エンタープライズプランでカスタムロールを管理する

カスタムロールを使用すると、メンバーがアクセスできる機能を定義できます。各カスタムロールには、チャット、Claude Cowork、Claude Code、ウェブ検索、およびSlackやGoogle Driveなどの組織が追加したコネクタなどの特定の機能へのアクセスを許可または制限する権限セットが含まれています。

カスタムロールは管理者権限も付与でき、メンバーに請求、ID、プライバシーなどの特定の管理領域へのアクセスを与えることができます。オーナーにする必要はありません。カスタムロールは、Owner access権限を使用してオーナーのすべての管理者権限を付与することもできます。

カスタムロールはグループと連携して機能します。一般的なワークフローは、カスタムロールを作成し、グループに割り当て、メンバーのロールを「Custom」に設定して、アクセスがグループに割り当てられたカスタムロールによって完全に管理されるようにすることです。

機能アクセスは4段階の優先順位チェーンによって決定され、最も制限的なレベルが優先されます。

重要なポイント：組織レベルのトグルはメインスイッチです。カスタムロールはその下のメンバーごとのスイッチです。カスタムロールがアクセスを制御する前に、機能は組織レベルで有効にする必要があります。

各カスタムロールは、以下の機能へのアクセスを許可または制限できます。

カスタム ロールは、ロール エディターの別の Permissions、Connectors、Models タブで設定される管理者権限、コネクタ、モデル アクセスも管理します。以下の Admin permissions、Connector permissions、Model access を参照してください。

機能を個別に切り替える代わりに、ロールにすべての機能を付与できます。ロールを作成または編集するときに、Capabilities タブで Capability access のオプションを選択してください。

どちらかのオプションに設定されたロールは、新しい機能がリリースされると自動的に取得します。「Only selected」に設定されたロールには、選択した機能のみが含まれます。

ロール変更が有効になるまで最大15分かかる場合があり、メンバーはブラウザをリフレッシュする必要がある場合があります。このロールに割り当てられたグループ内のすべてのメンバーが影響を受けます。

カスタムロール上のメニューボタンをクリックして、「ロールを削除」を選択します。ロールを削除すると、そのロールが割り当てられていたすべてのグループからそのアクセス許可が削除されます。これらのグループ内のメンバーは、チェーン内の別のロールでも付与されていない限り、ロールが付与していたアクセス許可を失います。

カスタムロールはグループに割り当てられ、個別のメンバーには直接割り当てられません。グループをロールに割り当てるには：

組織設定 > グループでグループを作成または編集するときに、カスタムロールを割り当てることもできます。エンタープライズプランでグループとグループ支出制限を管理するを参照してください。

メンバーが異なるカスタムロールを持つ複数のグループに属している場合、そのアクセス許可は加算的です。つまり、チェーン内のすべてのロールからのすべてのアクセス許可の和集合を取得します。いずれかのロールが機能を付与する場合、メンバーはそれにアクセスできます。

これは、別のロールで付与されたアクセス許可を削除するために1つのロールを使用できないことを意味します。これは設計上の意図です。基本ロールが一般的な機能をカバーし、追加のロールが特定の機能と管理者アクセス許可を層状に追加する、層状のアプローチを可能にします。

例：メンバーが2つのグループに属しています。「すべてのユーザー」グループには、ウェブ検索とメモリを備えた「標準アクセス」ロールが割り当てられています。「エンジニアリング」グループには、Coworkとclaude Codeを備えた「開発者」ロールが割り当てられています。メンバーは4つすべてを取得します：ウェブ検索、メモリ、Cowork、およびclaude Code。

メンバーが異なる機能を付与するロールを持つ複数のグループに属している場合、実際に何ができるかを判断するのは難しい場合があります。「有効なロールを表示」オプションは、結合された結果を表示します。メンバーが持つすべての機能、管理者アクセス許可、およびコネクタと、それぞれを付与するロールが表示されます。

モーダルにはメンバーの割り当てられたロールと3つのタブが表示されます：

このビューは読み取り専用です。メンバーが実行できることを変更するには、そのグループに割り当てられたロールを編集します。

カスタムロールは、機能とコネクタアクセス許可に加えて、管理者アクセス許可を付与できます。管理者アクセス許可により、メンバーは請求やプライバシーなどの特定の管理領域にアクセスでき、オーナーになる必要はありません。ロールエディターのアクセス許可タブで管理者アクセス許可を設定できます。

アクセス許可タブで、各アクセス許可領域を3つのレベルのいずれかに設定します：

領域内では、表示または管理のすべてを付与します。個別のページまたは設定を付与または制限することはできません。

8つの管理者アクセス許可領域があります：

オーナーアクセスアクセス許可は、カスタムロールにオーナーのすべての管理アクセス許可を付与します。オーナーはオーナーロールから直接アクセス許可を取得し、カスタムロールをスキップするため、これまではユーザーをオーナーにするか、カスタムロールでアクセスを管理するかを選択する必要がありました。オーナーアクセスにより、ユーザーは完全な管理アクセス権を持ちながら、グループに割り当てられたカスタムロールによって機能、コネクタ、モデルが引き続き管理されます。

オーナー、プライマリオーナー、および ID とアクセスが「管理可能」に設定されているカスタムロールは、オーナーアクセスをオンにできます。プライマリオーナーロールではなく、オーナーロールと一致します。

ロールにオーナーアクセスを付与するには：

オーナーアクセスは、ロールが「カスタム」に設定されており、ロールが割り当てられたグループに属するユーザーにのみ適用されます。オーナーのロールを「カスタム」に変更すると、組み込みのオーナーアクセスが削除されるため、ロールを変更する前にグループに追加してください。ディレクトリ同期がグループマッピングを使用している場合は、ユーザーの ID プロバイダーグループを「カスタム」ではなくオーナーにマップしてください。

以下は、管理者権限を持つメンバーであっても、オーナーとプライマリオーナーのみが利用できます

メンバーが特定の管理者権限にアクセスできない場合、そのセクションは組織設定に表示されません。権限でカバーされているセクションのみが表示されます。

カスタムロールは、ロールが使用できるコネクタと、それらのコネクタ上のツールも制御します。機能がClaudeの組み込み機能をカバーする場合、コネクタ権限は、Slack、Google Drive、Jiraなど、組織に接続したアプリとサービスをカバーします。ロールエディターのコネクタタブで、機能タブと権限タブの隣に設定します。

コネクタタブで、すべてのコネクタ、各コネクタ、またはコネクタ上の各ツールを、3つのレベルのいずれかに設定します

コネクタはカスタムに設定することもでき、各ツールを個別に設定できます。完全なセットアップについては、エンタープライズプランでロールベースの権限を設定するを参照してください。

メンバーがコネクタまたはツールを使用する前に、複数のレイヤーを通過し、この順序で評価されます

Claude Codeを使用しているメンバーの場合、さらに1つのレイヤーが適用されます。管理設定ポリシーとコネクタ権限は最も制限的な方で構成されます。ツールは、両方が許可する場合にのみプロンプトなしで呼び出し可能です。詳細については、Claude Code設定を参照してください。

Claude Coworkを使用しているメンバーの場合、書き込み可能なコネクタツールはさらに1つのゲートを通過します。下記の書き込みツールのCowork承認設定を参照してください。

次の表は、組織全体のツールポリシーとメンバーのロール付与がどのように組み合わされるかを示しています

Claude Cowork には、書き込み機能を持つコネクタツールをゲートする 「コネクタツールで常に許可を許可」 という個別の組織設定があります。デフォルトではオフになっており、カスタムロール付与でオーバーライドできません。組織全体のツールポリシーとすべてのロール付与が「常に許可」に設定されている場合でも、設定がオンになるまで、メンバーは Cowork でタスクごとにこれらのツールを承認します。Cowork のコネクタツール承認について詳しく。

コネクタ権限は Anthropic のサーバーで実行されるため、Anthropic を通じてコネクタトラフィックをルーティングするすべての Claude サーフェスに適用されます。

コネクタ権限は、組織が 組織設定 > コネクタ の下に追加したコネクタを管理します。メンバーが自分のマシンでローカルに実行するコネクタは管理されず、サードパーティプラットフォームにデプロイされた Claude Cowork も管理されません。サードパーティの Cowork デプロイメントの場合は、代わりに MDM を使用してください。Cowork on 3P: MCP、プラグイン、スキル、フックを参照してください。

メンバーはどのレイヤーがツールを制限したかを判断できません。メッセージは、制限が組織全体のツールポリシー、ロール付与、またはその両方から来ているかどうかに関わらず同じです。ソースを見つけるには、組織全体のポリシーとメンバーのロール付与を比較してください。

カスタムロールは、ロールが使用できる Claude モデルと、各モデルでメンバーが選択できる最大努力レベルも制御します。これらはロールエディターの モデル タブで、ロールのデフォルトモデルとデフォルト努力レベルと一緒に設定します。

組織レベルのモデル設定が上限です。ロールは組織レベルで無効になっているモデルを付与することはできません。メンバーのロール全体では、モデルアクセスは加算的であり、努力制限はいずれかのロールが許可する最高の上限を取ります。Haiku モデルは常に利用可能であり、無効にすることはできません。

組織のモデルアクセスを管理するでセットアップ手順とメンバーに表示される内容を確認してください。デフォルトモデルの動作については、組織のデフォルトモデルを設定するを参照してください。

機能が制限されている場合、メンバーに表示される内容は以下の通りです。コネクタおよびツール制限については、上記の コネクタ権限 を参照してください。