Gerenciar funções personalizadas em planos Enterprise

Funções personalizadas permitem que você defina quais recursos seus membros podem acessar. Cada função personalizada contém um conjunto de permissões que concedem ou restringem o acesso a recursos específicos como chat, Claude Cowork, Claude Code e busca na web, além dos conectores que sua organização adicionou, como Slack ou Google Drive. Funções personalizadas também podem conceder permissões de administrador, que dão aos membros acesso a áreas administrativas específicas como faturamento, identidade ou privacidade sem torná-los Proprietários.

Funções personalizadas funcionam junto com grupos. O fluxo de trabalho típico é: criar funções personalizadas, atribuí-las a grupos e depois definir as funções dos membros como "Personalizado" para que seu acesso seja governado inteiramente pelas funções personalizadas atribuídas aos seus grupos.

O acesso a recursos é determinado por uma cadeia de precedência de quatro níveis, onde o nível mais restritivo vence:

A conclusão principal: a alternância no nível da organização é um interruptor principal. Funções personalizadas são os interruptores por membro abaixo dela. Um recurso deve estar ativado no nível da organização antes que as funções personalizadas possam controlar quem obtém acesso.

Cada função personalizada pode conceder ou restringir o acesso aos seguintes recursos:

As funções personalizadas também governam permissões de administrador, conectores e acesso a modelos, que são configurados em abas separadas Permissões, Conectores e Modelos no editor de funções. Consulte Permissões de administrador, Permissões de conector e Acesso a modelos abaixo.

Em vez de alternar capacidades individualmente, você pode conceder a uma função todas as capacidades. Ao criar ou editar uma função, escolha uma opção na aba Capacidades para Acesso a capacidades:

As funções definidas para qualquer uma das opções adquirem novas capacidades automaticamente conforme são lançadas. As funções definidas como "Apenas selecionadas" incluem apenas as capacidades que você seleciona.

As alterações de função podem levar até 15 minutos para entrar em vigor, e os membros podem precisar atualizar o navegador. Todos os membros nos grupos atribuídos a essa função são afetados.

Clique no botão de menu em qualquer função personalizada e selecione "Excluir função." Excluir uma função remove suas permissões de todos os grupos aos quais foi atribuída. Os membros nesses grupos perdem as permissões que a função concedeu, a menos que outra função em sua cadeia também as conceda.

As funções personalizadas são atribuídas a grupos, não diretamente a membros individuais. Para atribuir um grupo a uma função:

Você também pode atribuir funções personalizadas ao criar ou editar um grupo em Configurações da organização > Grupos. Consulte Gerenciar grupos e limites de gastos de grupo em planos Enterprise.

Se um membro pertence a vários grupos com diferentes funções personalizadas, suas permissões são aditivas—eles obtêm a união de todas as permissões de todas as funções em sua cadeia. Se qualquer função conceder um recurso, o membro tem acesso a ele.

Isso significa que você não pode usar uma função para remover uma permissão concedida por outra função. Isso é intencional — permite uma abordagem em camadas em que uma função base cobre recursos comuns e funções adicionais adicionam capacidades específicas e permissões de administrador.

Exemplo: Um membro está em dois grupos. O grupo "Todos os usuários" é atribuído a uma função "Acesso padrão" com pesquisa na web e memória. O grupo "Engenharia" é atribuído a uma função "Desenvolvedor" com Cowork e Claude Code. O membro obtém todos os quatro: pesquisa na web, memória, Cowork e Claude Code.

Quando um membro pertence a vários grupos cujas funções concedem diferentes capacidades, pode ser difícil dizer o que ele realmente pode fazer. A opção "Visualizar função efetiva" mostra o resultado combinado: todas as capacidades, permissões de administrador e conectores que o membro tem, com a função que concede cada um.

O modal lista as funções atribuídas do membro e três abas:

Esta visualização é somente leitura. Para alterar o que um membro pode fazer, edite as funções atribuídas aos seus grupos.

Funções personalizadas podem conceder permissões de administrador além de capacidades e permissões de conector. Permissões de administrador dão aos membros acesso a áreas administrativas específicas, como faturamento ou privacidade, sem torná-los Proprietários. Você pode configurar permissões de administrador na aba Permissões do editor de funções.

Na aba Permissões, você define cada área de permissão para um de três níveis:

Dentro de uma área, você concede tudo de Visualizar ou tudo de Gerenciar. Você não pode conceder ou restringir páginas ou configurações individuais.

Existem sete áreas de permissão de administrador:

O seguinte permanece disponível apenas para Proprietários e Proprietários Primários, mesmo para membros com permissões de administrador:

Se um membro não tiver acesso a uma permissão de administrador específica, a seção não aparecerá nas configurações da organização. Apenas as seções que suas permissões cobrem são mostradas.

As funções personalizadas também controlam quais conectores e quais ferramentas nesses conectores uma função pode usar. Onde as capacidades cobrem os recursos integrados do Claude, as permissões de conector cobrem os aplicativos e serviços que você conectou à sua organização, como Slack, Google Drive ou Jira. Você as define na guia Conectores do editor de funções, ao lado das guias Capacidades e Permissões.

Na guia Conectores, você define todos os conectores, cada conector ou cada ferramenta em um conector para um dos três níveis:

Um conector também pode ser definido como Personalizado, o que permite definir cada uma de suas ferramentas individualmente. Para a configuração completa, consulte Configurar permissões baseadas em funções em planos Enterprise.

Um conector ou ferramenta passa por várias camadas antes que um membro possa usá-lo, avaliado nesta ordem:

Para membros que usam Claude Code, uma camada adicional se aplica: as políticas de Configurações Gerenciadas e as permissões de conectores se combinam pela mais restritiva. Uma ferramenta é chamável sem um prompt apenas quando ambas a permitem. Para mais informações, consulte Configurações do Claude Code.

Para membros que usam Claude Cowork, ferramentas de conectores com capacidade de escrita passam por um portão adicional. Consulte Configuração de aprovação do Cowork para ferramentas de escrita abaixo.

Esta tabela mostra como a política de ferramentas em toda a organização e a concessão de função de um membro se combinam:

Claude Cowork tem uma configuração de organização separada, Permitir "Sempre permitir" para ferramentas de conectores, que controla ferramentas de conectores com capacidade de escrita. Está desativada por padrão, e as concessões de função personalizadas não podem substituí-la: mesmo quando a política de ferramentas em toda a organização e todas as concessões de função estão definidas como "Sempre permitir", os membros aprovam essas ferramentas por tarefa no Cowork até que a configuração seja ativada. Saiba mais sobre aprovações de ferramentas de conectores no Cowork.

As permissões de conectores são aplicadas nos servidores da Anthropic, portanto se aplicam em todas as superfícies do Claude que roteiam o tráfego de conectores através da Anthropic:

As permissões de conectores governam conectores que sua organização adicionou em Configurações da organização > Conectores. Elas não governam conectores que um membro executa localmente em sua própria máquina, e não governam Claude Cowork quando implantado em uma plataforma de terceiros. Para implantações de Cowork de terceiros, use MDM. Consulte Cowork em 3P: MCP, plugins, skills e hooks.

Os membros não conseguem dizer qual camada restringiu uma ferramenta. A mensagem é a mesma se o limite vem da política de ferramentas em toda a organização, de uma concessão de função ou de ambas. Para encontrar a origem, compare a política em toda a organização com as concessões de função do membro.

Funções personalizadas também controlam quais modelos Claude uma função pode usar e o nível máximo de esforço que os membros podem selecionar em cada um. Você define esses na aba Modelos do editor de funções, junto com o modelo padrão da função.

A configuração de modelo no nível da organização é o limite máximo. Uma função não pode conceder um modelo que está desabilitado no nível da organização. Entre as funções de um membro, o acesso ao modelo é aditivo e os limites de esforço usam o limite máximo mais alto que qualquer função permite. Os modelos Haiku estão sempre disponíveis e não podem ser desabilitados.

Para etapas de configuração e o que os membros veem, consulte Gerenciar acesso ao modelo para sua organização. Para o comportamento do modelo padrão, consulte Definir um modelo padrão para sua organização.

Quando uma capacidade é restrita, aqui está o que os membros veem. Para restrições de conector e ferramenta, consulte Permissões do conector acima.