Gerenciar funções personalizadas em planos Enterprise

Funções personalizadas permitem que você defina quais recursos seus membros podem acessar. Cada função personalizada contém um conjunto de permissões que concedem ou restringem o acesso a recursos específicos como chat, Claude Cowork, Claude Code e busca na web, além dos conectores que sua organização adicionou, como Slack ou Google Drive. Funções personalizadas também podem conceder permissões de administrador, que dão aos membros acesso a áreas administrativas específicas como faturamento, identidade ou privacidade sem torná-los Proprietários.

Funções personalizadas funcionam junto com grupos. O fluxo de trabalho típico é: criar funções personalizadas, atribuí-las a grupos e depois definir as funções dos membros como "Personalizado" para que seu acesso seja governado inteiramente pelas funções personalizadas atribuídas aos seus grupos.

O acesso a recursos é determinado por uma cadeia de precedência de quatro níveis, onde o nível mais restritivo vence:

A conclusão principal: a alternância no nível da organização é um interruptor principal. Funções personalizadas são os interruptores por membro abaixo dela. Um recurso deve estar ativado no nível da organização antes que as funções personalizadas possam controlar quem obtém acesso.

Cada função personalizada pode conceder ou restringir o acesso aos seguintes recursos:

As funções personalizadas também governam permissões de administrador, conectores e acesso a modelos, que são configurados em abas separadas Permissões, Conectores e Modelos no editor de funções. Consulte Permissões de administrador, Permissões de conectores e Acesso a modelos abaixo.

As alterações de função podem levar até 15 minutos para entrar em vigor, e os membros podem precisar atualizar o navegador. Todos os membros em grupos atribuídos a essa função são afetados.

Clique no botão de menu em qualquer função personalizada e selecione "Excluir função." Excluir uma função remove suas permissões de todos os grupos aos quais foi atribuída. Os membros nesses grupos perdem as permissões que a função concedeu, a menos que outra função em sua cadeia também as conceda.

As funções personalizadas são atribuídas a grupos, não diretamente a membros individuais. Para atribuir um grupo a uma função:

Você também pode atribuir funções personalizadas ao criar ou editar um grupo em Configurações da organização > Grupos. Consulte Gerenciar grupos e limites de gastos de grupo em planos Enterprise.

Se um membro pertence a vários grupos com diferentes funções personalizadas, suas permissões são aditivas—ele obtém a união de todas as permissões de todas as funções em sua cadeia. Se qualquer função conceder um recurso, o membro terá acesso a ele.

Isso significa que você não pode usar uma função para remover uma permissão concedida por outra função. Isso é intencional — permite uma abordagem em camadas onde uma função base cobre recursos comuns e funções adicionais adicionam capacidades específicas e permissões de administrador.

Exemplo: Um membro está em dois grupos. O grupo "Todos os Usuários" é atribuído a uma função "Acesso Padrão" com busca na web e memória. O grupo "Engenharia" é atribuído a uma função "Desenvolvedor" com Cowork e Claude Code. O membro obtém todos os quatro: busca na web, memória, Cowork e Claude Code.

Quando um membro pertence a vários grupos cujas funções concedem diferentes capacidades, pode ser difícil dizer o que ele realmente pode fazer. A opção "Ver função efetiva" mostra o resultado combinado: cada capacidade, permissão de administrador e conector que o membro possui, com a função que concede cada um.

O modal lista as funções atribuídas do membro e três abas:

Esta visualização é somente leitura. Para alterar o que um membro pode fazer, edite as funções atribuídas aos seus grupos.

As funções personalizadas podem conceder permissões de administrador além de capacidades e permissões de conectores. As permissões de administrador dão aos membros acesso a áreas administrativas específicas, como faturamento ou privacidade, sem torná-los Proprietários. Você pode configurar permissões de administrador na aba Permissões do editor de funções.

Na aba Permissões, você define cada área de permissão para um de três níveis:

Dentro de uma área, você concede todo o acesso de Visualização ou todo o acesso de Gerenciamento. Você não pode conceder ou restringir páginas ou configurações individuais.

Existem sete áreas de permissão de administrador:

O seguinte permanece disponível apenas para Proprietários e Proprietários Primários, mesmo para membros com permissões de administrador:

Se um membro não tiver acesso a uma permissão de administrador específica, a seção não aparecerá nas configurações da organização. Apenas as seções que suas permissões cobrem são mostradas.

Funções personalizadas também controlam quais conectores e quais ferramentas nesses conectores uma função pode usar. Onde as capacidades cobrem os recursos integrados do Claude, as permissões de conector cobrem os aplicativos e serviços que você conectou à sua organização, como Slack, Google Drive ou Jira. Você as define na guia Conectores do editor de funções, ao lado das guias Capacidades e Permissões.

Na guia Conectores, você define todos os conectores, cada conector ou cada ferramenta em um conector para um dos três níveis:

Um conector também pode ser definido como Personalizado, o que permite definir cada uma de suas ferramentas individualmente. Para a configuração completa, consulte Configurar permissões baseadas em funções em planos Enterprise.

Um conector ou ferramenta passa por várias camadas antes que um membro possa usá-lo, avaliadas nesta ordem:

Para membros usando Claude Code, uma camada adicional se aplica: as políticas de Configurações Gerenciadas e as permissões de conector se compõem pela mais restritiva. Uma ferramenta é chamável sem um prompt apenas quando ambas a permitem. Para mais informações, consulte Configurações do Claude Code.

Esta tabela mostra como a política de ferramentas em toda a organização e a concessão de função de um membro se combinam:

As permissões do conector são aplicadas nos servidores da Anthropic, portanto se aplicam em todas as superfícies Claude que roteiam tráfego de conector através da Anthropic:

As permissões do conector governam conectores que sua organização adicionou em Configurações da organização > Conectores. Elas não governam conectores que um membro executa localmente em sua própria máquina, e não governam Claude Cowork quando implantado em uma plataforma de terceiros. Para implantações Cowork de terceiros, use MDM. Veja Cowork em 3P: MCP, plugins, skills e hooks.

Os membros não conseguem dizer qual camada restringiu uma ferramenta. A mensagem é a mesma se o limite vem da política de ferramenta em toda a organização, de uma concessão de função, ou de ambas. Para encontrar a origem, compare a política em toda a organização com as concessões de função do membro.

Funções personalizadas também controlam quais modelos Claude uma função pode usar e o nível de esforço máximo que os membros podem selecionar em cada um. Você define isso na aba Modelos do editor de funções, junto com o modelo padrão da função.

A configuração de modelo no nível da organização é o limite. Uma função não pode conceder um modelo que está desativado no nível da organização. Nas funções de um membro, o acesso ao modelo é aditivo e os limites de esforço usam o limite máximo mais alto que qualquer função permite. Os modelos Haiku estão sempre disponíveis e não podem ser desativados.

Para etapas de configuração e o que os membros veem, veja Gerenciar acesso ao modelo para sua organização. Para comportamento de modelo padrão, veja Definir um modelo padrão para sua organização.

Quando uma funcionalidade é restrita, aqui está o que os membros veem. Para restrições de conectores e ferramentas, consulte Permissões de conectores acima.