Este artigo explica como funciona a autenticação gerenciada pela empresa e como os administradores podem autorizar conectores para sua organização, seja através de seu provedor de identidade ou diretamente com a autenticação emitida pelo Claude. Com a autenticação gerenciada pela empresa, você autoriza um conector uma vez para toda a sua organização, e sua equipe herda acesso automaticamente no primeiro login.
A autenticação gerenciada pela empresa está disponível para planos Team e Enterprise no Claude. A autenticação gerenciada por IdP está geralmente disponível, e a autenticação emitida pelo Claude está em beta.
O que é autenticação gerenciada pela empresa?
A autenticação gerenciada pela empresa é um modelo de autorização e autenticação para conectores no Claude. Em vez de cada pessoa autenticar cada conector individualmente, os administradores provisionam o acesso do conector centralmente.
Cada conector usa uma de duas fontes de identidade:
Gerenciada por IdP: Seu provedor de identidade depende de logon único (SSO) estar habilitado no Claude e no conector. Com isso em vigor, o IdP conecta o usuário ao conector.
Emitida pelo Claude (beta): O Claude pode indicar ao conector qual usuário se conectou ao Claude e usar essas informações para conectar ao conector, sob uma URL de emissor exclusiva para sua organização. Você não precisa de um provedor de identidade ou SSO.
Depois de habilitar um conector para sua organização, sua equipe o obtém automaticamente na primeira vez que faz login. Com a autenticação gerenciada por IdP, a identidade é herdada dos grupos e funções do provedor de identidade existente. Com a autenticação emitida pelo Claude, os usuários são correspondidos no conector por endereço de email.
O que você controla
Você decide quais conectores estão habilitados, quais grupos ou funções os obtêm e em qual nível de acesso:
Autentique conectores uma vez para sua organização, e o acesso é concedido à sua equipe automaticamente.
Use permissões baseadas em funções para escolher exatamente quais funções obtêm cada conector, para que diferentes equipes obtenham o acesso adequado ao seu trabalho. Veja Escolha quais funções obtêm autenticação gerenciada abaixo.
Escolha quais permissões o Claude pode solicitar quando os membros se conectam através de seu provedor de identidade e restrinja ainda mais para funções individuais.
Revogar acesso. Com a autenticação gerenciada por IdP, desprovisionar alguém em seu provedor de identidade remove seu acesso ao conector ao mesmo tempo. Com a autenticação emitida pelo Claude, remover alguém de sua organização Claude impede que o Claude os conecte. Remova-os do serviço conectado também.
Exija que um conector se conecte apenas através de autorização gerenciada para que contas pessoais fiquem fora das ferramentas de trabalho.
Nota: Cada conector e seu provedor de identidade, se você usar um, é operado por terceiros sob seus próprios termos. Com a autenticação gerenciada por IdP, o Claude retransmite a autorização que seu provedor de identidade emite, e as decisões de acesso, escopo e os dados que cada conector pode acessar são governados pelas políticas do seu provedor de identidade e pelas permissões do serviço conectado, não pela Anthropic. Com a autenticação emitida pelo Claude, o Claude assina o login para membros atuais de sua organização.
Por sua instrução, a Anthropic envia o endereço de email de cada membro e um identificador exclusivo para o conector. O Claude verifica apenas a associação à organização, não SSO, MFA ou as próprias regras de login do conector. As decisões de acesso, escopo e os dados que cada conector pode acessar são governados pelas suas configurações do Claude e pelas permissões do serviço conectado.
Os tempos de vida e ciclo de vida do token são gerenciados pelo servidor de autorização conectado e, com a autenticação gerenciada por IdP, seu provedor de identidade. As sessões existentes terminam quando o token de acesso do conector expira ou é revogado.
Escolha quais funções obtêm autenticação gerenciada
Quando você configura a autenticação gerenciada pela empresa para um conector, você escolhe quais funções herdam o conector quando você configura permissões baseadas em funções. Você pode usar permissões baseadas em funções para testar um conector com uma equipe específica antes de ativá-lo para toda a sua organização.
Vá para Configurações da organização > Conectores e selecione um conector.
Na guia Configuração, clique em "Configurar" ao lado de Autorização gerenciada.
Na etapa Conectar, escolha uma Fonte de identidade:
Gerenciada por IdP: Confirme sua conexão com o provedor de identidade. Siga o guia de configuração para configurar a autenticação gerenciada pela empresa para este conector em seu provedor de identidade e para habilitar a autenticação gerenciada nas próprias configurações de administrador do conector. Clique em "Executar teste" para confirmar que a conexão funciona.
Emitida pelo Claude: Siga as etapas em Configurar autenticação emitida pelo Claude abaixo.
Na etapa Funções, selecione quem deve obter este conector automaticamente.
Usuário, Admin, Proprietário, Proprietário principal: as funções integradas de sua organização, como um grupo.
Qualquer função personalizada, selecionada individualmente.
Para testar um conector com uma equipe, selecione apenas a função personalizada dessa equipe e deixe as funções integradas desmarcadas. Os membros nas funções Usuário, Admin, Proprietário ou Proprietário Principal não obterão o conector até que você volte e adicione essa opção.
Na etapa Escopos, escolha quais permissões o Claude pode solicitar quando os membros se conectam. Estas se aplicam a todas as funções que você selecionou. Para restringir permissões para uma função específica, use a guia Conectores dessa função (veja abaixo).
Clique em "Salvar e ativar."
Depois de configurado, a guia Configuração do conector mostra seu estado atual: Funções aplicadas lista quais funções se conectam através de autorização gerenciada, e Escopos mostra o que foi concedido. Para expandir um piloto, clique em "Editar" ao lado de Funções aplicadas e adicione "Usuário, Admin, Proprietário, Proprietário Principal" ou mais funções personalizadas.
Nota: Login no navegador e Autorização gerenciada podem estar ativados para um conector ao mesmo tempo. Quando estão, o Claude tenta Autorização gerenciada primeiro e solicita ao usuário que se conecte individualmente se isso falhar, para que os membros não fiquem bloqueados enquanto um problema do provedor de identidade é resolvido.
Configurações do conector dentro de uma função personalizada
Você também pode começar a partir de uma função em Configurações da organização > Funções em vez de um conector. Na guia Conectores de uma função personalizada, Como os membros se conectam controla como os membros dessa função se autenticam, em todos os conectores de uma vez ou por conector:
Individualmente: os membros se conectam com suas próprias contas.
Autorização gerenciada: os membros se conectam através da fonte de identidade definida para cada conector.
Definir por conector: escolha individualmente para cada conector.
Use autenticação emitida pelo Claude
Com a autenticação emitida pelo Claude, o Claude envia uma asserção assinada para o conector, sob uma URL de emissor exclusiva para sua organização. O serviço conectado usa essa URL para confirmar que o Claude assinou o login para um membro atual de sua organização, portanto, o serviço deve listá-la como um emissor confiável.
Você não precisa de um provedor de identidade ou SSO, embora ainda recomendemos aplicar SSO para sua organização Claude. O Claude verifica apenas a associação à organização, não SSO, MFA ou as próprias regras de login do conector.
Nota: A autenticação emitida pelo Claude está em beta.
Antes de começar
Um conector suportado: Apenas conectores cujo provedor suporta autenticação emitida pelo Claude podem usá-la. Veja Conectores abaixo.
Um administrador do serviço conectado: Você precisa de alguém que possa adicionar um emissor confiável ao seu espaço de trabalho. Isso pode ser você.
Correspondência de endereços de email: Os usuários são correspondidos por email, portanto, o email do Claude de cada usuário deve corresponder ao email em sua conta no serviço conectado.
Os próprios requisitos do provedor: Alguns provedores têm seus próprios requisitos, como SSO do seu lado. Verifique o guia de configuração do provedor.
Cada conector usa uma fonte de identidade por vez. Você pode mudar mais tarde na mesma tela de configuração.
Configurar autenticação emitida pelo Claude
Configure a autenticação emitida pelo Claude uma vez para cada conector.
Vá para Configurações da organização > Conectores e selecione um conector.
Na guia Configuração, clique em "Configurar" ao lado de Autorização gerenciada.
Na etapa Conectar, selecione "Emitida pelo Claude" em Fonte de identidade.
Copie a URL do emissor.
No console de administrador do serviço conectado, adicione a URL como um emissor confiável para seu espaço de trabalho. Siga o guia de configuração do provedor, vinculado a partir da etapa Conectar. Se você não for um administrador desse serviço, compartilhe a URL e o guia com alguém que seja.
Se o serviço conectado fornecer uma ID de espaço de trabalho ou locatário, cole-a no campo de locatário no Claude.
De volta ao Claude, clique em "Testar conexão" para executar o teste de conexão e depois clique em "Habilitar e continuar".
Escolha quem obtém o conector. Todas as funções o obtêm por padrão.
Se o teste falhar, verifique se a URL do emissor é confiável no espaço de trabalho correto, se a ID do locatário está correta e se o espaço de trabalho tem uma conta com seu endereço de email.
Para desativar a autenticação emitida pelo Claude, abra as configurações de Autorização gerenciada do conector e escolha "Desabilitar". Os usuários então se conectam ao serviço por conta própria.
O que os usuários veem
O conector já está conectado na primeira vez que um usuário precisa dele, sem página de login ou tela de consentimento. Um usuário cujo email não corresponde a uma conta no serviço conectado não é conectado automaticamente e vê o prompt Conectar usual.
Antes de anunciar o conector para sua organização, peça a dois ou três usuários para confirmar que está conectado e executar uma solicitação real.
Quando alguém sai de sua organização
O Claude assina apenas para membros atuais de sua organização. Quando você remove alguém, o Claude para de assiná-los nos serviços conectados, mas o acesso já concedido em um serviço dura até expirar. Remova-os de cada serviço conectado antes que esse endereço de email seja reutilizado, ou uma nova pessoa com esse endereço pode ser assinada na conta antiga.
Se você usar sincronização de diretório (SCIM), verifique se a pessoa não aparece mais em sua lista de membros. O Claude remove um membro quando seu diretório os exclui, mas não quando seu diretório apenas os suspende ou marca como inativos.
O que funciona com autenticação gerenciada pela empresa
A autenticação gerenciada pela empresa funciona com os conectores que suas equipes usam diariamente. Com a autenticação gerenciada por IdP, seu provedor de identidade controla quem obtém acesso. Com a autenticação emitida pelo Claude, o Claude assina membros atuais de sua organização.
Provedores de identidade
A autenticação gerenciada por IdP requer SSO com um provedor de identidade suportado. Okta é suportado, com mais provedores de identidade em breve. Veja a documentação do Okta para mais detalhes.
A autenticação emitida pelo Claude não usa um provedor de identidade, portanto, nenhuma configuração de provedor de identidade é necessária.
Conectores
Atualmente, você pode provisionar estes conectores através da autenticação gerenciada pela empresa:
Amplitude (veja a documentação do Amplitude)
Apollo.io (veja a documentação do Apollo)
Asana (veja a documentação do Asana)
Atlassian (veja a documentação do Atlassian)
Canva (veja a documentação do Canva)
Crossbeam (veja a documentação do Crossbeam)
Datadog (veja a documentação do Datadog)
Dropbox (veja a documentação do Dropbox)
Figma (veja a documentação do Figma)
Granola (veja a documentação do Granola)
HubSpot (veja a documentação do HubSpot)
Linear (veja a documentação do Linear)
Lovable (veja a documentação do Lovable)
Mixpanel (veja a documentação do Mixpanel)
Monday.com (veja a documentação do Monday)
Notion (veja a documentação do Notion)
PagerDuty (veja a documentação do Pagerduty)
Semrush (veja a documentação do Semrush)
Slack (veja a documentação do Slack)
Supabase (veja a documentação do Supabase)
Desbloqueado
A autenticação emitida pelo Claude funciona apenas com conectores cujo provedor a suporta. A versão beta inclui: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush e Supabase.
Qualquer provedor MCP pode adicionar suporte para autenticação gerenciada pela empresa. Veja Autorização Gerenciada pela Empresa para mais detalhes.
Conectores pessoais
Sua equipe ainda pode adicionar conectores pessoais além do que você provisiona. A autenticação gerenciada pela empresa lida com os conectores que você habilita para sua organização, enquanto indivíduos podem conectar serviços adicionais para seu próprio uso.