità sopra le chiavi attiva o disattiva l'API di conformità per ogni organizzazione sotto il padre. Mentre è disattivato, le chiavi API esistenti non possono utilizzare gli ambiti di conformità.
Crea una chiave
La creazione di chiavi richiede almeno un'organizzazione Claude Enterprise sotto il padre. Ogni chiave che crei qui funziona in ogni organizzazione sotto il padre.
Seleziona "Crea chiave".
Assegna un nome alla chiave e seleziona i suoi ambiti. Gli ambiti di conformità, come read:compliance_activities, danno alla chiave l'accesso all'API di conformità. Se non li vedi, attiva prima l'interruttore API di conformità, che attiva anche la registrazione degli eventi di conformità per ogni organizzazione sotto il padre. Gli ambiti di gruppo (read:rbac_groups e write:rbac_groups) consentono alla chiave di leggere o gestire i gruppi e i loro membri.
Seleziona "Crea". Una chiave con delete:compliance_user_data può eliminare definitivamente i dati in qualsiasi organizzazione sotto il padre, quindi la confermi prima.
Seleziona "Copia chiave" e archivia la chiave in un luogo sicuro. Non potrai visualizzarla di nuovo.
Gestisci chiavi
Seleziona il menu delle azioni di una chiave per disabilitarla, riattivarla o eliminarla. Una chiave che crei qui mostra il nome dell'organizzazione padre nella colonna Organizzazione. Una chiave creata da un'organizzazione figlio che funziona in ogni organizzazione mostra il nome di quell'organizzazione con un'icona di avviso. Queste chiavi continuano a funzionare e le gestisci anche qui.
Chiavi nelle organizzazioni figlio
Gli amministratori dell'organizzazione figlio possono comunque creare chiavi limitate alla propria organizzazione.
Non possono creare una chiave che funziona in ogni organizzazione, né riattivarne una dopo che è stata disabilitata.
Nelle organizzazioni Claude Enterprise, i proprietari primari possono anche creare chiavi con ambiti read:org_audit o di gruppo per la propria organizzazione. Queste chiavi raggiungono comunque tutti i gruppi del padre.
Le chiavi limitate a un'organizzazione non possono leggere gli accessi o altri eventi a livello padre, come le modifiche a Richiedi SSO. Per leggerli, utilizza una chiave che funziona in ogni organizzazione.
Sicurezza
Nella pagina Organizzazioni, sotto Sicurezza, attiva Limita creazione organizzazione per impedire a chiunque sui tuoi domini verificati di creare una nuova organizzazione, incluso un account personale. La pagina Sicurezza nel menu laterale elenca lo stato HIPAA di ogni organizzazione.
I proprietari e gli amministratori del padre avviano anche un reclamo di dominio qui, invece che dalle impostazioni di un'organizzazione figlio. Scegli un'organizzazione figlio per la migrazione degli account e il reclamo copre ogni account Free, Pro, Max e Ultra sui domini verificati in quel momento. Gli utenti possono scegliere di portare i loro dati con loro, ma hanno bisogno di un posto in quell'organizzazione per accedere in seguito. Scopri di più su rispondere a un reclamo di dominio aziendale sul tuo account Claude.
La durata della sessione rimane con ogni organizzazione figlio durante la beta e ogni organizzazione figlio mantiene la propria lista di indirizzi IP consentiti.
Le restrizioni del tenant si applicano già alla console padre. Se la tua rete le utilizza, mantieni l'ID dell'organizzazione padre dalla pagina Generale nel tuo elenco di ID organizzazione consentiti, insieme agli ID dell'organizzazione figlio, perché l'ID del padre non li copre.
Gruppi
I gruppi sono raccolte di utenti che condividono gli stessi ruoli. Vivono nel padre, quindi un gruppo può ricevere ruoli in qualsiasi organizzazione figlio. Gli amministratori dell'organizzazione figlio assegnano questi ruoli all'interno della propria organizzazione.
La scheda Gruppi mostra ogni gruppo sotto il padre, con il numero di membri. Puoi filtrare per origine e cercare per nome.
I gruppi sincronizzati dalla tua directory hanno un badge SCIM. Apri uno per vedere i suoi membri. Il suo nome e l'appartenenza provengono dal tuo provider di identità.
Seleziona "Aggiungi gruppo" per creare un gruppo manualmente. Aprilo per rinominarlo o per aggiungere e rimuovere membri per nome o email.
Elimina un gruppo dal suo menu delle azioni.
Nota: Fino a quando la disponibilità dei gruppi non sarà disponibile, ogni amministratore dell'organizzazione figlio Enterprise può vedere ogni gruppo sotto il padre.
Ruoli di amministratore
Questa pagina elenca le persone che amministrano l'organizzazione padre. Seleziona "Aggiungi amministratore" per assegnare a qualcuno un ruolo padre.