跳转到主要内容

自动连接您组织的应用到 Claude

本文介绍企业托管身份验证的工作原理，以及管理员如何通过身份提供商或直接使用 Claude 颁发的身份验证为其组织授权连接器。使用企业托管身份验证，您只需为整个组织授权一次连接器，您的团队在首次登录时会自动继承访问权限。

企业托管身份验证适用于 Claude 的 Team 和 Enterprise 计划。IdP 托管身份验证已正式推出，Claude 颁发的身份验证处于测试阶段。

什么是企业托管身份验证？

企业托管身份验证是 Claude 中连接器的授权和身份验证模型。管理员可以集中配置连接器访问权限，而不是让每个人单独对每个连接器进行身份验证。

每个连接器使用以下两个身份源之一：

  • IdP 托管：您的身份提供商依赖在 Claude 和连接器上启用单点登录 (SSO)。启用后，IdP 会将用户登录到连接器。

  • Claude 颁发（测试版）：Claude 可以向连接器指示哪个用户登录了 Claude，并使用该信息向连接器发送信息，使用您组织独有的颁发者 URL。您不需要身份提供商或 SSO。

启用连接器后，您的团队在首次登录时会自动获得它。使用 IdP 托管身份验证时，身份从其现有身份提供商组和角色继承。使用 Claude 颁发的身份验证时，用户通过电子邮件地址在连接器处匹配。

您可以控制的内容

您决定启用哪些连接器、哪些组或角色获得它们，以及访问级别：

  • 为您的组织授权一次连接器，访问权限会自动授予您的团队。

  • 使用 基于角色的权限精确选择哪些角色获得每个连接器，以便不同的团队获得适合其工作的访问权限。请参阅下面的选择哪些角色获得托管身份验证。

  • 选择成员通过您的身份提供商连接时 Claude 可以请求的权限，并进一步为各个角色缩小范围。

  • 撤销访问权限。使用 IdP 托管身份验证时，在您的身份提供商中取消配置某人会同时移除其连接器访问权限。使用 Claude 颁发的身份验证时，从您的 Claude 组织中移除某人会停止 Claude 为其登录。也从连接的服务中移除他们。

  • 要求连接器仅通过托管授权连接，以便个人账户不会进入工作工具。

注意：每个连接器及您使用的身份提供商（如果有）由第三方根据其自身条款运营。使用 IdP 托管身份验证时，Claude 转发您的身份提供商颁发的授权，访问决策、范围和每个连接器可以访问的数据由您的身份提供商的策略和连接的服务的权限管理，而不是由 Anthropic 管理。使用 Claude 颁发的身份验证时，Claude 为您组织的当前成员签署登录。

根据您的指示，Anthropic 将每个成员的电子邮件地址和唯一标识符发送到连接器。Claude 仅检查组织成员身份，不检查 SSO、MFA 或连接器自身的登录规则。访问决策、范围和每个连接器可以访问的数据由您的 Claude 设置和连接的服务的权限管理。

令牌生命周期和生命周期由连接的授权服务器管理，使用 IdP 托管身份验证时，由您的身份提供商管理。当连接器的访问令牌过期或被撤销时，现有会话结束。

选择哪些角色获得托管身份验证

为连接器设置企业托管身份验证时，在设置基于角色的权限时选择哪些角色继承连接器。您可以使用基于角色的权限在为整个组织启用连接器之前先与特定团队试用。

  1. 转到 组织设置 > 连接器并选择一个连接器。

  2. 在配置选项卡上，单击托管授权旁边的"设置"。

  3. 在连接步骤中，选择身份源：

    1. IdP 托管：确认您的身份提供商连接。按照设置指南在您的身份提供商中为此连接器配置企业托管身份验证，并在连接器自身的管理设置中启用托管身份验证。单击"运行测试"以确认连接有效。

    2. Claude 颁发：按照下面设置 Claude 颁发的身份验证中的步骤操作。

  4. 在角色步骤中，选择应该自动获得此连接器的人员。

    1. 用户、管理员、所有者、主要所有者：您组织的内置角色，作为一个组。

    2. 任何自定义角色，单独选择。

    3. 要与一个团队试用连接器，仅选择该团队的自定义角色，并将内置角色保持未选中状态。用户、管理员、所有者或主要所有者角色上的成员在您返回并添加该选项之前不会获得连接器。

  5. 在范围步骤中，选择成员连接时 Claude 可以请求的权限。这些适用于您选择的每个角色。要为特定角色缩小权限范围，请改用该角色的连接器选项卡（见下文）。

  6. 单击"保存并启用"。

设置后，连接器的配置选项卡显示其当前状态：应用的角色列出通过托管授权连接的角色，范围显示授予的内容。要扩展试用，单击应用的角色旁边的"编辑"，并添加"用户、管理员、所有者、主要所有者"或更多自定义角色。

注意：浏览器登录和托管授权可以同时为连接器启用。启用时，Claude 首先尝试托管授权，如果失败，会提示用户单独登录，以便在身份提供商问题得到解决时成员不会被锁定。

自定义角色内的连接器设置

您也可以从组织设置 > 角色中的角色开始，而不是从连接器开始。在自定义角色的连接器选项卡上，成员如何连接控制该角色的成员如何进行身份验证，跨每个连接器一次，或按连接器：

  • 单独：成员使用自己的账户登录。

  • 托管授权：成员通过为每个连接器设置的身份源连接。

  • 按连接器设置：为每个连接器单独选择。

使用 Claude 颁发的身份验证

使用 Claude 颁发的身份验证，Claude 向连接器发送签名的断言，使用您组织独有的颁发者 URL。连接的服务使用此 URL 确认 Claude 为您组织的当前成员签署了登录，因此该服务必须将其列为受信任的颁发者。

您不需要身份提供商或 SSO，尽管我们仍然建议为您的 Claude 组织强制执行 SSO。Claude 仅检查组织成员身份，不检查 SSO、MFA 或连接器自身的登录规则。

注意：Claude 颁发的身份验证处于测试阶段。

开始前

  • 支持的连接器：只有提供商支持 Claude 颁发的身份验证的连接器才能使用它。请参阅下面的连接器。

  • 连接的服务的管理员：您需要有人可以将受信任的颁发者添加到您的工作区。这可能是您。

  • 匹配电子邮件地址：用户通过电子邮件匹配，因此每个用户的 Claude 电子邮件必须与连接的服务中其账户上的电子邮件匹配。

  • 提供商自身的要求：某些提供商有自己的要求，例如其端的 SSO。检查提供商的设置指南。

每个连接器一次使用一个身份源。您可以稍后在同一设置屏幕上切换。

设置 Claude 颁发的身份验证

为每个连接器设置一次 Claude 颁发的身份验证。

  1. 转到组织设置 > 连接器并选择一个连接器。

  2. 在配置选项卡上，单击托管授权旁边的"设置"。

  3. 在连接步骤中，在身份源下选择"Claude 颁发"。

  4. 复制颁发者 URL。

  5. 在连接的服务的管理控制台中，将 URL 添加为您的工作区的受信任颁发者。按照提供商的设置指南进行操作，该指南从连接步骤链接。如果您不是该服务的管理员，请与有权限的人分享 URL 和指南。

  6. 如果连接的服务为您提供了工作区或租户 ID，请将其粘贴到 Claude 中的租户字段中。

  7. 回到 Claude，单击"测试连接"以运行连接测试，然后单击"启用并继续"。

  8. 选择谁获得连接器。默认情况下所有角色都获得它。

如果测试失败，检查颁发者 URL 在正确的工作区中是否受信任、租户 ID 是否正确，以及工作区是否有具有您电子邮件地址的账户。

要关闭 Claude 颁发的身份验证，打开连接器的托管授权设置并选择"禁用"。用户随后自己连接到服务。

用户看到的内容

连接器在用户首次需要它时已连接，没有登录页面或同意屏幕。电子邮件与连接的服务中的账户不匹配的用户不会自动连接，会看到通常的连接提示。

在向您的组织宣布连接器之前，请要求两三个用户确认它已连接并运行真实请求。

当有人离开您的组织时

Claude 仅为您组织的当前成员签署。当您移除某人时，Claude 停止为其登录连接的服务，但在服务处授予的访问权限会持续到过期。在该电子邮件地址被重复使用之前从每个连接的服务中移除他们，否则具有该地址的新人可能会被登录到旧账户。

如果您使用目录同步 (SCIM)，检查该人不再出现在您的成员列表中。当您的目录删除成员时 Claude 会移除他们，但当您的目录仅暂停他们或将其标记为不活跃时不会。

什么与企业托管身份验证配合使用

企业托管身份验证与您的团队日常使用的连接器配合使用。使用 IdP 托管身份验证时，您的身份提供商控制谁获得访问权限。使用 Claude 颁发的身份验证时，Claude 为您组织的当前成员登录。

身份提供商

IdP 托管身份验证需要与支持的身份提供商的 SSO。支持 Okta，更多身份提供商即将推出。有关更多详情，请参阅 Okta 的文档。

Claude 颁发的身份验证不使用身份提供商，因此不需要身份提供商设置。

连接器

目前，您可以通过企业托管身份验证配置这些连接器：

Claude 颁发的身份验证仅适用于提供商支持的连接器。测试版包括：Amplitude、Apollo.io、Atlassian、Datadog、Dropbox、Figma、Granola、HubSpot、Linear、Mixpanel、Notion、PagerDuty、Semrush 和 Supabase。

任何 MCP 提供商都可以添加对企业托管身份验证的支持。有关更多详情，请参阅 企业托管授权。

个人连接器

您的团队仍然可以在您配置的基础上添加个人连接器。企业托管身份验证处理您为组织启用的连接器，而个人可以为自己的使用连接其他服务。

这是否解答了您的问题？

相关文章

Anthropic Help Center