集中管理为您的父组织提供了自己的管理控制台，位于 admin.claude.com，您可以在一个地方管理公司范围的设置，例如单点登录 (SSO)、目录同步、已验证的域和组。本文介绍了注册时的变化、如何注册您的父组织以及如何使用控制台的各个部分。
集中管理在企业计划中以测试版形式提供。
父组织和子组织的工作原理
集中管理在整个过程中使用两个术语：
父组织：代表您的公司及其与 Anthropic 的商业关系。公司范围的设置位于此处，包括身份提供商、域验证以及在适用情况下您的业务关联协议 (BAA)。
子组织：父组织下的单个 Claude 组织，例如 Claude 企业组织、团队计划或直接从 Anthropic 购买的 Claude 平台组织。每个组织都有自己的用户、管理员和设置。
注册不会合并您的子组织。每个组织仍然是一个独立的组织，具有硬数据边界，并保持自己的用户、角色和项目。
父组织角色
您的父组织获得两个新角色来运行控制台。这些角色与子组织权限分开。
角色 | 他们可以做什么 |
父组织所有者（新增） | 父级别的所有内容，包括选择谁担任所有者和管理员角色。每个父组织至少需要一个所有者。 |
父组织管理员（新增） | 父级别的所有内容，除了选择所有者和管理员。 |
子组织管理员 | 他们自己组织内的所有内容。他们无法查看或更改父级别的设置，例如 SSO 强制执行。 |
父角色不会将某人添加到子组织或让他们登录到该组织。需要在子组织中工作的父所有者或管理员需要像任何其他用户一样被添加。父所有者和管理员可以通过 API 审计配置并查看子组织之间的合规数据。在下面的 API 密钥部分了解更多信息。
移至父组织的控制
这些控制已在父级别应用，但您从子组织管理员设置中管理它们。注册后，父所有者和管理员在父组织控制台中为每个组织管理一次。
控制 | 现在管理位置 | 它的作用 |
SSO 和要求 SSO | 身份提供商和域 | 为您的已验证域、Claude 和控制台登录。每个域都设置了"要求 SSO"。 |
目录同步 (SCIM) | 身份提供商 | 从您的身份提供商配置用户和组。 |
域验证 | 域 | 验证您的用户登录的电子邮件域。 |
连接器域限制 | 域 | 将您的域上的连接器限制为您企业中的帐户。 |
限制组织创建 | 组织（安全部分） | 阻止在您的已验证域上创建新组织，包括个人帐户。 |
合规 API 密钥 | API 密钥 | 查看、禁用和删除从任何子组织创建的父级别密钥。 |
组 | 组 | 从您的身份提供商同步的目录组，加上手动创建的组。 |
邀请组织加入父组织 | 组织 | Claude 平台组织和已验证域上的团队计划的自助服务。对于 Claude 企业组织，请联系您的帐户团队。 |
子组织管理员保持其自己组织内的所有内容：用户、角色、组织设置以及组织级别的安全控制，例如 IP 允许列表和会话持续时间。
新的父级别控制
集中管理还添加了之前不存在的控制：
控制 | 位置 | 功能 |
组织概览 | 组织 | 在一个位置显示每个子组织及其类型和 ID |
父组织角色 | 管理员角色 | 分配管理公司范围设置的父组织所有者和管理员 |
多个身份提供商 | 身份提供商 | 在一个父组织下连接多个 SSO 和 SCIM 配置，每个域路由到其中一个或多个 |
拆分域 | 域和身份提供商 | 将一个域路由到多个身份提供商以进行登录，并让您选择在登录时谁可以看到每个身份提供商 |
父级合规 API 密钥 | API 密钥 | 从 admin.claude.com 创建父级密钥。子组织仍可为自己的组织创建密钥 |
了解更多关于设置多个身份提供商和拆分域的信息。
组群可用性（允许您选择哪些子组织可以查看和使用每个组群）尚不可用。在此之前，每个 Enterprise 子组织管理员都可以查看父组织下的每个组群。
当前限制
这些限制在测试版期间适用：
子组织创建：新子组织需要通过您的客户团队。没有自助选项。
计费：注册时计费不会改变。
云市场组织：通过 AWS 或 Azure 市场购买的 Claude Platform 组织无法加入父组织。
两种父组织无法注册：
具有启用 HIPAA 的子组织的父组织
其唯一子组织为 Team 计划的父组织
注册您的父组织
父组织下任何子组织的所有者都可以在admin.claude.com开始注册。注册是一个简短的审批流程，其中每个子组织都要签署父组织管理员的身份。所有在注册完成时仍符合条件的被提议者都将成为父组织所有者。所有者之后可以在管理员角色页面上添加管理员。
警告：注册无法撤销，一旦有人开始设置，它可以立即完成。
开始前
如果您的网络使用租户限制，请在任何人开始设置之前将父组织 ID 添加到允许的组织 ID 列表（anthropic-allowed-org-ids 标头）中，并保留已有的 ID。如果没有父 ID，该网络上的父组织所有者和管理员将无法管理父控制台。
从 Claude 中的组织设置 > 组织或控制台中的设置 > 组织复制父组织 ID。您管理的子组织也需要在列表中，否则设置可能会失败。
完成设置
转到admin.claude.com并开始设置。您将看到您管理的子组织。
从这些组织中提议父组织管理员。按名称、电子邮件或组织搜索以查找人员。开始设置计为您管理的组织的批准。
如果其他子组织仍然存在，请等待其管理员审查提议。他们可以提名自己组织中的管理员并批准。您可以提醒任何尚未批准的人。
设置完成后，选择"完成"。控制台在组织页面上打开。
如果您管理父组织下的每个组织，您的父组织将立即注册。否则，最后的批准将注册它。SSO、SCIM、已验证的域和安全设置将移至父组织，每个子组织保留其自己的用户、角色和项目。
更改提议的管理员会要求每个子组织再次批准。如果组织在最后一次更改后七天内仍未批准，父组织下任何子组织的所有者都可以代表其批准。
管理您的父组织
控制台为您的父组织的每个区域都有一个页面。父组织所有者和管理员可以使用所有这些页面。
常规
在此处更改父组织的名称。该名称出现在父组织被命名的任何地方，包括组织切换器。您也可以在此页面上找到父组织 ID。
组织
此页面列出父组织下的每个子组织及其类型（例如 Claude Enterprise、Claude Team 或 Claude Platform）和 ID。
要将现有组织纳入您的父组织，请在合并组织下选择"邀请"。对于 Claude Platform 组织和您的一个已验证域上的 Team 计划，邀请是自助的。要将 Claude Enterprise 组织纳入父组织，请联系您的客户团队。
域
此页面保存了父组织的已验证电子邮件域，每个子组织都共享这些域。每个域通过您为其选择的身份提供商或多个分割域进行登录。没有身份提供商的域无法进行 SSO 登录。
添加和路由域：
选择"添加域"并验证该域。已验证的域只能属于一个父组织。
选择SSO 登录位置列中的铅笔图标。
选择该域应通过的每个身份提供商，并清除它应停止使用的任何提供商。
选择"保存"。更改在您保存后立即应用于登录。
启用将已验证域连接器限制到您的企业以阻止企业外的 Claude 账户连接受支持的连接器（如 Google Drive、Gmail、Microsoft 365 和 Slack），这些连接器使用您域上的电子邮件。
身份提供商
此页面列出连接到父组织的每个 SSO 和 SCIM 配置，包括其登录状态、目录同步状态和域。打开其中一个进行管理：
单点登录：选择"管理 SSO"打开设置门户并查看或更改 SAML 或 OIDC 连接。在下方，选择谁可以使用此身份提供商登录，以及是否在登录页面上显示它。
目录同步：选择"设置目录同步"打开设置门户并连接 SCIM。连接后，选择"立即重新同步"以获取最新更改。该页面列出从您的目录同步的组。
域：显示在此处登录的已验证域。启用要求 Claude 使用 SSO和要求 Console 使用 SSO以强制这些用户使用 SSO。这些设置按域应用，您也可以在域页面上更改它们。
要添加、路由或删除身份提供商，请详细了解设置多个身份提供商和分割域。
API 密钥
此页面显示父级密钥，包括每个密钥的作用域、组织、创建者和创建日期。密钥属于父组织，在创建它们的人员被移除后仍保持活跃。限定为单个子组织的密钥不会显示在此处。它们保留在该组织的管理员设置中。
密钥上方的合规 API开关为父组织下的每个组织打开或关闭合规 API。关闭时，现有 API 密钥无法使用合规作用域。
创建密钥
创建密钥需要在父组织下至少有一个 Claude Enterprise 组织。您在此处创建的每个密钥都可在父组织下的每个组织中使用。
选择"创建密钥"。
为密钥命名并选择其作用域。合规作用域（如 read:compliance_activities）授予密钥对合规 API 的访问权限。如果您看不到它们，请先启用合规 API开关，这也会为父组织下的每个组织启用合规事件日志。组作用域（read:rbac_groups 和 write:rbac_groups）允许密钥读取或管理组及其成员。
选择"创建"。具有 delete:compliance_user_data 的密钥可以永久删除父组织下任何组织中的数据，因此您需要先确认。
选择"复制密钥"并将密钥存储在安全的地方。您将无法再次查看它。
管理密钥
选择密钥的操作菜单以禁用、重新启用或删除它。您在此处创建的密钥在组织列中显示父组织的名称。从子组织创建的可在每个组织中使用的密钥显示该组织的名称和警告图标。这些密钥继续工作，您也可以在此处管理它们。
子组织中的密钥
子组织管理员仍然可以创建限定于其自己组织的密钥。
他们无法创建可在每个组织中使用的密钥，也无法在禁用后重新启用。
在 Claude Enterprise 组织中，主要所有者也可以为其自己的组织创建具有 read:org_audit 或组作用域的密钥。这些密钥仍然可以访问父组织的所有组。
限定为一个组织的密钥无法读取登录或其他父级事件（如要求 SSO 的更改）。要读取这些内容，请使用可在每个组织中使用的密钥。
安全
在组织页面上的安全下，启用限制组织创建以阻止您已验证域上的任何人创建新组织，包括个人账户。侧菜单中的安全页面列出每个组织的 HIPAA 状态。
父组织所有者和管理员也可以从此处开始域声明，而不是从子组织的设置中开始。您选择一个子组织供账户迁移到，声明涵盖当时在已验证域上的每个 Free、Pro、Max 和 Ultra 账户。用户可以选择携带他们的数据，但之后需要在该组织中有一个席位才能登录。详细了解响应您的 Claude 账户上的企业域声明。
在测试版期间，会话持续时间与每个子组织保持一致，每个子组织保持其自己的 IP 允许列表。
租户限制已应用于父控制台。如果您的网络使用它们，请将常规页面中的父组织 ID 与您的子组织 ID 一起保留在允许的组织 ID 列表中，因为父组织的 ID 不涵盖它们。
组
组是共享相同角色的用户集合。它们位于父组织，因此一个组可以在任何子组织中被赋予角色。子组织管理员在其自己的组织内分配这些角色。
组选项卡显示父组织下的每个组，包括其成员数。您可以按来源筛选并按名称搜索。
从您的目录同步的组带有 SCIM 徽章。打开一个以查看其成员。其名称和成员身份来自您的身份提供商。
选择"添加组"以手动创建组。打开它以重命名它，或按名称或电子邮件添加和删除成员。
从其操作菜单中删除组。
注意：在组可用性可用之前，每个 Enterprise 子组织管理员都可以看到父组织下的每个组。
管理员角色
此页面列出管理父组织的人员。选择"添加管理员"以给予某人父级角色。