自定义角色适用于企业计划组织。所有者、主要所有者以及将身份和访问权限设置为
什么是自定义角色？
自定义角色让您定义成员可以访问哪些功能。每个自定义角色包含一组权限，这些权限授予或限制对特定功能（如聊天、Claude Cowork、Claude Code 和网络搜索）以及您的组织添加的连接器（如 Slack 或 Google Drive）的访问权限。
自定义角色也可以授予管理员权限，这使成员可以访问特定的管理区域（如计费、身份或隐私），而无需将其设为所有者。自定义角色也可以通过所有者访问权限授予所有者的所有管理员权限。
自定义角色与组一起工作。典型的工作流程是：创建自定义角色，将其分配给组，然后将成员的角色设置为
注意：自定义角色仅影响角色设置为
注意：启用 SCIM 目录同步和组映射后，每个成员的角色由同步拥有。在启用组映射之前角色设置为
功能访问如何工作
功能访问由四级优先级链确定，其中最严格的级别获胜：
平台级覆盖：某些功能可能由 Anthropic 根据您的合同为您的组织强制启用或强制禁用。这些无法在组织设置中更改。
组织级设置：所有者或主要所有者可以为整个组织切换功能的开启或关闭。如果在组织级别禁用了某个功能，则任何自定义角色都无法授予对其的访问权限。
自定义角色权限：如果在组织级别启用了该功能，成员的自定义角色将确定他们是否可以访问它。如果成员的任何自定义角色授予该功能，他们就拥有它。
用户级设置：如果在角色级别授予了该功能，除非成员在自己的设置中禁用了它，否则该功能可用。
关键要点：组织级切换是主开关。自定义角色是其下的按成员切换。在自定义角色可以控制谁获得访问权限之前，必须在组织级别启用该功能。
注意：此优先级链适用于功能。管理员权限不受组织级切换或成员自己的设置的限制。如果成员的自定义角色授予管理员权限，他们就拥有该访问权限。
可用功能
每个自定义角色可以授予或限制对以下功能的访问：
功能 | 描述 |
聊天 | 在网络、桌面和移动应用上访问聊天。 |
代码执行和文件创建 | 在对话中运行代码和创建文件的能力。 |
记忆 | 在对话中使用记忆的能力。 |
网络搜索 | 在对话中使用网络搜索的能力。 |
共享项目 | 与其他用户、组或您的组织共享项目的能力。关闭此功能不会更改现有共享。 |
公开项目 | 与组织中的所有人共享项目的能力。 |
创建技能 | 创建或上传自定义技能的能力。 |
与组织成员共享技能和插件 | 与组织中的特定人员共享技能和插件的能力。 |
与整个组织共享技能 | 一次与组织中的所有人共享技能的能力。 |
与组共享技能和插件 | 与组织中的某个组共享技能和插件的能力。 |
技能和插件安全扫描 | 在上传技能和插件时运行扫描以捕获可能的安全问题的能力。 |
Claude Code | 访问 Claude Code。 |
云会话 | 在云中运行 Claude Code 会话的能力。关闭此功能时，用户也无法使用 Claude Code 远程控制或在 Claude Security 中启动修复。 |
Claude Code 远程控制 | 从 claude.ai/code 或 Claude Mobile 控制在自己计算机上运行的 Claude Code 会话的能力。需要云会话。 |
快速模式 | 访问 Claude Code 的更快模型选项。 |
Claude Code 动态工作流* | 访问 Claude Code 中的动态工作流，让 Claude 在单个会话中从头到尾运行大型工程任务（如迁移、审计、代码库范围的错误搜索）。这些运行可能持续数小时，并使用比典型会话更多的令牌。 |
Claude Security | 使用 Claude 查找并修复代码中的安全漏洞。 |
Artifacts | 能够从 Claude Code 和 Cowork 创建和发布制品，以及在组织内共享制品。没有此权限的用户仍可打开与他们共享的制品、对其进行评论和更改数据（最高可达贡献者访问权限）。他们无法创建、编辑、发布或共享制品。 |
Design | 能够在对话和 Artifacts 标签页中使用 Claude Design 创建设计。没有此权限的用户仍可打开、评论和使用与他们共享的设计。 |
Docs | 能够使用 Claude Docs 创建文档。没有此权限的用户仍可打开与他们共享的文档。 |
Slides | 能够使用 Claude Slides 创建幻灯片。没有此权限的用户仍可打开与他们共享的幻灯片。 |
Design systems | 能够创建和编辑设计系统。 |
Motion | 能够制作在原地播放并导出为视频的短动画。 |
Claude Design [standalone] | 访问位于 claude.ai/design 的独立 Claude Design。这不控制对话和 Artifacts 标签页中的 Claude Design，后者有自己的权限 Design（在 Artifacts 下）。 |
Cowork | 访问 Claude Cowork。 |
云中的 Cowork | 让成员在 Anthropic 的基础设施上运行 Cowork 任务，而不是在自己的计算机上，这样任务可以在桌面、网页和移动设备上持续运行。 |
Claude for Chrome | 访问 Claude for Chrome，这是一个浏览器扩展，让 Claude 代表用户浏览网页并对其进行操作。 |
*Claude Code 动态工作流默认为整个组织启用。由于单次运行可能持续数小时并使用比典型会话更多的令牌，请决定哪些角色应有访问权限。对于自定义角色的成员，此权限遵循加法模型（如其他权限一样）——角色必须授予此权限，这些成员才能使用它。要限制特定组，请在其角色中关闭此权限。
可以通过 managed-settings.json 在组织范围内禁用此功能，方法是在托管设置中添加 "disableWorkflows": true。
所有者可以通过转到 组织设置 > Claude Code 并关闭 工作流 来在整个组织中关闭此功能。
注意：默认为所有自定义角色（包括在添加此权限之前创建的角色）启用聊天。如果要限制特定角色的聊天，请在编辑该角色时关闭它。
已授予 Claude Code 的自定义角色已启用云会话和 Claude Code 远程控制，因此用户的访问权限不会改变。要限制其中任何一个，请在角色的 权限 标签页上的 Claude Code 下关闭它。
一次授予所有权限
您可以一次性为角色授予所有权限，而不是逐个切换权限。创建或编辑角色时，在 权限 标签页上为 权限访问 选择一个选项：
所有权限：为角色授予所有权限，包括测试版和研究预览中的权限。
所有正式发布的权限：为角色授予所有正式发布的权限。
设置为任一选项的角色会在新权限推出时自动获取。设置为
创建自定义角色
导航到 组织设置 > 角色。
点击
输入角色名称（例如
选择要分配给该角色的组。
切换每个权限的开关以定义此角色授予的内容，或选择
配置权限。您可以为每个管理设置选择
配置连接器。您可以为所有连接器选择
配置模型。选择此角色可以使用的模型，可选择为每个模型设置最大工作量级别，并可选择为角色选择默认模型和默认工作量级别。
点击
编辑自定义角色
导航到 组织设置 > 角色。
点击要编辑的角色。
根据需要更新名称和组，或切换权限、连接器和模型。
点击
角色更改可能需要长达 15 分钟才能生效，成员可能需要刷新浏览器。分配给此角色的组中的所有成员都会受到影响。
删除自定义角色
点击任何自定义角色上的菜单按钮，然后选择"删除角色"。删除角色会从分配给它的所有组中移除其权限。这些组中的成员会失去该角色授予的权限，除非其链中的另一个角色也授予了这些权限。
将组分配给自定义角色
自定义角色分配给组，而不是直接分配给个人成员。要将组分配给角色：
导航到 组织设置 > 角色。
点击要分配的角色。
在组选择器中，选择一个或多个组。
点击"保存角色"。
您也可以在 组织设置 > 组 中创建或编辑组时分配自定义角色。请参阅 在企业计划中管理组和组支出限制。
权限如何跨多个角色组合
如果成员属于具有不同自定义角色的多个组，其权限是累加的——他们获得其链中所有角色的所有权限的并集。如果任何角色授予某项功能，成员就可以访问它。
这意味着您不能使用一个角色来移除另一个角色授予的权限。这是设计使然——它支持分层方法，其中基础角色涵盖常见功能，其他角色在特定功能和管理员权限上分层。
示例：成员在两个组中。"所有用户"组分配了具有网络搜索和记忆功能的"标准访问"角色。"工程"组分配了具有 Cowork 和 Claude Code 的"开发者"角色。成员获得所有四项：网络搜索、记忆、Cowork 和 Claude Code。
查看成员或组的有效角色
当成员属于多个组，其角色授予不同的功能时，很难判断他们实际上可以做什么。"查看有效角色"选项显示组合结果：成员拥有的每项功能、管理员权限和连接器，以及授予每项的角色。
模态框列出成员的分配角色和三个选项卡：
功能：每项功能都带有
权限：每个管理员权限区域及其有效级别（无访问权限、可查看或可管理）以及授予它的角色。
连接器：每个连接器的有效权限级别以及授予它的角色。
此视图是只读的。要更改成员可以执行的操作，请编辑分配给其组的角色。
注意："查看有效角色"仅对角色设置为"自定义"且通过组分配了至少一个自定义角色的成员显示。具有内置角色（用户、管理员、所有者或主要所有者）的成员直接从该角色获得其权限，因此没有什么需要计算的。
管理员权限
自定义角色除了可以授予功能和连接器权限外，还可以授予管理员权限。管理员权限使成员可以访问特定的管理区域（如计费或隐私），而无需成为所有者。您可以在角色编辑器的权限选项卡中配置管理员权限。
注意：管理员权限仅适用于角色设置为"自定义"的成员。具有用户、管理员、所有者或主要所有者角色的成员保留这些角色授予的访问权限。
管理员权限级别
在权限选项卡上，您将每个权限区域设置为以下三个级别之一：
无访问权限：成员在其组织设置中看不到此区域。
可查看：查看授予只读访问权限。成员看到的页面和设置与可以管理该区域的人相同，但每个控件都被禁用或显示为只读。对于合规审查员、财务审计员、安全团队或任何需要查看配置而不更改配置的人，请使用此权限级别。
可管理：管理授予对该区域的完全读写访问权限，并包括查看访问权限。
在一个区域内，您授予所有查看或所有管理权限。您不能授予或限制单个页面或设置。
可用的管理员权限
有八个管理员权限区域：
区域 | 查看 | 管理 |
身份和访问 | SSO 和 SAML 配置、已验证的域、域成员资格、IP 允许列表、会话设置、组定义、角色定义和预配设置 | 编辑 SSO、管理域、编辑 IP 允许列表、编辑会话设置、创建和编辑组和角色以及配置预配 |
计费 | 计划详情、座位数、发票、账单地址和使用支出 | 更改座位、更新付款方式、编辑账单地址以及配置支出限制和额外使用 |
分析 | 使用分析、Claude Code 分析、功能采用指标和调查（创建和查看） | 不可用 |
隐私 | 数据保留设置、导出配置、共享设置、地理位置设置、仅限美国推理设置和加密密钥状态 | 编辑保留期、运行数据导出、更改共享设置以及配置地理位置、仅限美国推理和加密 |
用户管理 | 不可用 | 邀请成员、更改成员角色、移除成员以及管理待处理邀请 |
库 | 组织插件和技能、市场、发布请求和连接器 | 添加、编辑和移除组织共享的技能、插件和连接器。还包括目录管理。 |
目录管理 | 不可用 | 提交和管理目录列表，以及查看您的组织已发布的列表的可观测性 |
Claude 设计管理员 | 不可用 | 发布设计系统、设置组织的默认设计系统以及删除设计系统 |
注意：具有身份和访问权限设置为"可管理"的角色可以创建和编辑组和角色（包括其自身的角色定义），并可以启用所有者访问权限。拥有此权限的成员可以扩展自己的访问权限，因此请将其保留给受信任的安全和 IT 管理员。
所有者访问权限（测试版）
所有者访问权限权限为自定义角色提供所有者的所有管理权限。所有者直接从所有者角色获得权限并跳过自定义角色，因此到目前为止，您必须在将某人设为所有者和使用自定义角色管理其访问权限之间进行选择。通过所有者访问权限，用户可以拥有完整的管理员访问权限，同时其功能、连接器和模型仍由分配给其组的自定义角色管理。
所有者、主要所有者和具有身份和访问权限设置为"可管理"的自定义角色可以启用所有者访问权限。它与所有者角色匹配，而不是主要所有者角色。
要为角色授予所有者访问权限：
导航到组织设置 > 角色。
打开要编辑的角色，或单击"添加角色"以创建新角色。
在权限选项卡上，启用所有者访问权限。
单击"保存角色"。
所有者访问权限仅适用于其角色设置为"自定义"且在分配给该角色的组中的用户。将所有者的角色更改为"自定义"会移除其内置的所有者访问权限，因此在更改其角色之前请将其添加到组中。如果角色来自具有组映射的目录同步，请将用户的身份提供者组映射到"自定义"而不是所有者。
每个权限的可用组织设置页面
组织设置页面 | 所需权限 | 注释 |
账单 | 账单（查看或管理） | 计划、座位、地址和发票 |
使用情况 | 账单（查看或管理） | 支出限制、积分和额外使用 |
成员 | 用户管理（管理） | 无仅查看模式 |
组 | 身份和访问（查看或管理） |
|
角色 | 身份和访问（查看或管理） |
|
模型 | 身份和访问（查看或管理） | 默认模型和模型访问权限 |
组织和访问（部分） | 身份和访问（查看或管理） | 解锁单点登录（SSO/SAML、组映射、预配）、已验证的域和域成员资格、IP 允许列表、会话设置、限制组织创建和组织合并请求。此页面上的其他部分（如组织名称、默认功能设置和组织范围的系统提示）仍需要所有者角色 |
数据和隐私 | 隐私（查看或管理） |
|
分析 | 分析（查看） | 通过用户菜单中的分析功能访问，而不是组织设置 |
插件和技能 | 库（查看或管理） | 使用"查看"时，页面为只读：没有添加菜单、没有可用性设置，也无法批准或拒绝发布请求 |
连接器 | 库（查看或管理） |
|
目录 | 目录管理（管理） |
|
管理员权限不涵盖的内容
以下内容仅对所有者和主要所有者可用，即使成员具有管理员权限也是如此：
管理所有者和管理员。管理员权限无法授予或撤销所有者、管理员或主要所有者内置角色。只有所有者才能管理其他所有者。
API 密钥和工作区。API 密钥管理、工作区设置和 Claude 控制台管理不在管理员权限范围内。
合规性和安全密钥。合规性 API 设置和安全密钥管理仅限所有者。
组织级功能设置。组织级别启用的功能由单独的设置控制，不属于管理员权限的一部分。
管理员权限受限时成员看到的内容
如果成员无权访问特定的管理员权限，该部分不会在其组织设置中显示。仅显示其权限涵盖的部分。
连接器权限
自定义角色还控制角色可以使用哪些连接器以及这些连接器上的哪些工具。功能涵盖 Claude 的内置功能，而连接器权限涵盖您已连接到组织的应用和服务，例如 Slack、Google Drive 或 Jira。您可以在角色编辑器的连接器选项卡上设置它们，该选项卡位于功能和权限选项卡旁边。
注意：连接器权限仅适用于角色设置为"自定义"的成员。具有用户、管理员或所有者角色的成员可以看到为您的组织启用的每个连接器，受您的组织范围内每个连接器的工具策略限制。所有者和管理员始终可以看到每个连接器，以便他们可以配置它，无论任何角色的连接器权限如何。
权限级别
在连接器选项卡上，您可以将所有连接器、每个连接器或连接器上的每个工具设置为以下三个级别之一：
始终允许：连接器上的每个工具都可用，成员可以将其个人批准设置为"始终允许"以跳过每次调用确认。
需要批准：每个工具都可用，但成员需要确认每次调用。"始终允许"选项已从其这些工具的个人批准菜单中删除。
已阻止：连接器或工具被隐藏。Claude 无法看到或调用它。
连接器也可以设置为自定义，这样您可以单独设置其每个工具。有关完整设置，请参阅在企业计划上设置基于角色的权限。
如何确定连接器访问权限
连接器或工具在成员可以使用它之前会经过多个层级，按以下顺序进行评估：
角色授予。角色上的每个连接器或工具设置为"始终允许"、"需要批准"或"已阻止"。
跨成员的角色。如果成员的组给予他们多个角色，则每个工具的最宽松授予适用。连接器权限在角色之间是累加的，与功能相同。
组织范围内的工具策略。您在组织设置 > 连接器下为每个连接器设置的每工具策略是上限。对于每个工具，Claude 将成员的角色授予与此策略进行比较，并应用更严格的一个。角色授予在策略内缩小访问权限；它们无法超越它。详细了解如何在使用连接器扩展 Claude 的功能中设置工具访问权限。
成员自己的设置。上述步骤的结果是成员的有效上限。它限制了其个人每工具批准菜单中的选项（"始终允许"、"询问"或"从不"）。"需要批准"的上限会删除"始终允许"。"已阻止"的上限会使工具变灰。
对于使用 Claude Code 的成员，还有一个层级适用：托管设置策略和连接器权限按最严格的方式组合。只有当两者都允许时，工具才可以在没有提示的情况下调用。有关更多信息，请参阅Claude Code 设置。
对于使用 Claude Cowork 的成员，具有写入功能的连接器工具会通过一个额外的门。请参阅下面的Cowork 写入工具批准设置。
此表显示组织范围内的工具策略和成员的角色授予如何组合：
组织范围内的工具策略 | 成员角色中的最高角色授予 | 有效上限 | 成员的个人选项 |
始终允许 | 始终允许 | 始终允许 | 始终允许、询问、从不 |
始终允许 | 需要批准 | 需要批准 | 询问、从不 |
始终允许 | 已阻止 | 已阻止 | 工具变灰 |
需要批准 | 始终允许 | 需要批准 | 询问，从不 |
需要批准 | 已阻止 | 已阻止 | 工具已灰显 |
已阻止 | 任何 | 已阻止 | 工具已灰显 |
写入工具的 Cowork 批准设置
Claude Cowork 有一个单独的组织设置，允许连接器工具"始终允许"，用于控制具有写入功能的连接器工具。默认情况下该设置处于关闭状态，自定义角色授权无法覆盖它：即使组织范围的工具策略和每个角色授权都设置为
连接器权限的适用范围
连接器权限在 Anthropic 的服务器上强制执行，因此适用于通过 Anthropic 路由连接器流量的每个 Claude 界面：
界面 | 覆盖范围 |
网页版和桌面版 Claude | 完全强制执行。已阻止的连接器被隐藏，已阻止的工具被灰显，个人批准菜单仅限于上限允许的范围。 |
Claude 移动版（iOS 和 Android） | 已强制执行。已阻止的工具从 Claude 的视图中移除，对它们的调用被拒绝。已阻止的工具在移动连接器设置中可能仍显示为活跃状态，直到界面更新发布，但无法使用。 |
Claude Cowork（云端和桌面版） | 与网页版相同。 |
Claude Code | 已强制执行。已阻止的工具被拒绝并显示为禁用。请参阅 Claude Code 设置。 |
连接器权限管理您的组织在 组织设置 > 连接器 下添加的连接器。它们不管理成员在自己机器上本地运行的连接器，也不管理部署在第三方平台上的 Claude Cowork。对于第三方 Cowork 部署，请改用 MDM。请参阅 第三方 Cowork：MCP、插件、技能和钩子。
连接器受限时成员看到的内容
限制 | 成员看到的内容 |
连接器对其角色被阻止 | 该连接器不会出现在其连接器菜单中。 |
工具在可见连接器上被阻止 | 该工具在其连接器设置中被灰显，并显示消息"此工具未为您的角色启用。请联系您的管理员。" |
工具上限为"需要批准" | 该工具可以工作，但个人批准菜单仅提供"询问"和"从不"选项，Claude 在每次调用前都会询问。 |
Cowork"允许连接器工具'始终允许'"设置已关闭 | 在 Cowork 中，具有写入功能的工具可以工作，但"允许所有任务"被灰显，成员需要批准每个任务。 |
连接器权限无法短暂加载 | 横幅报告连接器无法加载，并提供重试选项。已阻止的工具永远不会到达连接的服务。访问失败时倾向于拒绝，而不是授予。 |
成员无法判断哪一层限制了工具。无论限制来自组织范围的工具策略、角色授权还是两者，消息都是相同的。要找到来源，请比较组织范围的策略与成员的角色授权。
模型访问
自定义角色还控制角色可以使用哪些 Claude 模型，以及成员在每个模型上可以选择的最大工作量级别。您可以在角色编辑器的 模型 选项卡上设置这些，以及角色的默认模型和默认工作量级别。
组织级别的模型设置是上限。角色无法授予在组织级别禁用的模型。在成员的各个角色中，模型访问是累加的，工作量限制采用任何角色允许的最高上限。Haiku 模型始终可用，无法禁用。
有关设置步骤和成员看到的内容，请参阅 管理您的组织的模型访问。有关默认模型行为，请参阅 为您的组织设置默认模型。
功能访问受限时成员看到的内容
当功能受限时，以下是成员看到的内容。有关连接器和工具限制，请参阅上面的 连接器权限。
原因 | 成员看到的内容 |
功能在组织级别被禁用 | 该功能显示为灰显或隐藏，并显示消息"此功能已为您的组织禁用。" |
成员的角色不授予该功能 | 该功能显示为灰显或隐藏，并显示消息"请联系您的管理员以请求访问此功能。" |
成员的角色不授予任何产品访问权限 | 成员登录时进入其设置页面，没有可用的产品。 |