本指南涵蓋如何為您的 Claude 或 Claude Console 組織設定使用者佈建和角色指派。
JIT 佈建適用於 Team 方案、Enterprise 方案和 Console 組織。SCIM 佈建僅適用於 Enterprise 和 Console 組織。
開始前：本指南假設您已完成 設定單一登入 (SSO) 中的步驟，包括網域驗證和與身分提供者 (IdP) 的 SSO 設定，且您具有 Admin (Console) 或 Owner (Claude) 角色。
步驟 1：選擇您的佈建模式
設定 SSO 後，您需要決定使用者將如何佈建到您的組織。這可透過 組織設定 > 組織和存取 中的 使用者佈建區段控制。
佈建選項
僅限邀請是預設值。使用者直接在 Claude 或 Console 設定中新增和移除。
即時 (JIT)：指派給您 Anthropic IdP 應用程式的使用者在首次登入時會自動佈建。此選項適用於所有方案。
SCIM 目錄同步：使用者會根據您 IdP 中的指派自動佈建和取消佈建，無需他們先登入。SCIM 適用於 Enterprise 方案和具有自己的父組織或加入 Enterprise 父組織的 Console 組織。SCIM 不適用於 Team 方案或加入 Team 方案父組織的 Console 組織。
啟用 SCIM 目錄同步時，Claude 會向每個新佈建的成員傳送歡迎電子郵件。若要關閉此功能，Owner 和 Primary Owner 可以瀏覽 組織設定 > 組織和存取 > 使用者佈建，找到 SCIM 目錄同步，然後關閉「傳送歡迎電子郵件給新成員」。
注意：Claude 不會將此歡迎電子郵件傳送給具有額外資料處理或合規要求的組織，例如客戶管理的加密金鑰 (CMEK)、HIPAA 或 FERPA，因此這些組織不會顯示此設定。變更適用於您儲存後佈建的成員，已傳送的電子郵件仍會送達。
佈建行為概觀
使用此表格幫助決定哪種佈建模式最適合您的組織：
模式 | 佈建 | 角色和座位類型變更 | 移除 |
僅限邀請 | 使用者手動新增 | 角色和座位類型手動變更 | 使用者手動移除 |
即時 (JIT) | 指派給您 IdP 應用程式的使用者在登入時以使用者角色佈建 | 角色和座位類型手動變更 | 需要手動移除。JIT 永遠不會自動移除成員。如果您從 IdP 應用程式中取消指派某人，他們將無法再登入，但他們會保留在您的成員清單中並保留其座位，直到管理員移除他們。 |
JIT + 群組對應 | 至少在一個對應群組中的使用者在登入時會以其群組成員資格中權限最高的角色佈建 | 角色和座位類型會根據群組成員資格在下次登入時更新。Primary Owner 的角色不會變更。 | 大多為手動。從所有對應群組中移除但仍指派給應用程式的使用者會在下次登入時從組織中移除。這不適用於 Primary Owner。您完全從應用程式中取消指派的使用者將無法再登入，但會保留在您的成員清單中並保留其座位，直到管理員移除他們。 |
SCIM 目錄同步 | 指派給您 IdP 應用程式的使用者會自動佈建到加入您父組織的所有組織。 | 角色和座位類型手動變更 | 從您 IdP 應用程式中移除的使用者會自動移除 |
SCIM + 群組對應 | 至少在一個對應群組中的使用者會自動佈建到加入父組織且已新增該群組的組織。 | 角色和座位類型變更會根據群組成員資格自動傳播 | 撤銷群組存取時自動移除 |
注意：若要永久移除 JIT 使用者，請在 Claude 中移除他們並在您的 IdP 中取消指派他們。您只在 Claude 中移除的使用者將在下次使用 SSO 登入時重新新增。
JIT 和 SCIM 都可以與啟用群組對應結合，以根據 IdP 群組成員資格控制角色或座位層級指派。如果您為佈建模式選擇這些選項之一，啟用群組對應將出現在使用者佈建區段內：
重要：群組對應僅設定使用者的角色類型和座位層級。具有自訂角色的使用者從 Claude 中的群組取得其權限，這些群組僅在您的佈建模式為 SCIM 目錄同步時從您的 IdP 同步。使用 JIT 時，您需要在 組織設定 > 群組中手動建立群組並將使用者新增到其中。如果您在 JIT 下將 IdP 群組對應到自訂角色而不執行此操作，這些使用者在登入時將沒有權限。深入瞭解 在 Enterprise 方案上管理群組。
可用的角色和座位層級
產品 | 角色 | 座位類型 |
Team 方案 | Owner、Admin、User | Premium、Standard |
座位型 Enterprise 方案 | Owner、Admin、User、Custom | 進階版、標準版 |
按使用量計費的企業方案（具有兩種座位類型） | 擁有者、管理員、使用者、自訂 | 聊天、聊天 + Claude Code |
按使用量計費的企業方案（單一座位類型） | 擁有者、管理員、使用者、自訂 | 企業版 |
主控台 | 管理員、開發人員、受限開發人員、帳單、Claude Code 使用者、使用者 | — |
步驟 2：設定 SCIM 目錄同步（如果使用 SCIM）
注意：如果您使用的是「僅限邀請」或 JIT 佈建，請略過此步驟。
如果您選擇 SCIM 作為佈建模式，您需要在啟用前建立身分識別提供者與 Anthropic 之間的連線。
在 Claude 中瀏覽至您的組織和存取設定（claude.ai/admin-settings/organization），或在主控台中瀏覽至您的身分識別和存取設定（platform.claude.com/settings/identity）
在使用者佈建區段中，按一下「設定 SCIM」（或「管理 SCIM」），位於SCIM 目錄同步旁邊。
按照 WorkOS 設定指南在您的身分識別提供者中設定 SCIM。您需要將 WorkOS 中的值複製到您 IdP 的 Anthropic 應用程式中。
‼️ 當您到達 IdP 群組步驟時，暫停以檢閱本指南的步驟 3 和 4，以及其他指南。
如需 IdP 特定的 JIT / SCIM 設定說明，請參閱：
查看其他 IdP 此處
IdP 連線後，繼續進行步驟 3。
步驟 3：設定佈建模式並啟用群組對應
找到您設定的使用者佈建區段。
選擇您選擇的選項：
僅限邀請：新成員只能在現有成員手動邀請時加入。單獨的 SSO 存取不會將他們新增至您的組織。
即時 (JIT)：允許具有 SSO 存取權的人員在首次登入時加入。每個新成員使用您可用座位中的一個。
SCIM 目錄同步：當您的目錄變更時自動新增或移除成員。您的組織始終保持最新狀態。
如果您選擇「即時 (JIT)」或「SCIM 目錄同步」，請勿按一下「儲存變更」。首先，確保所有使用者都已指派至您 IdP 中的 Anthropic 應用程式。儲存時未指派的任何使用者將從組織中取消佈建。
確認所有使用者都已在您的 IdP 中指派後，選擇其中一個：
按一下「儲存變更」以完成設定並觸發初始佈建。在可用的地方，管理主控台會顯示同步將變更的預覽，包括將移除多少使用者。在確認前檢閱，如果移除計數高於您的預期，請取消。深入瞭解 SCIM 同步的運作方式。
開啟啟用群組對應並移至步驟 4。如果您使用企業方案，並計劃使用 SCIM 將任何 IdP 群組對應至「自訂」角色，請先按照下一節中的步驟進行。
搭配 SCIM 群組對應使用自訂角色（企業方案）
您的 IdP 群組只有在第一次 SCIM 同步執行後才會出現在 Claude 中，因此您無法提前將其指派至自訂角色。在同步的群組指派至自訂角色之前，對應至「自訂」的群組中的使用者沒有權限：需要權限的功能會呈灰色或隱藏，Claude Code 登入失敗。為避免此情況，請分兩次設定 SCIM：
按一下「儲存變更」，啟用群組對應關閉，並讓初始同步完成。
返回使用者佈建，開啟啟用群組對應，並移至步驟 4。
深入瞭解 在企業方案上設定角色型權限。
步驟 4：在您的身分識別提供者中設定群組，並將群組對應至角色和座位類型
在您的 IdP 中為您想要指派的每個角色建立群組。除非您使用單一座位企業方案，否則也為每個座位類型建立群組。
雖然這些群組不再有命名要求，但我們建議在群組名稱中包含某些內容（例如
anthropic-claude-或anthropic-console-），以便更容易識別。
將使用者新增至您建立的群組，確保至少一個使用者（包括您自己）位於將對應至管理員 (主控台) 或擁有者 (Claude) 角色的群組中。
返回 Claude 或主控台中的組織和存取或身分識別和存取設定，並找到使用者佈建。
切換啟用群組對應開啟（如果尚未開啟）：
在啟用群組對應區段中，按一下每個角色旁邊的「新增」，並從下拉式清單中選擇您 IdP 中的對應群組。
使用群組對應時，您必須將所有使用者指派至角色型群組，以確保為其佈建帳戶。將使用者指派至座位層級群組是選擇性的。
您可以將 IdP 群組對應到「自訂」角色。獲指派此角色的使用者沒有預設權限；其存取權完全由指派給其在 Claude 中群組的自訂角色決定。如果您使用 JIT，請在他們登入前，在 組織設定 > 群組中手動將這些使用者新增到群組，因為 JIT 不會同步來自您 IdP 的群組成員資格。
適用於除單座企業版以外的所有方案：在將座位層級指派給 IdP 群組部分（選用），按一下每個座位類型旁的「新增」，然後從您的 IdP 選取對應的群組。不在任何座位層級群組中的使用者不會被移除。現有使用者保留其目前的座位類型。新使用者會獲得仍有未指派購買座位的最高座位類型（例如，在有未指派的進階座位時為進階版，然後為標準版），如果沒有可用座位則不指派座位。
適用於單座企業版：座位類型對應不適用。所有佈建的使用者都會自動指派企業版座位（如果您的組織中有可用座位）。
驗證所有必要的群組都已對應到適當的角色和座位類型。
按一下「儲存變更」。
注意：Microsoft Entra 每 40 分鐘才推送一次 SCIM 變更，因此變更可能需要一段時間才會顯示。您可以按一下「管理 SCIM」並檢視目錄，以查看從您的 IdP 同步的使用者。目錄中的這些使用者將被佈建到 Claude / Console。
重要：所有需要存取權的使用者都必須在您儲存群組對應設定前指派到適當的群組。這些使用者應該已在您啟用 SSO 時在您的 IdP 中指派到您的 Anthropic 應用程式。
主要擁有者角色如何與 JIT 和 SCIM 搭配運作
您組織的主要擁有者不受 SCIM 協調的約束。如果主要擁有者帳戶不在 IdP 目錄中，或不是對應到角色的任何群組的成員，則在 SCIM 同步時將被跳過。使用 JIT 和群組對應時，主要擁有者的角色在他們登入時不會變更，如果他們不在任何對應的群組中也不會被移除。主要擁有者的成員資格和角色會被保留。
此豁免僅適用於單一主要擁有者角色。擁有者和管理員角色不豁免，必須在對應到角色的群組中，否則在啟用 SCIM 群組對應時將被移除。使用 JIT 和群組對應時，他們會在下次登入時被移除。
主要擁有者角色無法透過群組對應指派。只能從 組織設定 > 成員手動轉移。在啟用 SCIM 或群組對應前設定您的預期主要擁有者。
主要擁有者不豁免於 SSO 登入強制執行。SSO 強制執行按電子郵件網域套用；如果主要擁有者的電子郵件在強制執行的網域上，他們必須透過 SSO 進行驗證。
疑難排解
使用者指派正確且顯示在目錄中，但未被新增為 Claude 的成員？
驗證您有足夠的座位已購買且可用於將成員新增到您的組織。
檢查 組織設定 > 組織和存取中顯示的可用座位數，並在需要時購買額外座位（請參閱我們的團隊方案和企業方案指南）。
一旦您有可用座位，請返回「組織和存取」頁面，並按一下目錄同步 (SCIM)旁的「立即同步」。這將觸發同步以為尚未新增為成員的使用者佈建帳戶。
使用者未以正確的角色進行佈建
驗證使用者在您的 IdP 中指派到正確的群組。
驗證群組在您的組織和存取設定中對應到正確的角色。
適用於 JIT：使用者需要登出並重新登入，角色變更才會生效。
適用於 SCIM：按一下「同步」以提示立即同步，或等待自動同步週期：
對應到自訂角色的使用者登入後無法存取任何內容
當您的佈建模式是 JIT 且 IdP 群組對應到自訂角色時，就會發生這種情況。JIT 指派角色類型，但不會同步來自您 IdP 的群組成員資格，因此這些使用者不在任何附加自訂角色的群組中，沒有權限。
若要修正此問題，請執行下列其中一項：
在 組織設定 > 群組中手動將受影響的使用者新增到適當的群組。深入瞭解在企業方案上管理群組。
將您的佈建模式切換到 SCIM 目錄同步，該同步會同步來自您 IdP 的群組及其成員資格。深入瞭解SCIM 同步的運作方式。
啟用群組對應後，我失去了管理員/擁有者存取權
當設定群組對應的人員未指派到對應到管理員或擁有者角色的群組時，就會發生這種情況，導致其權限被降級為使用者。不在任何對應群組中的人員會從組織中被移除（使用 JIT 時，在下次登入時；使用 SCIM 時，在下次同步時），需要重新新增。這不會影響主要擁有者。
若要修正此問題，請執行下列其中一項：
選項 1：讓另一位管理員/擁有者恢復您的角色
選項 2：透過您的身分識別提供者修正
在您的 IdP 中，將自己指派到具有正確前置詞的群組，該群組對應到管理員或擁有者角色。
適用於 JIT：登出並重新登入以重新獲得存取權。
適用於 SCIM：要求另一位管理員或擁有者按一下組織和存取設定中的「同步」，或等待自動同步週期。