在企业计划上设置基于角色的权限

本指南将引导您为企业组织设置基于角色的权限。这样您可以控制特定团队或成员组可以访问哪些功能和连接器，并委派特定的管理员访问权限（如账单或用户管理），而不是给予所有人相同的权限。

开始之前，请确保您熟悉以下内容：

您需要对企业组织拥有所有者或主要所有者访问权限，或具有身份和访问权限设置为"管理"的自定义角色。

检查在组织级别启用了哪些功能。转到组织设置并确保您知道成员当前可以访问哪些功能。对于由 RBAC 管理的设置，需要组织设置和角色设置都打开，用户才能获得访问权限。

备份您的成员列表。在进行任何更改之前，从组织设置 > 成员导出当前成员的 CSV。如果迁移过程中出现问题，这可以让您参考以恢复访问权限。请参阅在团队和企业计划上管理成员。

确定哪些团队或职能部门需要每项功能。例如，工程部门获得 Claude Code + 快速模式，市场部门获得协作 + 网络搜索。从这里定义您的自定义角色。

双座位计划。如果您的组织使用双座位企业计划（具有聊天和聊天 + Claude Code 座位），自定义角色不会覆盖座位级别的限制。分配给仅聊天座位的成员无法访问 Claude Code，即使其自定义角色授予了该权限。反之亦然：如果成员的自定义角色不授予聊天功能，无论其座位类型如何，他们都无法访问聊天。在规划角色结构时要考虑座位分配。

决定如何创建组。您可以在 Claude 中手动创建组，或通过 SCIM 从身份提供商 (IdP) 同步组。您也可以同时使用两种方法。如果您计划使用来自 Okta、Entra ID 或其他提供商的 IdP 组，请确保配置了 SCIM 目录同步。请参阅设置 JIT 或 SCIM 预配。

添加您计划管理的连接器。连接器权限仅涵盖所有者或主要所有者已在组织设置 > 连接器下添加并使用管理员凭据连接的连接器。同时查看那里的组织范围工具策略，因为角色授予在其范围内缩小，不能超出其范围。请参阅使用连接器扩展 Claude 的功能。

在创建任何内容之前，决定每个团队或成员组应该有权访问哪些功能。以下是四种常见模式：

这是大多数组织推荐的方法。为所有人创建一个"标准访问"角色，包含网络搜索、记忆和项目等常见功能。然后创建附加角色，授予特定功能——例如，仅添加协作的"启用协作"角色。通过"所有用户"组将所有成员分配给基础角色，并将特定成员添加到额外的组，以分层添加额外功能。

这种模式很灵活，因为权限是附加的——将基础角色与附加角色结合可以干净地组合，不会产生冲突。

创建不同的层级："完全访问"具有所有功能，"标准访问"具有大多数功能，"受限访问"具有最少功能。每个成员恰好进入一个分配给一个层级的组。

创建映射到部门的角色："工程"具有聊天、协作、Claude Code 和代码执行；"研究"具有聊天、网络搜索、记忆和项目；"业务"仅具有聊天、网络搜索和项目。将每个部门组分配给其对应的角色。

创建委派部分管理权限而不授予所有者角色的角色。具有管理权限的自定义角色不需要任何用户功能，反之亦然。您可以创建一个授予账单访问权限但没有聊天或 Claude Code 功能的"财务"角色，或授予 Claude Code 加分析查看访问权限的

记住：您想要按组控制的任何功能都必须在组织级别启用。如果功能在组织级别被关闭，没有自定义角色可以授予对其的访问权限。

在启用任何功能或迁移成员之前创建自定义角色。这确保您的角色已准备好在功能打开的那一刻强制执行访问。

角色更改可能需要长达 15 分钟才能生效。成员可能需要刷新浏览器以查看更新的访问权限。

有关可用功能、管理权限和连接器的详细信息，请参阅在企业计划上管理自定义角色。

在每个角色上设置管理权限，以委派对管理设置（如账单、用户管理或隐私）的访问权限，而不授予所有者角色。此步骤是可选的。如果您不配置它，角色不授予任何管理访问权限，管理权限保留给所有者和主要所有者。有关每个权限区域涵盖的内容，请参阅在企业计划上管理自定义角色。

权限选项卡列出每个管理员区域：身份和访问、账单、分析、隐私、用户管理、库和目录。将每个管理员区域设置为以下选项之一：

在一个区域内，您授予所有查看或所有管理权限。您不能授予或限制单个页面或设置。

在您将成员迁移到"自定义"角色后验证管理员权限（第 7 步）。请参阅第 11 步：验证和监控。

在每个角色上设置连接器权限，以控制该角色可以使用哪些连接器以及这些连接器上的哪些工具。此步骤是可选的。如果您不配置它，您的角色将回退到下面描述的默认行为。有关权限模型如何端到端工作的信息，请参阅在企业计划上管理自定义角色。

新角色的默认设置是宽松的。创建或修改角色时，请确认每个选项卡上的设置，以避免授予意外权限。

连接器选项卡在顶部列出所有连接器行，后跟您的组织添加的每个连接器。每行都有一个包含四个选项的下拉菜单：

选择"始终允许"、"需要批准"或"已阻止"会将该级别应用于连接器上的每个工具。所有连接器行的工作方式相同，但级别更高：它一次为每个连接器设置基线，包括您稍后添加的任何连接器。使用它为角色设置默认值，然后覆盖单个连接器。

成员如何连接下拉菜单控制角色的成员是使用自己的账户登录连接器，还是通过您的身份提供商自动连接：

如果连接器同时启用了单独和托管授权，Claude 会首先尝试托管授权。如果失败，成员仍然可以使用自己的账户单独登录，因此在身份提供商问题得到解决时，他们不会被锁定在连接器之外。

在所有连接器行中选择单独或托管授权会为每个连接器一次设置基线，包括您稍后添加的任何连接器。使用它为角色设置默认值，然后覆盖单个连接器。

将连接器设置为自定义以将其工具显示为单个行。您可以为每个工具选择"始终允许"、"需要批准"或"已阻止"。

每工具权限让角色到达连接器的一部分。例如，将 Jira 设置为自定义，其 search_issues 工具设置为"需要批准"，每个其他 Jira 工具设置为"已阻止"，具有该角色的成员可以搜索 Jira，但不能做其他任何事情。Claude 只看到您授予的工具，因此要求它创建工单会返回"我没有该工具"而不是错误。

由于连接器权限在角色之间是累加的，在一个角色中阻止连接器对同时拥有另一个授予它的角色的成员没有影响。每个连接器行在其他角色以不同级别授予相同连接器时显示警告。警告会命名这些角色并链接到它们，最宽松的授予是适用的。

如果您在打开链接角色时有未保存的编辑，系统会要求您先放弃它们。

在您将成员迁移到"自定义"角色后验证连接器权限（第 7 步）。请参阅第 11 步：验证和监控。

在每个角色上设置模型访问，以控制该角色可以使用哪些 Claude 模型，限制每个模型的最大工作量级别，并选择新对话开始的模型。此步骤是可选的；如果您不配置它，新角色可以使用在组织级别启用的每个模型，在任何工作量级别，并在组织默认模型上开始。

有关模型访问和默认模型设置如何端到端工作的信息，请参阅为您的组织管理模型访问和为您的组织设置默认模型。

在 Model access 下，为此角色打开或关闭每个模型。在组织级别禁用的模型会显示，但在您于 Organization settings > Models 为组织启用它们之前，无法在此处启用。Haiku 模型始终处于启用状态，无法禁用。

要限制角色在模型上可以选择的工作量级别，请单击模型旁边的齿轮图标并选择一个级别。

在 Default model 下，可选择此角色的新对话开始时使用的模型。只能选择该角色有权访问的模型。

在将成员迁移到"Custom"角色后验证模型访问权限。请参阅 Step 11: Verify and monitor。

如果您使用 SCIM 目录同步，可以从身份提供商同步组，而不是手动创建。有关 SCIM 组同步的详细信息，请参阅 Manage groups and group spend limits on Enterprise plans。

同一父组织下的多个组织：组在父组织级别进行管理，并传播到所有子组织。您可能会看到来自其他组织的成员列在一个组中——这并不意味着他们有权访问您的组织。分配给组的自定义角色仅向属于您特定组织的成员授予功能。

如果您请求将组织从一个父组织移动到另一个（这在实践中很少见），组和角色将变为未定义状态，您需要重新创建它们。

在将成员迁移到自定义角色之前，请确认您计划迁移的每个成员至少分配到一个分配了自定义角色的组。在没有组或角色覆盖的情况下迁移的成员将失去对所有受管功能的访问权限。

要使自定义角色功能生效，成员必须将其角色设置为"Custom"。具有 User、Admin 或 Owner 角色的成员直接从这些角色获取权限，而不是从自定义角色获取。

根据您的组织是否已启用组映射选择迁移路径：

仅当您的组织已为角色分配启用了组映射时才使用此路径。如果您还未使用此设置，请跳至路径 B。

映射到"Custom"角色的 IdP 组中的成员遵循分配给他们在 Claude 中的组的自定义角色的权限。映射到 User 的 IdP 组中的成员遵循组织级别的功能设置。如果成员在两个映射中的组中，"Custom"角色优先。

如果您的组织尚未启用组映射，请使用此路径。

我们建议先迁移一个试点组——一个团队或部门——并验证他们的访问权限正确，然后再扩展到组织的其余部分。

无论您使用哪条路径，我们建议分阶段迁移：

仅在角色、组和成员迁移完成后才在组织级别启用功能。这确保自定义角色功能已就位，没有未授权成员可以访问功能的时间窗口。

对于任何要按组控制的功能：

在组织级别启用功能并不意味着每个人都能获得它——自定义角色权限已经到位，可以控制谁可以使用它。将组织级别的切换开关视为使功能"可用于基于角色的分配"，而不是"对所有人开启"。

为组分配每个用户的月度支出限制：

注意以下优先级规则：

成员资格更改会自动生效——用户在组成员资格更改时立即继承或失去限制。仅适用于基于使用情况的计费组织。

如果您配置了管理员权限，还要检查：

如果您配置了连接器权限，还要检查：

如果您配置了模型访问权限，还要检查：

角色更改可能需要长达 15 分钟才能在整个平台上生效。成员可能需要刷新浏览器以查看更新的访问权限。

SCIM 通过两个协同工作的机制连接到您的基于角色的功能。

这控制成员在配置时获得的内置角色。将您的 IdP 组映射到"自定义"角色，以便新成员的访问权限由自定义角色功能自动管理。

这会将您的 IdP 组拉入 Claude，以便可以将其分配给自定义角色。

如果您在迁移后发现角色结构配置错误：

如果您在设置期间启用了组映射并失去了管理员访问权限，请按照 设置 JIT 或 SCIM 预配 中"启用组映射后失去管理员/所有者访问权限"下的恢复步骤进行操作。

是的。必须打开组织级别的切换开关，自定义角色才能控制每个成员的访问权限。如果功能在组织级别关闭，无论成员的角色如何，任何人都无法访问它。可以将其视为主开关——自定义角色控制谁可以在其下方获得访问权限。这包括 组织设置 > 工件 中的设计、幻灯片和文档设置。

他们没有自定义角色权限，因此所有需要权限的功能都会显示为灰色或隐藏。确保每个角色设置为"自定义"的成员至少在一个分配给自定义角色的组中。

该模型在组织级别被禁用（组织设置 > 模型），或者成员的任何自定义角色都不授予它。组织级别的禁用会影响所有人，包括所有者和管理员。

该角色中的成员将看不到 Claude 的聊天界面。他们登录时会进入设置页面。如果其角色授予其他产品（如 Cowork 或 Claude Code），这些产品仍可从其设置页面和相关应用中访问。

默认情况下，所有自定义角色都启用了聊天，因此只有在您有意为某个角色关闭聊天时才需要担心这个问题。

可以。具有用户、管理员或所有者角色的成员不受自定义角色权限的影响，因为他们直接从这些角色获得权限。只有角色设置为"自定义"的成员由组和角色系统控制。这允许逐步迁移。

权限是累加的。如果成员链中的任何角色授予某项功能，他们就拥有它。您不能使用一个角色来移除另一个角色授予的权限。

可以。两种类型都可以分配给自定义角色。区别在于 SCIM 组成员身份在您的身份提供商中管理，而手动组成员身份在 Claude 的组织设置中管理。

否。所有者和主要所有者始终拥有对所有功能的完全访问权限。

组和 SCIM 同步在父组织级别进行管理，并在所有子组织之间共享。角色和支出限制分配在每个子组织中独立配置——一个子组织中的更改不会影响其他子组织。组成员身份更改和 SCIM 重新同步会在同一父组织下的所有子组织中传播。

每个现有角色都会使用"始终允许"的"所有连接器"授权进行初始化，因此成员的访问权限在启用时不会改变。从那里开始缩小访问范围。

每个连接器上的"需要批准"。创建角色流程会逐步执行"连接器"选项卡，以便您在保存前看到这一点。

所有连接器"行设置为"始终允许"、"需要批准"或"已阻止"的角色会自动在该级别覆盖新连接器。"所有连接器"行设置为"自定义"的角色会将新连接器视为"已阻止"，直到您设置它。"

检查成员是否持有授予它的另一个角色，因为最宽松的授权在各角色中获胜。连接器行上的冲突警告列出了这些角色。还要确认成员的角色设置为"自定义"。

否。组织范围的策略是上限。在那里被阻止的工具对所有人都被阻止，无论角色授权如何。

Cowork 有一个单独的组织设置"允许连接器工具的'始终允许'"，它控制具有写入功能的连接器工具。默认情况下它是关闭的。在打开之前，无论角色授权和工具策略如何，

角色可以授予它，但更严格的设置获胜，因此成员看到它被限制在"需要批准"。要让成员设置"始终允许"，请先将组织范围的策略提高到"始终允许"。

可以。将连接器设置为"自定义"，将一个工具设置为"始终允许"或"需要批准"，其余的设置为"已阻止"。

否。内置功能由"功能"选项卡管理。"连接器"选项卡管理您的组织添加的连接器。

角色更改可能需要长达 15 分钟才能生效。成员可能需要刷新其浏览器。

只有当他们的角色包含设置为"管理"的身份和访问权限时才可以，这涵盖编辑角色和组。应将该权限仅保留给受信任的安全和IT管理员，因为它可以用于更改角色定义，包括他们自己的定义。

不可以。管理员权限仅适用于自定义角色中的成员。内置角色中的成员保留该角色授予的访问权限。要给某人特定的管理员权限，请将该成员更改为自定义角色，并将其添加到分配了他们需要的权限的角色的组中。请注意，这会移除他们之前的内置角色访问权限。

组织设置仅显示其权限涵盖的部分。他们无权访问的部分在其组织设置中完全隐藏。

组织设置 > 角色显示每个自定义角色授予的管理员权限，组织设置 > 组显示哪些组分配给每个角色以及谁属于这些组。要检查特定成员，请在组织设置 > 成员上查找其组，然后查看这些组分配给的角色。

创建一个授予对多个区域访问权限的角色，或将成员添加到多个组，其角色涵盖他们需要的区域。权限以累加方式组合。