エンタープライズプランでカスタムロールを管理する

カスタムロールを使用すると、メンバーがアクセスできる機能を定義できます。各カスタムロールには、チャット、Claude Cowork、Claude Code、ウェブ検索、およびSlackやGoogle Driveなどの組織が追加したコネクタなどの特定の機能へのアクセスを許可または制限する権限セットが含まれています。カスタムロールは管理者権限も付与でき、メンバーに請求、ID、プライバシーなどの特定の管理領域へのアクセスを与えることができます。ただし、オーナーにはなりません。

カスタムロールはグループと連携して機能します。一般的なワークフローは、カスタムロールを作成し、グループに割り当て、メンバーのロールを「カスタム」に設定して、アクセスがグループに割り当てられたカスタムロールによって完全に管理されるようにすることです。

機能アクセスは4段階の優先順位チェーンによって決定され、最も制限的なレベルが優先されます。

重要なポイント:組織レベルのトグルはメインスイッチです。カスタムロールはその下のメンバーごとのスイッチです。カスタムロールがアクセスを制御する前に、機能は組織レベルで有効にする必要があります。

各カスタムロールは、以下の機能へのアクセスを許可または制限できます。

カスタムロールは、ロールエディタの別の権限、コネクタ、モデルタブで設定される管理権限、コネクタ、およびモデルアクセスも管理します。以下の管理権限、コネクタ権限、およびモデルアクセスを参照してください。

機能を個別に切り替える代わりに、ロールにすべての機能を付与できます。ロールを作成または編集するときに、機能タブで機能アクセスのオプションを選択します：

いずれかのオプションに設定されたロールは、起動時に新しい機能を自動的に取得します。「選択したもののみ」に設定されたロールには、選択した機能のみが含まれます。

ロールの変更は有効になるまで最大15分かかる場合があり、メンバーはブラウザを更新する必要がある場合があります。このロールに割り当てられたグループ内のすべてのメンバーが影響を受けます。

任意のカスタムロールのメニューボタンをクリックして「ロールを削除」を選択します。ロールを削除すると、割り当てられたすべてのグループからその権限が削除されます。これらのグループ内のメンバーは、ロールが付与した権限を失います。ただし、チェーン内の別のロールも付与している場合を除きます。

カスタムロールはグループに割り当てられ、個別のメンバーには直接割り当てられません。グループをロールに割り当てるには：

組織設定 > グループでグループを作成または編集するときにカスタムロールを割り当てることもできます。エンタープライズプランでグループとグループ支出制限を管理するを参照してください。

メンバーが異なるカスタムロールを持つ複数のグループに属している場合、その権限は加算的です。チェーン内のすべてのロールからのすべての権限の和集合を取得します。いずれかのロールが機能を付与する場合、メンバーはそれにアクセスできます。

これは、別のロールによって付与された権限を削除するために1つのロールを使用できないことを意味します。これは設計上の意図です。基本ロールが一般的な機能をカバーし、追加のロールが特定の機能と管理権限をレイヤーする階層化されたアプローチを可能にします。

例：メンバーは2つのグループに属しています。「すべてのユーザー」グループには、ウェブ検索とメモリを備えた「標準アクセス」ロールが割り当てられています。「エンジニアリング」グループには、CoworkとClaude Codeを備えた「開発者」ロールが割り当てられています。メンバーは4つすべてを取得します：ウェブ検索、メモリ、Cowork、Claude Code。

メンバーが異なる機能を付与するロールを持つ複数のグループに属している場合、実際に何ができるかを判断するのは難しい場合があります。「有効なロールを表示」オプションは、結合された結果を表示します。メンバーが持つすべての機能、管理権限、コネクタ、およびそれぞれを付与するロール。

モーダルにはメンバーに割り当てられたロールと3つのタブが表示されます：

このビューは読み取り専用です。メンバーが実行できる内容を変更するには、そのグループに割り当てられたロールを編集してください。

カスタムロールは、機能とコネクタ権限に加えて管理者権限を付与できます。管理者権限により、メンバーは請求やプライバシーなどの特定の管理エリアにアクセスでき、オーナーになる必要はありません。管理者権限はロールエディタの権限タブで設定できます。

権限タブで、各権限エリアを3つのレベルのいずれかに設定します：

エリア内では、表示または管理のすべてを付与します。個別のページまたは設定を付与または制限することはできません。

7つの管理者権限エリアがあります：

以下は、管理者権限を持つメンバーであっても、オーナーとプライマリオーナーのみが利用できます：

メンバーが特定の管理者権限にアクセスできない場合、そのセクションは組織設定に表示されません。権限でカバーされているセクションのみが表示されます。

カスタムロールは、ロールが使用できるコネクタと、それらのコネクタ上のツールも制御します。機能が Claude の組み込み機能をカバーする場合、コネクタ権限は、Slack、Google Drive、Jira など、組織に接続したアプリとサービスをカバーします。ロールエディタのコネクタタブで、機能タブと権限タブの横に設定します。

コネクタタブで、すべてのコネクタ、各コネクタ、またはコネクタ上の各ツールを、次の 3 つのレベルのいずれかに設定します：

コネクタはカスタムに設定することもでき、各ツールを個別に設定できます。完全なセットアップについては、エンタープライズプランでロールベースの権限を設定するを参照してください。

メンバーがコネクタまたはツールを使用する前に、複数のレイヤーを通過し、この順序で評価されます：

Claude Codeを使用するメンバーの場合、さらに1つのレイヤーが適用されます。管理設定ポリシーとコネクタ権限は最も制限的なもので構成されます。ツールはその両方が許可する場合にのみ、プロンプトなしで呼び出し可能です。詳細については、Claude Code設定をご覧ください。

Claude Coworkを使用するメンバーの場合、書き込み可能なコネクタツールはさらに1つのゲートを通ります。下記の書き込みツール用Cowork承認設定をご覧ください。

次の表は、組織全体のツールポリシーとメンバーのロール付与がどのように組み合わされるかを示しています。

Claude Coworkには、書き込み可能なコネクタツールをゲートする別の組織設定「コネクタツールの『常に許可』を許可」があります。デフォルトではオフになっており、カスタムロール付与はこれをオーバーライドできません。組織全体のツールポリシーとすべてのロール付与が「常に許可」に設定されている場合でも、この設定がオンになるまで、メンバーはCoworkでこれらのツールをタスクごとに承認します。詳細については、Coworkでのコネクタツール承認をご覧ください。

コネクタ権限はAnthropicのサーバーで実行されるため、Anthropicを通じてコネクタトラフィックをルーティングするすべてのClaudeサーフェスに適用されます。

コネクタ権限は、組織設定 > コネクタで組織が追加したコネクタを管理します。メンバーが自分のマシンでローカルに実行するコネクタは管理されず、サードパーティプラットフォームにデプロイされたClaude Coworkも管理されません。サードパーティCoworkデプロイメントの場合は、代わりにMDMを使用してください。3P上のCowork：MCP、プラグイン、スキル、フックをご覧ください。

メンバーはどのレイヤーがツールを制限したかを判断できません。組織全体のツールポリシー、ロール付与、またはその両方から制限が来ているかどうかに関わらず、メッセージは同じです。ソースを見つけるには、組織全体のポリシーとメンバーのロール付与を比較してください。

カスタムロールは、ロールが使用できるClaudeモデルと、各モデルでメンバーが選択できる最大努力レベルも制御します。これらはロールエディタのモデルタブで、ロールのデフォルトモデルと一緒に設定します。

組織レベルのモデル設定が上限です。ロールは組織レベルで無効になっているモデルを付与することはできません。メンバーのロール全体では、モデルアクセスは加算的であり、努力制限はいずれかのロールが許可する最高の上限を取ります。Haikuモデルは常に利用可能であり、無効にすることはできません。

セットアップ手順とメンバーに表示される内容については、組織のモデルアクセスを管理するを参照してください。デフォルトモデルの動作については、組織のデフォルトモデルを設定するを参照してください。

機能が制限されている場合、メンバーに表示される内容は以下の通りです。コネクタとツールの制限については、上記のコネクタの権限を参照してください。