В этой статье объясняется, как работает управляемая аутентификация Enterprise и как администраторы могут авторизовать соединители для своей организации через поставщика удостоверений или напрямую с помощью аутентификации, выданной Claude. При управляемой аутентификации Enterprise вы авторизуете соединитель один раз для всей организации, и ваша команда автоматически получает доступ при первом входе.
Управляемая аутентификация Enterprise доступна для планов Team и Enterprise в Claude. Аутентификация, управляемая IdP, общедоступна, а аутентификация, выданная Claude, находится в бета-версии.
Что такое управляемая аутентификация Enterprise?
Управляемая аутентификация Enterprise — это модель авторизации и аутентификации для соединителей в Claude. Вместо того чтобы каждый человек аутентифицировал каждый соединитель отдельно, администраторы централизованно предоставляют доступ к соединителям.
Каждый соединитель использует один из двух источников удостоверений:
Управляемая IdP: Ваш поставщик удостоверений полагается на включенный единый вход (SSO) в Claude и соединителе. При наличии этого IdP подписывает пользователя в соединителе.
Выданная Claude (бета): Claude может указать соединителю, какой пользователь вошел в Claude, и использовать эту информацию для соединителя под URL издателя, уникальным для вашей организации. Вам не нужен поставщик удостоверений или SSO.
После включения соединителя для вашей организации ваша команда получает его автоматически при первом входе. При аутентификации, управляемой IdP, удостоверение наследуется из существующих групп и ролей поставщика удостоверений. При аутентификации, выданной Claude, пользователи сопоставляются в соединителе по адресу электронной почты.
Что вы контролируете
Вы решаете, какие соединители включены, какие группы или роли их получают и на каком уровне доступа:
Аутентифицируйте соединители один раз для вашей организации, и доступ автоматически предоставляется вашей команде.
Используйте разрешения на основе ролей, чтобы выбрать точно, какие роли получают каждый соединитель, чтобы разные команды получали доступ, соответствующий их работе. См. Выберите, какие роли получают управляемую аутентификацию ниже.
Выберите, какие разрешения Claude может запросить, когда члены подключаются через вашего поставщика удостоверений, и сузьте это дополнительно для отдельных ролей.
Отозвать доступ. При аутентификации, управляемой IdP, удаление пользователя из вашего поставщика удостоверений одновременно удаляет его доступ к соединителю. При аутентификации, выданной Claude, удаление пользователя из вашей организации Claude предотвращает Claude от подписания их входа. Удалите их также из подключенного сервиса.
Требуйте, чтобы соединитель подключался только через управляемую авторизацию, чтобы личные учетные записи не попадали в рабочие инструменты.
Примечание: Каждый соединитель и ваш поставщик удостоверений, если вы его используете, управляются третьей стороной в соответствии с его собственными условиями. При аутентификации, управляемой IdP, Claude передает авторизацию, выданную вашим поставщиком удостоверений, и решения о доступе, область действия и данные, которые может получить каждый соединитель, регулируются политиками вашего поставщика удостоверений и разрешениями подключенного сервиса, а не Anthropic. При аутентификации, выданной Claude, Claude подписывает вход для текущих членов вашей организации.
По вашему указанию Anthropic отправляет адрес электронной почты каждого члена и уникальный идентификатор соединителю. Claude проверяет только членство в организации, а не SSO, MFA или собственные правила входа соединителя. Решения о доступе, область действия и данные, которые может получить каждый соединитель, регулируются вашими параметрами Claude и разрешениями подключенного сервиса.
Время жизни токена и жизненный цикл управляются подключенным сервером авторизации и, при аутентификации, управляемой IdP, вашим поставщиком удостоверений. Существующие сеансы заканчиваются, когда маркер доступа соединителя истекает или отзывается.
Выберите, какие роли получают управляемую аутентификацию
При настройке управляемой аутентификации Enterprise для соединителя вы выбираете, какие роли наследуют соединитель при настройке разрешений на основе ролей. Вы можете использовать разрешения на основе ролей для пилотного тестирования соединителя с конкретной командой перед его включением для всей организации.
Перейдите в Параметры организации > Соединители и выберите соединитель.
На вкладке Конфигурация нажмите «Настроить» рядом с Управляемая авторизация.
На этапе Подключение выберите Источник удостоверений:
Управляемая IdP: Подтвердите подключение вашего поставщика удостоверений. Следуйте руководству по настройке, чтобы настроить управляемую аутентификацию Enterprise для этого соединителя в вашем поставщике удостоверений и включить управляемую аутентификацию в собственных параметрах администратора соединителя. Нажмите «Запустить тест», чтобы подтвердить, что подключение работает.
Выданная Claude: Следуйте инструкциям в разделе Настройка аутентификации, выданной Claude ниже.
На этапе Роли выберите, кто должен получить этот соединитель автоматически.
Пользователь, администратор, владелец, основной владелец: встроенные роли вашей организации как группа.
Любая пользовательская роль, выбранная отдельно.
Для пилотного тестирования соединителя с одной командой выберите только пользовательскую роль этой команды и оставьте встроенные роли без проверки. Члены с ролью «Пользователь», «Администратор», «Владелец» или «Основной владелец» не получат соединитель, пока вы не вернетесь и не добавите этот параметр.
На этапе Области выберите, какие разрешения Claude может запросить, когда члены подключаются. Они применяются ко всем выбранным ролям. Чтобы сузить разрешения для конкретной роли, используйте вместо этого вкладку Соединители этой роли (см. ниже).
Нажмите «Сохранить и включить».
После настройки вкладка «Конфигурация» соединителя показывает его текущее состояние: Применяемые роли указывает, какие роли подключаются через управляемую авторизацию, а Области показывает, что предоставлено. Чтобы расширить пилот, нажмите «Редактировать» рядом с Применяемые роли и добавьте «Пользователь, администратор, владелец, основной владелец» или дополнительные пользовательские роли.
Примечание: Вход в браузер и Управляемая авторизация могут быть включены для соединителя одновременно. Когда они включены, Claude сначала пытается использовать Управляемую авторизацию и предлагает пользователю войти отдельно, если это не удается, чтобы члены не были заблокированы во время решения проблемы с поставщиком удостоверений.
Параметры соединителя внутри пользовательской роли
Вы также можете начать с роли в Параметры организации > Роли вместо соединителя. На вкладке Соединители пользовательской роли Как члены подключаются контролирует, как члены этой роли аутентифицируются, для каждого соединителя сразу или для каждого соединителя отдельно:
Отдельно: члены входят со своими собственными учетными записями.
Управляемая авторизация: члены подключаются через источник удостоверений, установленный для каждого соединителя.
Установить для каждого соединителя: выберите отдельно для каждого соединителя.
Использование аутентификации, выданной Claude
При аутентификации, выданной Claude, Claude отправляет подписанное утверждение соединителю под URL издателя, уникальным для вашей организации. Подключенный сервис использует этот URL для подтверждения того, что Claude подписал вход для текущего члена вашей организации, поэтому сервис должен указать его как доверенного издателя.
Вам не нужен поставщик удостоверений или SSO, хотя мы все еще рекомендуем применять SSO для вашей организации Claude. Claude проверяет только членство в организации, а не SSO, MFA или собственные правила входа соединителя.
Примечание: Аутентификация, выданная Claude, находится в бета-версии.
Перед началом
Поддерживаемый соединитель: Только соединители, поставщик которых поддерживает аутентификацию, выданную Claude, могут ее использовать. См. Соединители ниже.
Администратор подключенного сервиса: Вам нужен кто-то, кто может добавить доверенного издателя в вашу рабочую область. Это можете быть вы.
Сопоставление адресов электронной почты: Пользователи сопоставляются по электронной почте, поэтому адрес электронной почты каждого пользователя в Claude должен совпадать с адресом электронной почты в его учетной записи в подключенном сервисе.
Собственные требования поставщика: Некоторые поставщики имеют свои собственные требования, такие как SSO с их стороны. Проверьте руководство по настройке поставщика.
Каждый соединитель использует один источник удостоверений одновременно. Вы можете переключиться позже на том же экране настройки.
Настройка аутентификации, выданной Claude
Настройте аутентификацию, выданную Claude, один раз для каждого соединителя.
Перейдите в Параметры организации > Соединители и выберите соединитель.
На вкладке Конфигурация нажмите «Настроить» рядом с Управляемая авторизация.
На этапе Подключение выберите «Выданная Claude» под Источник удостоверений.
Скопируйте URL издателя.
В консоли администратора подключенного сервиса добавьте URL как доверенного издателя для вашей рабочей области. Следуйте руководству по настройке поставщика, ссылка на которое находится на этапе Подключение. Если вы не являетесь администратором этого сервиса, поделитесь URL и руководством с кем-то, кто является.
Если подключенный сервис предоставляет вам идентификатор рабочей области или клиента, вставьте его в поле клиента в Claude.
Вернувшись в Claude, нажмите «Проверить подключение», чтобы запустить тест подключения, затем нажмите «Включить и продолжить».
Выберите, кто получит соединитель. По умолчанию его получают все роли.
Если тест не пройден, проверьте, что URL издателя является доверенным в правильной рабочей области, что идентификатор клиента правильный и что рабочая область имеет учетную запись с вашим адресом электронной почты.
Чтобы отключить аутентификацию, выданную Claude, откройте параметры Управляемая авторизация соединителя и выберите «Отключить». Затем пользователи подключаются к сервису самостоятельно.
Что видят пользователи
Соединитель уже подключен в первый раз, когда пользователь его нужен, без страницы входа или экрана согласия. Пользователь, адрес электронной почты которого не совпадает с учетной записью в подключенном сервисе, не подключается автоматически и видит обычное приглашение подключения.
Перед объявлением соединителя вашей организации попросите двух или трех пользователей подтвердить, что он подключен, и запустить реальный запрос.
Когда кто-то покидает вашу организацию
Claude подписывает только текущих членов вашей организации. Когда вы удаляете кого-то, Claude прекращает подписывать их вход в подключенные сервисы, но доступ, уже предоставленный в сервисе, действует до истечения срока. Удалите их из каждого подключенного сервиса перед повторным использованием этого адреса электронной почты, или новый человек с этим адресом может быть подписан в старую учетную запись.
Если вы используете синхронизацию каталогов (SCIM), проверьте, что пользователь больше не отображается в списке членов. Claude удаляет члена, когда ваш каталог его удаляет, но не когда ваш каталог только приостанавливает его или отмечает как неактивный.
Что работает с управляемой аутентификацией Enterprise
Управляемая аутентификация Enterprise работает с соединителями, которые ваши команды используют ежедневно. При аутентификации, управляемой IdP, ваш поставщик удостоверений контролирует, кто получает доступ. При аутентификации, выданной Claude, Claude подписывает вход текущих членов вашей организации.
Поставщики удостоверений
Аутентификация, управляемая IdP, требует SSO с поддерживаемым поставщиком удостоверений. Okta поддерживается, и вскоре будут добавлены дополнительные поставщики удостоверений. Дополнительные сведения см. в документации Okta.
Аутентификация, выданная Claude, не использует поставщика удостоверений, поэтому настройка поставщика удостоверений не требуется.
Соединители
В настоящее время вы можете предоставить эти соединители через управляемую аутентификацию Enterprise:
Amplitude (см. документацию Amplitude)
Apollo.io (см. документацию Apollo)
Asana (см. документацию Asana)
Atlassian (см. документацию Atlassian)
Canva (см. документацию Canva)
Crossbeam (см. документацию Crossbeam)
Datadog (см. документацию Datadog)
Dropbox (см. документацию Dropbox)
Figma (см. документацию Figma)
Granola (см. документацию Granola)
HubSpot (см. документацию HubSpot)
Linear (см. документацию Linear)
Lovable (см. документацию Lovable)
Mixpanel (см. документацию Mixpanel)
Monday.com (см. документацию Monday)
Notion (см. документацию Notion)
PagerDuty (см. документацию Pagerduty)
Semrush (см. документацию Semrush)
Slack (см. документацию Slack)
Supabase (см. документацию Supabase)
Разблокировано
Аутентификация, выданная Claude, работает только с соединителями, поставщик которых ее поддерживает. Бета-версия включает: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush и Supabase.
Любой поставщик MCP может добавить поддержку управляемой аутентификации Enterprise. Дополнительные сведения см. в разделе Enterprise-Managed Authorization.
Личные соединители
Ваша команда все еще может добавлять личные соединители поверх того, что вы предоставляете. Управляемая аутентификация Enterprise обрабатывает соединители, которые вы включаете для своей организации, в то время как отдельные лица могут подключать дополнительные сервисы для собственного использования.