在企业计划上设置基于角色的权限

本指南将引导您为企业组织设置基于角色的权限。这让您可以控制特定团队或成员组可以访问哪些功能和连接器，并委派特定的管理员访问权限（如账单或用户管理），而不是给予所有人相同的权限。

在开始之前，请确保您熟悉以下内容：

您需要对企业组织拥有所有者或主要所有者访问权限，或具有身份和访问权限设置为"管理"的自定义角色。

检查在组织级别启用了哪些功能。转到组织设置并确保您知道成员当前可以访问哪些功能。对于由RBAC管理的设置，组织设置和角色设置都需要打开，用户才能获得访问权限。

备份您的成员列表。在进行任何更改之前，从组织设置 > 成员导出当前成员的CSV文件。如果迁移过程中出现问题，这可以让您参考以恢复访问权限。请参阅在团队和企业计划上管理成员。

确定哪些团队或职能部门需要每项功能。例如，工程部门获得Claude Code + 快速模式，市场部门获得协作 + 网络搜索。从这里开始，定义您的自定义角色。

双座位计划。如果您的组织使用双座位企业计划（具有聊天和聊天 + Claude Code座位），自定义角色不会覆盖座位级别的限制。分配给仅聊天座位的成员无法访问Claude Code，即使其自定义角色授予了该权限。反之亦然：如果成员的自定义角色未授予聊天功能，无论其座位类型如何，他们都无法访问聊天。在规划角色结构时，请考虑座位分配。

决定如何创建组。您可以在Claude中手动创建组，或通过SCIM从身份提供商(IdP)同步组。您也可以同时使用两种方法。如果您计划使用来自Okta、Entra ID或其他提供商的IdP组，请确保配置了SCIM目录同步。请参阅设置JIT或SCIM预配。

添加您计划管理的连接器。连接器权限仅涵盖所有者或主要所有者已在组织设置 > 连接器下添加并使用管理员凭据连接的连接器。同时查看您的组织范围工具策略，因为角色授予在其中缩小范围，无法超越它。请参阅使用连接器扩展Claude的功能。

在创建任何内容之前，决定每个团队或成员组应该有权访问哪些功能。以下是四种常见模式：

这是大多数组织推荐的方法。为所有人创建一个"标准访问"角色，包含网络搜索、记忆和项目等常见功能。然后创建附加角色，授予特定功能——例如，一个"启用协作"角色，仅添加协作。通过"所有用户"组将所有成员分配给基础角色，并将特定成员添加到额外的组，以分层添加额外功能。

这种模式很灵活，因为权限是附加的——将基础角色与附加角色结合可以干净地组合，不会产生冲突。

创建不同的层级："完全访问"具有所有功能，"标准访问"具有大多数功能，"受限访问"具有最少功能。每个成员恰好进入一个分配给一个层级的组。

创建映射到部门的角色："工程"具有聊天、协作、Claude Code和代码执行；"研究"具有聊天、网络搜索、记忆和项目；"业务"仅具有聊天、网络搜索和项目。将每个部门组分配给其对应的角色。

创建委派部分管理权限而不授予所有者角色的角色。具有管理权限的自定义角色不需要任何用户功能，反之亦然。您可以创建一个"财务"角色，授予账单访问权限但没有聊天或Claude Code功能，或一个

记住：您想要按组控制的任何功能都必须在组织级别启用。如果功能在组织级别被关闭，任何自定义角色都无法授予对其的访问权限。

在启用任何功能或迁移成员之前创建自定义角色。这确保您的角色已准备好在功能打开的那一刻强制执行访问。

角色更改可能需要长达15分钟才能生效。成员可能需要刷新浏览器以查看更新的访问权限。

有关可用功能、管理权限和连接器的详细信息，请参阅在企业计划上管理自定义角色。

在每个角色上设置管理权限，以委派对管理设置（如账单、用户管理或隐私）的访问权限，而不授予所有者角色。此步骤是可选的。如果您不配置它，角色不授予任何管理访问权限，管理权限保留给所有者和主要所有者。有关每个权限区域涵盖的内容，请参阅在企业计划上管理自定义角色。

权限选项卡列出每个管理员区域：身份和访问、账单、分析、隐私、用户管理和库。将每个管理员区域设置为以下选项之一：

在一个区域内，您授予所有查看权限或所有管理权限。您无法授予或限制单个页面或设置。

在将成员迁移到"自定义"角色后验证管理员权限（第 7 步）。请参阅第 11 步：验证和监控。

在每个角色上设置连接器权限，以控制该角色可以使用哪些连接器以及这些连接器上的哪些工具。此步骤是可选的。如果您不配置它，您的角色将回退到下面描述的默认行为。有关权限模型如何端到端工作的信息，请参阅在企业计划上管理自定义角色。

新角色的默认设置是宽松的。创建或修改角色时，请确认每个选项卡上的设置，以避免授予意外的权限。

连接器选项卡在顶部列出所有连接器行，后跟您的组织添加的每个连接器。每行都有一个包含四个选项的下拉菜单：

选择"始终允许"、"需要批准"或"已阻止"会将该级别应用于连接器上的每个工具。所有连接器行的工作方式相同，但级别更高：它一次为每个连接器设置基线，包括您稍后添加的任何连接器。使用它为角色设置默认值，然后覆盖单个连接器。

将连接器设置为自定义以将其工具显示为单独的行。每个工具都有自己的下拉菜单："始终允许"、"需要批准"或"已阻止"。

每工具权限让角色可以访问连接器的一部分。例如，将 Jira 设置为自定义，其 search_issues 工具设置为"需要批准"，以及所有其他 Jira 工具设置为"已阻止"，具有该角色的成员可以搜索 Jira，但不能执行其他操作。Claude 只看到您授予的工具，因此要求它创建工单会返回"我没有该工具"而不是错误。

由于连接器权限在角色之间是累加的，在一个角色中阻止连接器对同时拥有另一个授予该连接器的角色的成员没有影响。每个连接器行在其他角色以不同级别授予相同连接器时显示警告。警告会命名这些角色并链接到它们，最宽松的授权是适用的。

如果您在打开链接的角色时有未保存的编辑，系统会要求您先放弃它们。

在将成员迁移到"自定义"角色后验证连接器权限（第 7 步）。请参阅第 11 步：验证和监控。

在每个角色上设置模型访问权限，以控制该角色可以使用哪些 Claude 模型，限制每个模型的最大工作量级别，并选择新对话开始的模型。此步骤是可选的；如果您不配置它，新角色可以使用在组织级别启用的每个模型，在任何工作量级别，并在组织默认模型上开始。

有关模型访问和默认模型设置如何端到端工作的信息，请参阅为您的组织管理模型访问和为您的组织设置默认模型。

在模型访问下，为此角色打开或关闭每个模型。在组织级别禁用的模型会显示，但在您在组织设置 > 模型中为组织启用它们之前无法在此处启用。Haiku 模型始终打开，无法禁用。

要限制角色可以在模型上选择的工作量级别，请点击模型旁边的齿轮图标并选择一个级别。

在默认模型下，可选择为此角色选择新对话开始的模型。只能选择该角色有权访问的模型。

在将成员迁移到"自定义"角色后验证模型访问权限。请参阅第 11 步：验证和监控。

如果您使用 SCIM 目录同步，可以从身份提供商同步群组，而不是手动创建。有关 SCIM 群组同步的详细信息，请参阅 在企业计划中管理群组和群组支出限制。

同一父组织下的多个组织：群组在父组织级别进行管理，并传播到所有子组织。您可能会看到来自其他组织的成员列在某个群组中——这并不意味着他们有权访问您的组织。分配给群组的自定义角色仅向属于您特定组织的成员授予功能。

如果您请求将组织从一个父组织移动到另一个父组织（这在实践中很少见），群组和角色将变为未定义状态，您需要重新创建它们。

在将成员迁移到自定义角色之前，请确认您计划迁移的每个成员至少在一个分配了自定义角色的群组中。在没有群组或角色覆盖的情况下迁移的成员将失去对所有受管功能的访问权限。

为了使自定义角色功能生效，成员必须将其角色设置为"自定义"。具有"用户"、"管理员"或"所有者"角色的成员直接从这些角色获取权限，而不是从自定义角色获取。

根据您的组织是否已启用群组映射来选择迁移路径：

仅当您的组织已为角色分配启用群组映射时才使用此路径。如果您还未使用此设置，请跳至路径 B。

映射到"自定义"角色的 IdP 群组中的成员遵循分配给他们在 Claude 中的群组的自定义角色的权限。映射到"用户"的 IdP 群组中的成员遵循组织级别的功能设置。如果成员在两个映射中的群组中，"自定义"角色优先。

如果您的组织尚未启用群组映射，请使用此路径。

我们建议先迁移一个试点群组——一个团队或部门——并验证他们的访问权限是否正确，然后再扩展到组织的其余部分。

无论您使用哪条路径，我们建议分阶段迁移：

仅在角色、群组和成员迁移完成后才启用组织级别的功能。这确保自定义角色功能已就位，没有未授权成员可以访问功能的时间窗口。

对于您想按群组控制的任何功能：

在组织级别启用功能并不意味着每个人都能获得它——自定义角色权限已就位以控制谁可以使用它。将组织级别的切换视为使功能"可用于基于角色的分配"，而不是"对所有人启用"。

导航到"使用情况"页面，为任何群组分配每用户每月支出限制。

注意以下优先级规则：

成员身份变更会自动生效——用户在其组成员身份变更时立即继承或失去限制。仅与基于使用量的计费组织相关。

如果您配置了管理员权限，还要检查：

如果您配置了连接器权限，还要检查：

如果您配置了模型访问权限，还要检查：

角色变更可能需要长达 15 分钟才能在整个平台上生效。成员可能需要刷新浏览器以查看更新的访问权限。

SCIM 通过两个协同工作的机制连接到您的基于角色的功能。

这控制成员在配置时获得的内置角色。将您的 IdP 组映射到"自定义"角色，以便新成员的访问权限由自定义角色功能自动管理。

这会将您的 IdP 组拉入 Claude，以便可以将其分配给自定义角色。

如果您在迁移后发现角色结构配置错误：

如果您在设置期间启用了组映射并失去了管理员访问权限，请按照设置 JIT 或 SCIM 配置中"启用组映射后失去管理员/所有者访问权限"下的恢复步骤进行操作。

是的。必须打开组织级别的切换开关，自定义角色才能控制每个成员的访问权限。如果功能在组织级别关闭，无论其角色如何，任何人都无法访问它。可以将其视为主开关——自定义角色控制谁可以在其下方访问。

他们没有自定义角色权限，因此所有需要权限的功能都呈灰显或隐藏状态。确保每个角色设置为"自定义"的成员至少在一个分配给自定义角色的组中。

要么该模型在组织级别被禁用（组织设置 > 模型），要么该成员的自定义角色都未授予该权限。组织级别的禁用会影响所有人，包括所有者和管理员。

该角色中的成员将看不到 Claude 的聊天界面。他们登录时会进入设置页面。如果他们的角色授予其他产品（如 Cowork 或 Claude Code），这些产品仍可从其设置页面和相关应用中访问。

默认情况下，所有自定义角色都启用了聊天功能，因此只有在您有意为某个角色关闭聊天时，才需要担心这个问题。

可以。具有用户、管理员或所有者角色的成员不受自定义角色权限的影响，因为他们直接从这些角色获得权限。只有角色设置为"自定义"的成员才受组和角色系统的控制。这允许逐步迁移。

权限是累加的。如果成员链中的任何角色授予某项功能，他们就拥有该功能。您不能使用一个角色来移除另一个角色授予的权限。

可以。两种类型都可以分配给自定义角色。区别在于 SCIM 组成员身份在您的身份提供商中管理，而手动组成员身份在 Claude 的组织设置中管理。

否。所有者和主要所有者始终拥有对所有功能的完全访问权限。

组和 SCIM 同步在父组织级别进行管理，并在所有子组织中共享。角色和支出限制分配在每个子组织中独立配置——一个子组织中的更改不会影响其他子组织。组成员身份更改和 SCIM 重新同步会在同一父组织下的所有子组织中传播。

每个现有角色都会被设置为"所有连接器"授予"始终允许"，因此成员的访问权限在启用时不会改变。您可以从那里缩小访问范围。

每个连接器上的"需要批准"。创建角色流程会逐步进行"连接器"选项卡，以便您在保存前看到这一点。

所有连接器"行设置为"始终允许"、"需要批准"或"已阻止"的角色会自动在该级别覆盖新连接器。"所有连接器"行设置为"自定义"的角色会将新连接器视为"已阻止"，直到您设置它。"

检查该成员是否持有授予该权限的另一个角色，因为最宽松的授予在各角色中获胜。连接器行上的冲突警告列出了这些角色。还要确认该成员的角色设置为"自定义"。

否。组织范围的策略是上限。在那里被阻止的工具对所有人都被阻止，无论角色授予如何。

该角色可以授予它，但更严格的设置获胜，因此成员看到它被限制在"需要批准"。要让成员设置"始终允许"，请先将组织范围的策略提升到"始终允许"。

可以。将连接器设置为"自定义"，将该工具设置为"始终允许"或"需要批准"，并将其余的设置为"已阻止"。

否。内置功能在"功能"选项卡上管理。"连接器"选项卡管理您的组织添加的连接器。

角色更改可能需要长达 15 分钟才能生效。成员可能需要刷新其浏览器。

仅当其角色包含设置为"管理"的"身份和访问"时，这涵盖编辑角色和组。为受信任的安全和 IT 管理员保留该权限，因为它可用于更改角色定义，包括他们自己的定义。

否。管理员权限仅适用于自定义角色中的成员。内置角色中的成员保留该角色授予的访问权限。要向某人授予特定的管理员权限，请将该成员更改为自定义角色，并将其添加到分配给具有他们需要的权限的角色的组中。请记住，这会移除他们之前的内置角色访问权限。

组织设置仅显示其权限涵盖的部分。他们无权访问的部分在其组织设置中完全隐藏。

组织设置 > 角色显示每个自定义角色授予的管理员权限，组织设置 > 组显示哪些组分配给每个角色以及谁属于它们。要检查特定成员，请在组织设置 > 成员上查找其组，然后查看这些组分配给的角色。

创建一个授予对多个区域访问权限的角色，或将该成员添加到多个组，其角色涵盖他们需要的区域。权限累加组合。