エンタープライズプランでロールベースの権限を設定する

このガイドでは、エンタープライズ組織のロールベースの権限を設定する手順を説明します。これにより、特定のチームやメンバーグループがアクセスできる機能やコネクタを制御し、全員に同じ権限を付与するのではなく、請求やユーザー管理などの特定の管理者アクセスを委譲できます。

開始する前に、以下に精通していることを確認してください：

エンタープライズ組織へのオーナーまたはプライマリオーナーアクセス、またはアイデンティティ＆アクセスが「管理」に設定されたカスタムロールが必要です。

組織レベルで有効になっている機能を確認します。組織設定に移動し、メンバーが現在アクセスできる機能を把握していることを確認してください。RBACで管理される設定の場合、ユーザーがアクセスするには、組織設定とロール設定の両方がオンになっている必要があります。

メンバーリストをバックアップします。変更を加える前に、組織設定 > メンバーから現在のメンバーのCSVをエクスポートしてください。移行中に問題が発生した場合、これはアクセスを復元するための参照になります。チームおよびエンタープライズプランでメンバーを管理するを参照してください。

各機能が必要なチームまたは機能を決定します。例えば、エンジニアリングはClaudeコード+高速モード、マーケティングはCowork+ウェブ検索を取得します。ここから、カスタムロールを定義します。

デュアルシートプラン。組織がデュアルシートエンタープライズプラン（チャットとチャット+Claudeコードシート）を使用している場合、カスタムロールはシートレベルの制限をオーバーライドしません。チャットのみのシートに割り当てられたメンバーは、カスタムロールがそれを許可していても、Claudeコードにアクセスできません。逆も同じです。メンバーのカスタムロールがチャット機能を許可していない場合、シートタイプに関係なくチャットアクセスがありません。シート割り当てを念頭に置いてロール構造を計画してください。

グループの作成方法を決定します。Claudeでグループを手動で作成するか、SCIMを介してアイデンティティプロバイダー（IdP）から同期できます。両方の方法を同時に使用することもできます。OktaやEntra IDなどのプロバイダーからIdPグループを使用する予定がある場合は、SCIMディレクトリ同期が構成されていることを確認してください。JITまたはSCIMプロビジョニングを設定するを参照してください。

管理するコネクタを追加します。コネクタ権限は、オーナーまたはプライマリオーナーが組織設定 > コネクタの下で既に追加し、管理者認証情報で接続したコネクタのみをカバーします。組織全体のツールポリシーもそこで確認してください。ロール付与はその中で絞られ、その外に広がることはできません。コネクタを使用してClaudeの機能を拡張するを参照してください。

何かを作成する前に、各チームまたはメンバーグループがアクセスすべき機能を決定してください。以下は4つの一般的なパターンです：

これはほとんどの組織に推奨されるアプローチです。ウェブ検索、メモリ、プロジェクトなどの一般的な機能を備えた全員向けの「標準アクセス」ロールを作成します。次に、特定の機能を付与する加算ロールを作成します。例えば、Coworkのみを追加する「Cowork有効」ロール。「すべてのユーザー」グループを通じてすべてのメンバーをベースロールに割り当て、特定のメンバーを追加グループに追加して、追加機能をレイヤーします。

このパターンは柔軟です。権限は加算的であり、ベースロールと加算ロールを組み合わせると、競合なくきれいに構成されます。

異なる階層を作成します：すべての機能を備えた「フルアクセス」、ほとんどの機能を備えた「標準アクセス」、最小限の機能を備えた「制限付きアクセス」。各メンバーは1つの階層に割り当てられた1つのグループに入ります。

部門にマップするロールを作成します：チャット、Cowork、Claudeコード、コード実行を備えた「エンジニアリング」。チャット、ウェブ検索、メモリ、プロジェクトを備えた「研究」。チャット、ウェブ検索、プロジェクトのみを備えた「ビジネス」。各部門グループを対応するロールに割り当てます。

オーナーロールを付与せずに管理の一部を委譲するロールを作成します。管理権限を持つカスタムロールはユーザー機能を必要とせず、その逆も同じです。請求アクセスを付与するが、チャットやClaudeコード機能を付与しない「財務」ロール、またはClaudeコードプラス分析表示アクセスを付与する「エンジニアリングリード」ロールを作成できます。詳細については、カスタムロールの管理権限についてを参照してください。

覚えておいてください：グループごとに制御したい機能は、組織レベルで有効になっている必要があります。機能が組織レベルでオフになっている場合、カスタムロールはそれへのアクセスを付与できません。

機能を有効にしたり、メンバーを移行したりする前に、カスタムロールを作成してください。これにより、機能がオンになった瞬間にアクセスを強制するロールの準備ができます。

ロール変更が有効になるまで最大15分かかる場合があります。メンバーは更新されたアクセスを確認するためにブラウザをリフレッシュする必要がある場合があります。

利用可能な機能、管理権限、コネクタの詳細については、エンタープライズプランでカスタムロールを管理するを参照してください。

各ロールに管理権限を設定して、オーナーロールを付与せずに請求、ユーザー管理、プライバシーなどの管理設定へのアクセスを委譲してください。このステップはオプションです。設定しない場合、ロールは管理アクセスを付与せず、管理はオーナーとプライマリオーナーのままです。各権限領域がカバーする内容については、エンタープライズプランでカスタムロールを管理するを参照してください。

権限タブには、各管理者領域が表示されます：ID & アクセス、請求、分析、プライバシー、ユーザー管理、ライブラリ。各管理者領域を次のいずれかのオプションに設定します：

領域内では、表示または管理のすべてを付与します。個別のページまたは設定を付与または制限することはできません。

メンバーを「カスタム」ロールに移行した後（ステップ7）、管理者権限を確認します。ステップ11：確認と監視を参照してください。

各ロールのコネクタ権限を設定して、ロールが使用できるコネクタと、それらのコネクタ上のどのツールを制御します。このステップはオプションです。設定しない場合、ロールは以下で説明されるデフォルト動作にフォールバックします。権限モデルがエンドツーエンドでどのように機能するかについては、エンタープライズプランでカスタムロールを管理を参照してください。

新しいロールのデフォルト設定は許可的です。ロールを作成または変更する場合、意図しない権限の付与を避けるため、各タブの設定を確認してください。

コネクタタブには、上部にすべてのコネクタ行が表示され、その後に組織が追加したすべてのコネクタが続きます。各行には4つのオプションを持つドロップダウンがあります：

「常に許可」、「承認が必要」、または「ブロック」を選択すると、そのレベルがコネクタ上のすべてのツールに適用されます。すべてのコネクタ行は同じように1レベル上で機能します。すべてのコネクタ（後で追加するコネクタを含む）のベースラインを設定します。ロールのデフォルトを設定してから、個別のコネクタをオーバーライドするために使用します。

コネクタをカスタムに設定して、そのツールを個別の行として表示します。各ツールには独自のドロップダウンがあります：「常に許可」、「承認が必要」、または「ブロック」。

ツール単位の権限により、ロールはコネクタの一部に到達できます。たとえば、Jiraがカスタムに設定され、そのsearch_issuesツールが「承認が必要」に設定され、他のすべてのJiraツールが「ブロック」に設定されている場合、このロールを持つメンバーはJiraを検索できますが、他には何もできません。Claudeは付与したツールのみを表示するため、チケットを作成するよう求めると、エラーではなく「そのツールはありません」が返されます。

コネクタ権限はロール全体で加算されるため、1つのロールでコネクタをブロックしても、それを付与する別のロールも保持しているメンバーには影響しません。各コネクタ行は、他のロールが同じコネクタを異なるレベルで付与する場合に警告を表示します。警告はそれらのロールに名前を付け、それらにリンクし、最も許可的な権限が適用されるものです。

リンクされたロールを開く際に保存されていない編集がある場合、最初にそれらを破棄するよう求められます。

メンバーを「カスタム」ロールに移行した後（ステップ7）、コネクタ権限を確認します。ステップ11：確認と監視を参照してください。

各ロールのモデルアクセスを設定して、ロールが使用できるClaudeモデルを制御し、モデルごとの最大努力レベルを上限に設定し、新しい会話が開始するモデルを選択します。このステップはオプションです。設定しない場合、新しいロールは組織レベルで有効になっているすべてのモデルを、任意の努力レベルで使用でき、組織のデフォルトモデルで開始します。

モデルアクセスとデフォルトモデル設定がエンドツーエンドでどのように機能するかについては、組織のモデルアクセスを管理および組織のデフォルトモデルを設定を参照してください。

モデルアクセスの下で、このロールの各モデルをオンまたはオフに切り替えます。組織レベルで無効になっているモデルは表示されますが、組織設定 > モデルで組織に対してオンにするまで、ここで有効にすることはできません。Haikuモデルは常にオンであり、無効にすることはできません。

ロールがモデルで選択できる努力レベルを上限に設定するには、モデルの横にあるギアアイコンをクリックしてレベルを選択します。

デフォルトモデルの下で、このロールの新しい会話が開始するモデルを選択します（オプション）。ロールがアクセスできるモデルのみを選択できます。

メンバーを「カスタム」ロールに移行した後、モデルアクセスを確認します。ステップ11：確認と監視を参照してください。

SCIM ディレクトリ同期を使用している場合、手動で作成する代わりに、ID プロバイダーからグループを同期できます。SCIM グループ同期の詳細については、Manage groups and group spend limits on Enterprise plans を参照してください。

同じ親組織の下にある複数の組織: グループは親組織レベルで管理され、すべての子組織に伝播します。グループに他の組織のメンバーが表示される場合がありますが、これは彼らがあなたの組織にアクセスできることを意味しません。グループに割り当てられたカスタムロールは、あなたの特定の組織に属するメンバーにのみ機能を付与します。

組織をある親から別の親に移動するようにリクエストした場合（実際には稀です）、グループとロールは未定義になり、再作成する必要があります。

メンバーをカスタムロールに移行する前に、移行予定のすべてのメンバーがカスタムロールに割り当てられた少なくとも 1 つのグループに属していることを確認します。グループまたはロールのカバレッジなしで移行されたメンバーは、すべての管理対象機能へのアクセスを失います。

カスタムロール機能を有効にするには、メンバーのロールを「カスタム」に設定する必要があります。ユーザー、管理者、またはオーナーのロールを持つメンバーは、カスタムロールではなく、これらのロールから直接権限を取得します。

組織が既にグループマッピングを有効にしているかどうかに基づいて、移行パスを選択します。

このパスは、組織が既にロール割り当てのためにグループマッピングを有効にしている場合にのみ使用してください。この設定をまだ使用していない場合は、パス B にスキップしてください。

「カスタム」ロールにマップされた IdP グループのメンバーは、Claude でそのグループに割り当てられたカスタムロールの権限に従います。ユーザーにマップされた IdP グループのメンバーは、組織レベルの機能設定に従います。メンバーが両方のマッピング全体のグループに属している場合、「カスタム」ロールが優先されます。

組織がグループマッピングを有効にしていない場合は、このパスを使用してください。

まずパイロットグループ（1 つのチームまたは部門）を移行し、組織の残りの部分に拡大する前にアクセスが正しいことを確認することをお勧めします。

どのパスを使用する場合でも、段階的に移行することをお勧めします。

ロール、グループ、およびメンバー移行が完了した後にのみ、組織レベルの機能を有効にしてください。これにより、カスタムロール機能が既に配置されており、権限のないメンバーが機能にアクセスできるウィンドウがありません。

グループごとに制御する機能の場合:

組織レベルで機能を有効にしても、すべてのユーザーがそれを取得するわけではありません。カスタムロール権限は既に配置されており、誰がそれを使用できるかを制御します。組織レベルのトグルを「すべてのユーザーに対してオン」ではなく「ロールベースの割り当てに利用可能」と考えてください。

「使用量」ページに移動して、グループに月単位のユーザーあたりの支出制限を割り当てます。

次の優先順位ルールに注意してください。

メンバーシップの変更は自動的に有効になります。ユーザーはグループメンバーシップが変更されるとすぐに制限を継承または失います。使用量ベースの課金組織にのみ関連します。

管理者権限を設定した場合は、以下も確認してください：

コネクタ権限を設定した場合は、以下も確認してください：

モデルアクセスを設定した場合は、以下も確認してください：

ロールの変更がプラットフォーム全体に反映されるまで最大15分かかる場合があります。メンバーは更新されたアクセスを確認するためにブラウザをリフレッシュする必要がある場合があります。

SCIMは、連携して機能する2つのメカニズムを通じてロールベースの機能に接続します。

これは、メンバーがプロビジョニングされるときに取得する組み込みロールを制御します。IdPグループを「カスタム」ロールにマップして、新しいメンバーのアクセスがカスタムロール機能によって自動的に管理されるようにします。

これはIdPグループをClaudeに取り込み、カスタムロールに割り当てることができるようにします。

移行後にロール構造が誤って設定されていることに気付いた場合：

セットアップ中にグループマッピングを有効にして管理者アクセスを失った場合は、JITまたはSCIMプロビジョニングをセットアップするの「グループマッピングを有効にした後に管理者/オーナーアクセスを失いました。」の下の回復手順に従ってください。

はい。カスタムロールがメンバーごとのアクセスを制御するには、組織レベルのトグルがオンになっている必要があります。機能が組織レベルでオフの場合、ロールに関係なく誰もアクセスできません。メインスイッチと考えてください。カスタムロールはその下でアクセスを取得する人を制御します。

カスタムロール権限がないため、権限が必要なすべての機能がグレーアウトまたは非表示になります。ロールが「カスタム」に設定されているすべてのメンバーが、カスタムロールに割り当てられた少なくとも1つのグループに属していることを確認してください。

モデルが組織レベルで無効になっているか（組織設定 > モデル）、またはメンバーのカスタムロールのいずれもそれを許可していません。組織レベルの無効化は、オーナーと管理者を含むすべてのユーザーに影響します。

そのロールのメンバーはClaudeのチャットインターフェースを表示しません。サインイン時に設定ページに移動します。ロールがCoworkやClaude Codeなどの他の製品を許可している場合、それらは設定ページと関連アプリからアクセス可能なままです。

チャットはすべてのカスタムロールでデフォルトで有効になっているため、ロールのチャットを意図的にオフにした場合のみ心配する必要があります。

はい。ユーザー、管理者、またはオーナーロールを持つメンバーは、これらのロールから直接権限を取得するため、カスタムロール権限の影響を受けません。「カスタム」に設定されたロールを持つメンバーのみがグループとロールシステムによって制御されます。これにより段階的な移行が可能になります。

権限は加算的です。メンバーのチェーン内のいずれかのロールが機能を許可している場合、メンバーはそれを持っています。別のロールによって許可された権限を削除するためにロールを使用することはできません。

はい。両方のタイプをカスタムロールに割り当てることができます。違いは、SCIMグループメンバーシップはアイデンティティプロバイダーで管理され、手動グループメンバーシップはClaudeの組織設定で管理されることです。

いいえ。オーナーとプライマリオーナーは常にすべての機能へのフルアクセス権を持っています。

グループとSCIM同期は親組織レベルで管理され、すべての子組織全体で共有されます。ロールと支出制限の割り当ては各子組織で独立して構成されます。1つの子組織での変更は他の組織に影響しません。グループメンバーシップの変更とSCIM再同期は、同じ親の下のすべての子組織全体に伝播します。

各既存ロールは「すべてのコネクタ」許可を「常に許可」でシードされるため、メンバーのアクセスは有効化時に変わりません。そこからアクセスを制限します。

すべてのコネクタで「承認が必要」です。ロール作成フローはコネクタタブをステップスルーするため、保存する前にこれを確認できます。

「すべてのコネクタ」行が「常に許可」、「承認が必要」、または「ブロック」に設定されているロールは、新しいコネクタをそのレベルで自動的にカバーします。「すべてのコネクタ」行が「カスタム」に設定されているロールは、設定するまで新しいコネクタを「ブロック」として扱います。

メンバーが別のロールを保持しているかどうかを確認してください。そのロールがそれを許可している場合、最も許容的な許可がロール全体で優先されます。コネクタ行の競合警告にはそれらのロールが表示されます。また、メンバーのロールが「カスタム」に設定されていることを確認してください。

いいえ。組織全体のポリシーは上限です。そこでブロックされたツールは、ロール許可に関係なく、すべてのユーザーに対してブロックされます。

ロールはそれを許可できますが、より厳しい設定が優先されるため、メンバーは「承認が必要」で上限に達します。メンバーが「常に許可」を設定できるようにするには、まず組織全体のポリシーを「常に許可」に引き上げてください。

はい。コネクタを「カスタム」に設定し、1つのツールを「常に許可」または「承認が必要」に設定し、残りを「ブロック」のままにします。

いいえ。組み込み機能は「機能」タブで管理されます。「コネクタ」タブは、組織が追加したコネクタを管理します。

ロール変更は有効になるまで最大15分かかる場合があります。メンバーはブラウザをリフレッシュする必要がある場合があります。

ロールに「管理」に設定された「アイデンティティとアクセス」が含まれている場合のみです。これはロールとグループの編集をカバーします。ロール定義（自分自身を含む）を変更するために使用できるため、この権限は信頼できるセキュリティおよびIT管理者に予約してください。

いいえ。管理者権限はカスタムロール内のメンバーにのみ適用されます。組み込みロール上のメンバーは、そのロールが許可するアクセスを保持します。特定の管理者権限を誰かに付与するには、メンバーをカスタムロールに変更し、必要な権限を持つロールに割り当てられたグループに追加します。これにより、以前の組み込みロールアクセスが削除されることに注意してください。

組織設定は、権限がカバーするセクションのみを表示します。アクセス権がないセクションは、組織設定から完全に非表示になります。

組織設定 > ロールは各カスタムロールが許可する管理者権限を表示し、組織設定 > グループは各ロールに割り当てられているグループと、それらに属するユーザーを表示します。特定のメンバーを確認するには、組織設定 > メンバーでグループを検索し、それらのグループが割り当てられているロールを確認してください。

複数の領域へのアクセスを許可する1つのロールを作成するか、メンバーを必要な領域をカバーするロールを持つ複数のグループに追加します。権限は加算的に組み合わされます。