在企業方案上設定角色型權限

本指南將引導您為企業組織設定角色型權限。這可讓您控制特定團隊或成員群組可以存取哪些功能和連接器，並委派特定的管理員存取權（例如帳單或使用者管理），而不是給予所有人相同的權限。

開始之前，請確保您熟悉：

您需要對企業組織具有擁有者或主要擁有者存取權，或具有身分識別與存取設定為「管理」的自訂角色。

檢查在組織層級啟用了哪些功能。前往組織設定並確保您知道成員目前可以存取哪些功能。對於由 RBAC 管理的設定，組織設定和角色設定都必須開啟，使用者才能獲得存取權。

備份您的成員清單。在進行任何變更之前，從組織設定 > 成員匯出目前成員的 CSV。如果在遷移期間出現問題，這可讓您參考以還原存取權。請參閱在團隊和企業方案上管理成員。

決定哪些團隊或職能需要每項功能。例如，工程部門獲得 Claude Code + 快速模式，行銷部門獲得協作 + 網路搜尋。從這裡開始，定義您的自訂角色。

雙座位方案。如果您的組織使用雙座位企業方案（具有聊天和聊天 + Claude Code 座位），自訂角色不會覆蓋座位層級的限制。指派給僅聊天座位的成員無法存取 Claude Code，即使其自訂角色授予了該權限。反之亦然：如果成員的自訂角色未授予聊天功能，無論其座位類型如何，他們都無法存取聊天。在規劃角色結構時，請考慮座位指派。

決定您將如何建立群組。您可以在 Claude 中手動建立群組，或透過 SCIM 從身分識別提供者 (IdP) 同步群組。您也可以同時使用兩種方法。如果您計劃使用來自 Okta、Entra ID 或其他提供者的 IdP 群組，請確保已設定 SCIM 目錄同步。請參閱設定 JIT 或 SCIM 佈建。

新增您計劃管理的連接器。連接器權限僅涵蓋擁有者或主要擁有者已在組織設定 > 連接器下新增並使用管理員認證連接的連接器。也請在那裡檢查您的組織範圍工具原則，因為角色授予會在其中縮小範圍，無法超越它。請參閱使用連接器擴展 Claude 的功能。

在建立任何內容之前，決定每個團隊或成員群組應該有權存取哪些功能。以下是四種常見模式：

這是大多數組織的建議方法。為所有人建立一個「標準存取」角色，具有網路搜尋、記憶和專案等常見功能。然後建立附加角色，授予特定功能 — 例如，只新增協作的「協作已啟用」角色。透過「所有使用者」群組將所有成員指派給基礎角色，並將特定成員新增到額外的群組，以分層新增額外功能。

此模式很靈活，因為權限是附加的 — 結合基礎角色和附加角色可以乾淨地組合，不會產生衝突。

建立不同的層級：「完整存取」具有所有功能、「標準存取」具有大多數功能，以及「受限存取」具有最少功能。每個成員恰好進入一個群組，該群組指派給一個層級。

建立對應於部門的角色：「工程」具有聊天、協作、Claude Code 和程式碼執行；「研究」具有聊天、網路搜尋、記憶和專案；「業務」僅具有聊天、網路搜尋和專案。將每個部門群組指派給其對應的角色。

建立委派部分管理而不授予擁有者角色的角色。具有管理員權限的自訂角色不需要任何使用者功能，反之亦然。您可以建立授予帳單存取權但沒有聊天或 Claude Code 功能的「財務」角色，或授予 Claude Code 加分析檢視存取權的「工程主管」角色。深入瞭解自訂角色的管理員權限。

記住：您想要按群組控制的任何功能都必須在組織層級啟用。如果功能在組織層級被切換關閉，沒有自訂角色可以授予對其的存取權。

在啟用任何功能或遷移成員之前建立您的自訂角色。這可確保您的角色已準備好在功能開啟的那一刻強制執行存取。

角色變更可能需要長達 15 分鐘才能生效。成員可能需要重新整理其瀏覽器以查看更新的存取權。

請參閱在企業方案上管理自訂角色以取得可用功能、管理員權限和連接器的詳細資訊。

在每個角色上設定管理員權限，以委派對管理員設定（例如帳單、使用者管理或隱私）的存取權，而不授予擁有者角色。此步驟是選用的。如果您未設定它，角色不授予任何管理員存取權，管理員存取權保留給擁有者和主要擁有者。如需每個權限區域涵蓋的內容，請參閱在企業方案上管理自訂角色。

權限標籤列出每個管理員區域：身分識別與存取、帳單、分析、隱私、使用者管理、程式庫和目錄。將每個管理員區域設定為下列其中一個選項：

在區域內，您授予所有檢視或所有管理權限。您無法授予或限制個別頁面或設定。

在您將成員遷移到「自訂」角色後驗證管理員權限（步驟 7）。請參閱步驟 11：驗證和監控。

在每個角色上設定連接器權限，以控制該角色可以使用哪些連接器以及這些連接器上的哪些工具。此步驟是選用的。如果您未設定此項，您的角色將回退到下面描述的預設行為。如需了解權限模型如何端對端運作，請參閱在企業方案上管理自訂角色。

新角色的預設設定是寬鬆的。建立或修改角色時，請確認每個標籤上的設定，以避免授予非預期的權限。

連接器標籤在頂部列出所有連接器列，其後是您的組織已新增的每個連接器。每列都有一個包含四個選項的下拉式清單：

選擇「一律允許」、「需要核准」或「已封鎖」會將該等級套用至連接器上的每個工具。所有連接器列的運作方式相同，但層級更高：它一次為每個連接器設定基準，包括您稍後新增的任何連接器。使用它來設定角色的預設值，然後覆寫個別連接器。

成員連接方式下拉式清單控制角色的成員是使用自己的帳戶登入連接器，還是透過您的身分識別提供者自動連接：

如果連接器同時啟用了個別和受管授權，Claude 會先嘗試受管授權。如果失敗，成員仍然可以使用自己的帳戶個別登入，因此在身分識別提供者問題得到解決時，他們不會被鎖定在連接器之外。

在所有連接器列中選擇個別或受管授權會一次為每個連接器設定基準，包括您稍後新增的任何連接器。使用它來設定角色的預設值，然後覆寫個別連接器。

將連接器設定為自訂以將其工具顯示為個別列。您可以為每個工具選擇「一律允許」、「需要核准」或「已封鎖」。

各工具權限讓角色可以到達連接器的一部分。例如，將 Jira 設定為自訂，其 search_issues 工具設定為「需要核准」，以及每個其他 Jira 工具設定為「已封鎖」，具有該角色的成員可以搜尋 Jira，但無法執行其他操作。Claude 只會看到您授予的工具，因此要求它建立票證會傳回「我沒有該工具」，而不是錯誤。

由於連接器權限在角色之間是累加的，在一個角色中封鎖連接器對同時持有另一個授予該連接器的角色的成員沒有影響。每列連接器在其他角色以不同等級授予相同連接器時顯示警告。警告會命名這些角色並連結到它們，最寬鬆的授予是適用的授予。

如果您在開啟連結的角色時有未儲存的編輯，系統會要求您先捨棄它們。

在您將成員遷移到「自訂」角色後驗證連接器權限（步驟 7）。請參閱步驟 11：驗證和監控。

在每個角色上設定模型存取，以控制該角色可以使用哪些 Claude 模型、限制每個模型的最大工作量等級，以及選擇新對話開始的模型。此步驟是選用的；如果您未設定此項，新角色可以使用在組織層級啟用的每個模型，在任何工作量等級，並在組織預設模型上開始。

如需了解模型存取和預設模型設定如何端對端運作，請參閱為您的組織管理模型存取和為您的組織設定預設模型。

在 Model access 下，為此角色開啟或關閉每個模型。在組織層級停用的模型會顯示，但在您於 Organization settings > Models 為組織開啟之前，無法在此啟用。Haiku 模型始終開啟，無法停用。

若要限制角色可在模型上選擇的工作量級別，請按一下模型旁的齒輪圖示並選擇一個級別。

在 Default model 下，可選擇此角色的新對話開始時使用的模型。只能選擇該角色有存取權限的模型。

在您將成員遷移至「Custom」角色後，驗證模型存取。請參閱 Step 11: Verify and monitor。

如果您使用 SCIM 目錄同步，可以從身分識別提供者同步群組，而不是手動建立。如需 SCIM 群組同步的詳細資訊，請參閱 Manage groups and group spend limits on Enterprise plans。

同一父組織下的多個組織：群組在父組織層級進行管理，並傳播到所有子組織。您可能會看到來自其他組織的成員列在群組中，但這並不表示他們有權存取您的組織。指派給群組的自訂角色只會授予屬於您特定組織的成員的功能。

如果您要求將組織從一個父組織移至另一個（在實務中很少見），群組和角色將變成未定義，您需要重新建立它們。

在將成員遷移至自訂角色之前，請確認您計畫遷移的每個成員至少在一個指派給自訂角色的群組中。在沒有群組或角色涵蓋的情況下遷移的成員將失去對所有受管功能的存取權。

為了使自訂角色功能生效，成員必須將其角色設定為「Custom」。具有「User」、「Admin」或「Owner」角色的成員直接從這些角色獲得其權限，而不是從自訂角色獲得。

根據您的組織是否已啟用群組對應來選擇遷移路徑：

只有在您的組織已為角色指派啟用群組對應時，才使用此路徑。如果您還未使用此設定，請跳至路徑 B。

對應至「Custom」角色的 IdP 群組中的成員遵循指派給他們在 Claude 中的群組的自訂角色的權限。對應至「User」的 IdP 群組中的成員遵循組織層級的功能設定。如果成員在兩個對應中的群組中，「Custom」角色優先。

如果您的組織尚未啟用群組對應，請使用此路徑。

我們建議先遷移一個試點群組（一個團隊或部門），並在擴展到組織其餘部分之前驗證其存取是否正確。

無論您使用哪條路徑，我們建議分階段遷移：

只有在角色、群組和成員遷移完成後，才能啟用組織層級的功能。這可確保自訂角色功能已就位，沒有未授權成員可以存取功能的時間窗口。

對於任何您想按群組控制的功能：

在組織層級啟用功能並不表示每個人都能使用它——自訂角色權限已經就位，可控制誰能使用它。將組織層級的切換開關視為使功能「可供角色型指派」，而非「對所有人開啟」。

若要為群組指派每位使用者的每月支出限額：

請注意下列優先順序規則：

成員資格變更會自動生效——使用者在群組成員資格變更時立即繼承或失去限額。僅適用於基於使用量的計費組織。

如果您設定了管理員權限，也請檢查：

如果您設定了連接器權限，也請檢查：

如果您設定了模型存取權，也請檢查：

角色變更可能需要最多 15 分鐘才能在整個平台上生效。成員可能需要重新整理其瀏覽器以查看更新的存取權。

SCIM 透過兩個協同運作的機制連接到您的角色型功能。

這會控制成員在佈建時獲得的內建角色。將您的 IdP 群組對應至「自訂」角色，以便新成員的存取權自動由自訂角色功能管理。

這會將您的 IdP 群組提取到 Claude 中，以便將其指派給自訂角色。

如果您在遷移後發現角色結構配置錯誤：

如果您在設定期間啟用了群組對應並失去了管理員存取權限，請按照 設定 JIT 或 SCIM 佈建中「啟用群組對應後失去管理員/擁有者存取權限」下的復原步驟進行操作。

是的。必須開啟組織層級的切換開關，自訂角色才能控制每個成員的存取權限。如果功能在組織層級關閉，無論成員的角色如何，任何人都無法存取。可以將其視為主開關——自訂角色控制誰可以在其下方獲得存取權限。

他們沒有自訂角色權限，因此所有需要權限的功能都會變成灰色或隱藏。請確保每個角色設定為「自訂」的成員至少在一個指派給自訂角色的群組中。

該模型在組織層級被停用（組織設定 > 模型），或成員的任何自訂角色都未授予該模型。組織層級的停用會影響所有人，包括擁有者和管理員。

該角色中的成員將看不到 Claude 的聊天介面。他們登入時會進入其設定頁面。如果其角色授予其他產品（如 Cowork 或 Claude Code），這些產品仍可從其設定頁面和相關應用程式存取。

聊天功能在所有自訂角色中預設為啟用，因此只有在您有意為某個角色關閉聊天時，您才需要擔心此問題。

可以。具有「使用者」、「管理員」或「擁有者」角色的成員不受自訂角色權限的影響，因為他們直接從這些角色獲得權限。只有角色設定為「自訂」的成員才受群組和角色系統的控制。這允許逐步遷移。

權限是累加的。如果成員鏈中的任何角色授予某項功能，他們就擁有該功能。您無法使用一個角色來移除另一個角色授予的權限。

可以。兩種類型都可以指派給自訂角色。區別在於 SCIM 群組成員資格在您的身分提供者中管理，而手動群組成員資格在 Claude 的組織設定中管理。

否。擁有者和主要擁有者始終擁有對所有功能的完全存取權限。

群組和 SCIM 同步在父組織層級進行管理，並在所有子組織之間共用。角色和支出限制指派在每個子組織中獨立配置——一個子組織中的變更不會影響其他子組織。群組成員資格變更和 SCIM 重新同步會在同一父組織下的所有子組織之間傳播。

每個現有角色都會以「所有連接器」授予「始終允許」進行初始化，因此成員的存取權限在啟用時不會改變。您可以從那裡縮小存取權限。

每個連接器上的「需要批准」。建立角色流程會逐步進行「連接器」標籤，因此您在儲存前會看到此內容。

「所有連接器」列設定為「始終允許」、「需要批准」或「已封鎖」的角色會自動在該層級涵蓋新連接器。「所有連接器」列設定為「自訂」的角色會將新連接器視為「已封鎖」，直到您進行設定。

檢查成員是否持有授予該連接器的另一個角色，因為最寬鬆的授予在各角色中獲勝。連接器列上的衝突警告會列出這些角色。同時確認成員的角色設定為「自訂」。

否。組織範圍政策是上限。在那裡被封鎖的工具對所有人都被封鎖，無論角色授予如何。

Cowork 有一個單獨的組織設定「允許連接器工具『始終允許』」，該設定控制具有寫入功能的連接器工具。預設情況下為關閉。在開啟之前，無論角色授予和工具政策如何，「允許所有任務」都保持灰色，並且先前儲存的始終允許偏好設定不被遵守。只有當連接器將其標註為唯讀時，唯讀工具才被豁免，但大多數自訂連接器都不這樣做。如需詳細資訊，請參閱 連接器工具批准。

角色可以授予它，但更嚴格的設定獲勝，因此成員看到它被限制在「需要批准」。若要讓成員設定「始終允許」，請先將組織範圍政策提高到「始終允許」。

可以。將連接器設定為「自訂」，將一個工具設定為「始終允許」或「需要批准」，並將其餘工具設定為「已封鎖」。

否。內建功能在「功能」標籤上進行管理。「連接器」標籤管理您的組織已添加的連接器。

角色變更可能需要最多 15 分鐘才能生效。成員可能需要重新整理其瀏覽器。

僅當其角色包含設定為「管理」的身分識別與存取權限時才可以，這涵蓋編輯角色和群組。請將該權限保留給受信任的安全和 IT 管理員，因為它可用於變更角色定義，包括他們自己的定義。

不可以。管理員權限僅適用於自訂角色中的成員。內建角色的成員保留該角色授予的存取權限。若要給予某人特定的管理員權限，請將該成員變更為自訂角色，並將其新增至指派給具有其所需權限之角色的群組。請注意，這會移除其先前的內建角色存取權限。

組織設定僅顯示其權限涵蓋的部分。他們無法存取的部分會完全隱藏在其組織設定中。

組織設定 > 角色顯示每個自訂角色授予的管理員權限，組織設定 > 群組顯示哪些群組指派給每個角色以及誰屬於這些群組。若要檢查特定成員，請在組織設定 > 成員上查詢其群組，然後查詢這些群組指派給的角色。

建立一個授予多個區域存取權限的角色，或將該成員新增至多個群組，其角色涵蓋他們需要的區域。權限以加法方式組合。