在企業方案上設定角色型權限

本指南將引導您為企業組織設定角色型權限。這可讓您控制特定團隊或成員群組可以存取哪些功能和連接器，並委派特定的管理員存取權（例如帳單或使用者管理），而不是給予所有人相同的權限。

開始前，請確保您熟悉：

您需要對企業組織具有擁有者或主要擁有者存取權，或具有身分識別與存取設定為「管理」的自訂角色。

檢查在組織層級啟用了哪些功能。前往組織設定並確保您知道成員目前可以存取哪些功能。對於由 RBAC 管理的設定，組織設定和角色設定都必須開啟，使用者才能獲得存取權。

備份您的成員清單。在進行任何變更前，從組織設定 > 成員匯出目前成員的 CSV。如果在遷移期間出現問題，這可讓您參考以還原存取權。請參閱在團隊和企業方案上管理成員。

決定哪些團隊或職能需要每項功能。例如，工程部門獲得 Claude Code + 快速模式，行銷部門獲得協作 + 網路搜尋。從這裡開始，定義您的自訂角色。

雙座位方案。如果您的組織使用雙座位企業方案（具有聊天和聊天 + Claude Code 座位），自訂角色不會覆蓋座位層級的限制。指派給僅聊天座位的成員無法存取 Claude Code，即使其自訂角色授予了該權限。反之亦然：如果成員的自訂角色未授予聊天功能，無論其座位類型如何，他們都無法存取聊天。請在考慮座位指派的情況下規劃您的角色結構。

決定您將如何建立群組。您可以在 Claude 中手動建立群組，或透過 SCIM 從身分識別提供者 (IdP) 同步群組。您也可以同時使用兩種方法。如果您計劃使用來自 Okta、Entra ID 或其他提供者的 IdP 群組，請確保已設定 SCIM 目錄同步。請參閱設定 JIT 或 SCIM 佈建。

新增您計劃管理的連接器。連接器權限僅涵蓋擁有者或主要擁有者已在組織設定 > 連接器下新增並使用管理員認證連接的連接器。也請在那裡檢查您的組織範圍工具政策，因為角色授予會在其中縮小範圍，無法超越它。請參閱使用連接器擴展 Claude 的功能。

在建立任何內容之前，決定每個團隊或成員群組應該有權存取哪些功能。以下是四種常見模式：

這是大多數組織的建議方法。為所有人建立一個具有常見功能（如網路搜尋、記憶和專案）的「標準存取」角色。然後建立附加角色，授予特定功能 — 例如，只新增協作的「協作已啟用」角色。透過「所有使用者」群組將所有成員指派給基礎角色，並將特定成員新增到額外的群組，以分層新增額外功能。

此模式很靈活，因為權限是附加的 — 結合基礎角色和附加角色可以乾淨地組合，不會產生衝突。

建立不同的層級：具有所有功能的「完整存取」、具有大多數功能的「標準存取」和具有最少功能的「受限存取」。每個成員恰好進入一個群組，該群組指派給一個層級。

建立對應於部門的角色：「工程」具有聊天、協作、Claude Code 和程式碼執行；「研究」具有聊天、網路搜尋、記憶和專案；「業務」僅具有聊天、網路搜尋和專案。將每個部門群組指派給其對應的角色。

建立委派部分管理而不授予擁有者角色的角色。具有管理員權限的自訂角色不需要任何使用者功能，反之亦然。您可以建立授予帳單存取權但沒有聊天或 Claude Code 功能的「財務」角色，或授予 Claude Code 加分析檢視存取權的「工程主管」角色。深入瞭解自訂角色的管理員權限。

記住：您想要按群組控制的任何功能都必須在組織層級啟用。如果功能在組織層級被切換關閉，沒有自訂角色可以授予對其的存取權。

在啟用任何功能或遷移成員之前建立您的自訂角色。這可確保您的角色已準備好在功能開啟的那一刻強制執行存取。

角色變更可能需要最多 15 分鐘才能生效。成員可能需要重新整理其瀏覽器以查看更新的存取權。

請參閱在企業方案上管理自訂角色以取得可用功能、管理員權限和連接器的詳細資訊。

在每個角色上設定管理員權限，以委派對管理員設定（如帳單、使用者管理或隱私）的存取權，而不授予擁有者角色。此步驟是選用的。如果您未設定此項，角色不會授予任何管理員存取權，管理將保留給擁有者和主要擁有者。如需了解每個權限區域涵蓋的內容，請參閱在企業方案上管理自訂角色。

權限 標籤列出每個管理員區域：身分識別與存取、帳單、分析、隱私、使用者管理和程式庫。將每個管理員區域設定為下列其中一個選項：

在區域內，您授予所有檢視或所有管理權限。您無法授予或限制個別頁面或設定。

在您將成員遷移至「自訂」角色後驗證管理員權限（步驟 7）。請參閱 步驟 11：驗證和監控。

在每個角色上設定連接器權限，以控制該角色可以使用哪些連接器以及這些連接器上的哪些工具。此步驟是選用的。如果您未設定此項，您的角色將回退到下面描述的預設行為。如需了解權限模型如何端對端運作，請參閱 在企業方案上管理自訂角色。

新角色的預設設定是寬鬆的。建立或修改角色時，請確認每個標籤上的設定，以避免授予非預期的權限。

連接器 標籤在頂部列出 所有連接器 列，後面跟著您的組織已新增的每個連接器。每列都有一個包含四個選項的下拉式清單：

選擇「一律允許」、「需要核准」或「已封鎖」會將該等級套用至連接器上的每個工具。所有連接器 列的運作方式相同，但層級更高：它一次為每個連接器設定基準，包括您稍後新增的任何連接器。使用它來設定角色的預設值，然後覆寫個別連接器。

將連接器設定為 自訂 以將其工具顯示為個別列。每個工具都有自己的下拉式清單：「一律允許」、「需要核准」或「已封鎖」。

各工具權限讓角色可以到達連接器的一部分。例如，將 Jira 設定為 自訂，其 search_issues 工具設定為「需要核准」，以及每個其他 Jira 工具設定為「已封鎖」，具有該角色的成員可以搜尋 Jira，但無法執行其他操作。Claude 只會看到您授予的工具，因此要求它建立票證會傳回「我沒有該工具」，而不是錯誤。

由於連接器權限在角色之間是累加的，在一個角色中封鎖連接器對同時持有另一個授予該連接器的角色的成員沒有影響。每列連接器會在其他角色以不同等級授予相同連接器時顯示警告。警告會命名這些角色並連結到它們，最寬鬆的授予是適用的授予。

如果您在開啟連結的角色時有未儲存的編輯，系統會要求您先捨棄它們。

在您將成員遷移至「自訂」角色後驗證連接器權限（步驟 7）。請參閱 步驟 11：驗證和監控。

在每個角色上設定模型存取，以控制該角色可以使用哪些 Claude 模型、限制每個模型的最大努力等級，以及選擇新對話開始的模型。此步驟是選用的；如果您未設定此項，新角色可以使用在組織層級啟用的每個模型，在任何努力等級，並在組織預設模型上開始。

如需了解模型存取和預設模型設定如何端對端運作，請參閱 為您的組織管理模型存取 和 為您的組織設定預設模型。

在 模型存取 下，為此角色開啟或關閉每個模型。在組織層級停用的模型會出現，但在您在 組織設定 > 模型 中為組織開啟它們之前，無法在此啟用。Haiku 模型始終開啟，無法停用。

若要限制角色可以在模型上選擇的努力等級，請按一下模型旁邊的齒輪圖示，然後選擇一個等級。

在 預設模型 下，選擇性地選擇此角色的新對話開始的模型。只能選擇角色有存取權的模型。

在您將成員遷移至「自訂」角色後驗證模型存取。請參閱 步驟 11：驗證和監控。

如果您使用 SCIM 目錄同步，可以從身分識別提供者同步群組，而不是手動建立。如需 SCIM 群組同步的詳細資訊，請參閱 在企業方案上管理群組和群組支出限制。

同一父組織下的多個組織：群組在父組織層級進行管理，並傳播到所有子組織。您可能會看到來自其他組織的成員列在群組中，但這並不表示他們有權存取您的組織。指派給群組的自訂角色只會授予屬於您特定組織的成員的功能。

如果您要求將組織從一個父組織移至另一個父組織（這在實務中很少見），群組和角色將變成未定義，您需要重新建立它們。

在將成員遷移至自訂角色之前，請確認您計畫遷移的每個成員至少在一個指派給自訂角色的群組中。在沒有群組或角色涵蓋的情況下遷移的成員將失去對所有受管功能的存取權。

為了使自訂角色功能生效，成員必須將其角色設定為「自訂」。具有「使用者」、「管理員」或「擁有者」角色的成員直接從這些角色獲得其權限，而不是從自訂角色獲得。

根據您的組織是否已啟用群組對應來選擇遷移路徑：

只有在您的組織已為角色指派啟用群組對應時，才使用此路徑。如果您還沒有使用此設定，請跳至路徑 B。

對應至「自訂」角色的 IdP 群組中的成員遵循指派給他們在 Claude 中的群組的自訂角色的權限。對應至「使用者」的 IdP 群組中的成員遵循組織層級的功能設定。如果成員在兩個對應中的群組中，「自訂」角色優先。

如果您的組織尚未啟用群組對應，請使用此路徑。

我們建議先遷移試點群組（一個團隊或部門），並在擴展到組織其餘部分之前驗證其存取權是否正確。

無論您使用哪條路徑，我們建議分階段遷移：

只有在角色、群組和成員遷移完成後，才能啟用組織層級功能。這可確保自訂角色功能已就位，沒有未授權成員可以存取功能的時間窗口。

對於您想要按群組控制的任何功能：

在組織層級啟用功能並不意味著每個人都能獲得它，自訂角色權限已就位以控制誰可以使用它。將組織層級切換視為使功能「可用於基於角色的指派」，而不是「對所有人開啟」。

導覽至「使用量」頁面，為任何群組指派每位使用者的每月支出限制。

請注意以下優先順序規則：

成員身份變更會自動生效—使用者在群組成員身份變更時立即繼承或失去限制。僅適用於基於使用量計費的組織。

如果您設定了管理員權限，也請檢查：

如果您設定了連接器權限，也請檢查：

如果您設定了模型存取權限，也請檢查：

角色變更可能需要最多 15 分鐘才能在整個平台上生效。成員可能需要重新整理其瀏覽器以查看更新的存取權限。

SCIM 透過兩個協同運作的機制連接到您的角色型功能。

這會控制成員在佈建時獲得的內建角色。將您的 IdP 群組對應到「自訂」角色，以便新成員的存取權限自動由自訂角色功能管理。

這會將您的 IdP 群組提取到 Claude 中，以便將其指派給自訂角色。

如果您在遷移後發現角色結構配置錯誤：

如果您在設定期間啟用了群組對應並失去了管理員存取權限，請按照 設定 JIT 或 SCIM 佈建中「啟用群組對應後我失去了管理員/擁有者存取權限」下的復原步驟進行操作。

是的。組織層級切換必須開啟，自訂角色才能控制每個成員的存取權限。如果功能在組織層級關閉，無論其角色如何，任何人都無法存取它。可以將其視為主開關—自訂角色控制誰可以在其下方存取。

他們沒有自訂角色權限，因此所有需要權限的功能都會呈灰色顯示或隱藏。請確保角色設定為「自訂」的每個成員至少在一個指派給自訂角色的群組中。

模型在組織層級被停用（組織設定 > 模型），或成員的自訂角色都未授予該模型。組織層級的停用會影響所有人，包括擁有者和管理員。

該角色中的成員將看不到 Claude 的聊天介面。登入時會進入設定頁面。如果其角色授予 Cowork 或 Claude Code 等其他產品，這些產品仍可從其設定頁面和相關應用程式存取。

聊天功能在所有自訂角色中預設為啟用，因此只有在您刻意關閉角色的聊天功能時，才需要擔心此問題。

可以。具有使用者、管理員或擁有者角色的成員不受自訂角色權限影響，因為他們直接從這些角色獲得權限。只有角色設定為「自訂」的成員才受群組和角色系統控制。這允許逐步遷移。

權限是累加的。如果成員鏈中的任何角色授予某項功能，他們就擁有該功能。您無法使用角色移除由另一個角色授予的權限。

可以。兩種類型都可以指派給自訂角色。差異在於 SCIM 群組成員資格在您的身分提供者中管理，而手動群組成員資格在 Claude 的組織設定中管理。

否。擁有者和主要擁有者始終擁有所有功能的完整存取權限。

群組和 SCIM 同步在父組織層級進行管理，並在所有子組織間共用。角色和支出限制指派在每個子組織中獨立配置—一個子組織中的變更不會影響其他組織。群組成員資格變更和 SCIM 重新同步會在同一父組織下的所有子組織間傳播。

每個現有角色都會以「所有連接器」授予「始終允許」進行初始化，因此成員的存取權限在啟用時不會改變。您可以從那裡縮小存取範圍。

每個連接器上的「需要批准」。建立角色流程會逐步進行「連接器」標籤，因此您在儲存前會看到此設定。

「所有連接器」列設定為「始終允許」、「需要批准」或「已封鎖」的角色會自動在該層級涵蓋新連接器。「所有連接器」列設定為「自訂」的角色會將新連接器視為「已封鎖」，直到您進行設定。

檢查成員是否持有授予該連接器的另一個角色，因為最寬鬆的授予在各角色間獲勝。連接器列上的衝突警告會列出這些角色。同時確認成員的角色設定為「自訂」。

否。組織範圍政策是上限。在那裡被封鎖的工具對所有人都被封鎖，無論角色授予如何。

角色可以授予它，但更嚴格的設定會獲勝，因此成員看到它被限制在「需要批准」。若要讓成員設定「始終允許」，請先將組織範圍政策提升至「始終允許」。

可以。將連接器設定為「自訂」，將該工具設定為「始終允許」或「需要批准」，並將其餘工具設定為「已封鎖」。

否。內建功能在「功能」標籤上進行管理。「連接器」標籤管理您的組織已新增的連接器。

角色變更最多可能需要 15 分鐘才能生效。成員可能需要重新整理其瀏覽器。

只有在其角色包含設定為「管理」的「身分與存取」時才可以，這涵蓋編輯角色和群組。為受信任的安全和 IT 管理員保留該權限，因為它可用於變更角色定義，包括他們自己的定義。

否。管理員權限僅適用於自訂角色中的成員。內建角色上的成員保留該角色授予的存取權限。若要向某人授予特定管理員權限，請將成員變更為自訂角色，並將其新增至指派給具有他們所需權限的角色的群組。請記住，這會移除其先前的內建角色存取權限。

組織設定僅顯示其權限涵蓋的部分。他們無法存取的部分在其組織設定中完全隱藏。

組織設定 > 角色顯示每個自訂角色授予的管理員權限，組織設定 > 群組顯示哪些群組指派給每個角色以及誰屬於這些群組。若要檢查特定成員，請在組織設定 > 成員上查詢其群組，然後查詢這些群組指派給的角色。

建立一個授予多個區域存取權限的角色，或將成員新增至多個群組，其角色涵蓋他們所需的區域。權限以累加方式組合。