Dies ist weiterhin die zweite der fünf Entscheidungen, Zugriff. Du hast entschieden, auf welche Produktoberflächen und Funktionen deine Gruppen zugreifen können; jetzt entscheidest du, auf welche Tools und Datenquellen Claude zugreifen kann.
Was ein Konnektor ist
Ein Konnektor gibt Claude Zugriff auf eine andere Anwendung (dein Laufwerk, dein Wiki, dein Ticket-Tracker), sodass Mitglieder ihren aktuellen Arbeitskontext in ein Gespräch einbringen können, anstatt ihn einzufügen oder hochzuladen. Diese Reichweite ist gleichzeitig der Wert und das Risiko, weshalb der Zugriff auf Konnektoren an drei separaten Gates kontrolliert wird. Sie kann auch die frühe Akzeptanz vorantreiben: Ein Team, das früh ein Tool verbindet, hat von Tag eins an aktuellen Kontext zum Arbeiten, sodass das Aktivieren eines ersten Konnektors für eine Gruppe einer der wirkungsvollsten Schritte in einem Rollout ist.
Die drei Gates
Zwischen jedem Konnektor und einem Mitglied, das ihn tatsächlich nutzt, liegen drei Gates, und alle drei müssen offen sein, damit Claude auf die Daten des Konnektors zugreifen kann.
| Gate | Was es kontrolliert | Festgelegt von | Wenn es geschlossen ist |
|---|---|---|---|
| Organisations-Gate | Ob der Konnektor in deiner Organisation überhaupt verfügbar ist | Ein Owner oder Primary Owner | Niemand sieht den Konnektor, unabhängig von der Rolle |
| Rollen-Gate | Ob die Rolle einer Gruppe den Konnektor einschließt | Ein Owner oder Primary Owner | Manche Gruppen haben den Konnektor; die Gruppe dieses Mitglieds nicht |
| Mitglieder-Gate | Ob dieses Mitglied sein eigenes Konto verbunden hat und Claude damit autorisiert, in seinem Namen zu handeln | Das Mitglied | Der Konnektor ist gewährt, aber erst nutzbar, wenn dieses Mitglied sein Konto verbindet |
Der Konnektorzugriff jeder Gruppe wird im Tab „Konnektoren" ihrer benutzerdefinierten Rolle festgelegt. Bereits vorhandene benutzerdefinierte Rollen wurden bei jedem Konnektor auf „Immer erlauben" gesetzt, sodass Mitglieder den Zugriff behalten, den sie hatten, bis du eine Rolle einschränkst; überprüfe den Tab „Konnektoren" jeder Rolle. Eine Rolle, die du jetzt erstellst, startet bei jedem Konnektor mit „Genehmigung erforderlich" (Mitglieder bestätigen jeden Aufruf).
Was du kontrollierst
Innerhalb deiner beiden Gates hast du drei Kontrollmöglichkeiten:
- Die Konnektoren, die du deiner Organisation hinzufügst.
- Gruppenspezifische Zuweisung: welche Gruppen jeweils welchen erhalten.
- Wo ein Konnektor dies anbietet, die Zugriffstiefe: nur lesen oder lesen und schreiben. Im Produkt werden die Schreib- und Löschtools eines Konnektors jeweils auf „Immer erlauben", „Genehmigung erforderlich" oder „Blockiert" gesetzt, sodass das Blockieren ihn auf „nur lesen" beschränkt.
Beim Zugriff auf einen Konnektor übernimmt Claude die eigenen Berechtigungen des Mitglieds aus dem verbundenen Dienst: Wenn ein Mitglied nicht auf eine bestimmte Datei, einen Kanal oder einen Datensatz im Quellsystem zugreifen kann, gilt diese Berechtigungsgrenze auch über den Konnektor hinweg.
Die Netzwerkreichweite von Claude Code – die zulässigen Domains, die dein Platform Lead in den verwalteten Einstellungen festlegt (Lektion 6) – ist dieselbe Frage, nur auf das Netzwerk angewendet, also sprich sie im selben Gespräch wie die Konnektorliste an.
Unternehmensweit verwaltete Autorisierung
Standardmäßig gehört das dritte Gate dem Mitglied: Es verbindet sein eigenes Konto, und du kannst das nicht für es tun. Für die meisten Organisationen funktioniert das, aber es bedeutet, dass du nicht garantieren kannst, dass ein Konnektor für die Gruppe, der du ihn zugewiesen hast, tatsächlich aktiv ist.
Die unternehmensweit verwaltete Autorisierung (Enterprise-managed authorization, EMA) schließt diese Lücke. Anstatt dass jedes Mitglied sein eigenes Konto verbindet, stellst du den Zugriff zentral über den Identity Provider deiner Organisation bereit: Sobald ein Konnektor aktiviert ist, erhält jeder im Geltungsbereich ihn automatisch bei der ersten Anmeldung, mit Berechtigungen, die von den bestehenden IdP-Gruppen und -Rollen geerbt werden. Das Offboarding läuft in jedem Fall über den IdP. EMA ist nur für Konnektoren verfügbar, deren Anbieter Unterstützung dafür eingebaut hat, sodass einige Konnektoren auf deiner Liste weiterhin über das Mitglieder-Gate laufen. MCP-Konnektoren für deine gesamte Organisation autorisieren(öffnet in neuem Tab) behandelt, was EMA bewirkt, welche Konnektoren und Identity Provider es unterstützen und wie man es einrichtet (MCP ist der offene Standard, auf dem Konnektoren aufbauen).
Lese- und Schreibzugriff
Den Konnektorzugriff gibt es in zwei Stufen, und sie bergen unterschiedlich viel Risiko. Lesezugriff, die risikoärmere der beiden, lässt Claude das System sehen: das Dokument abrufen, den Tracker durchsuchen, das Dashboard lesen usw. Schreibzugriff lässt Claude es ändern: das Ticket anlegen, die Seite bearbeiten, einen neuen Eintrag erstellen usw. Claude Schreibzugriff zu geben bedeutet, dass Claude, im Namen des Mitglieds handelnd, Informationen in der verbundenen Anwendung ändern oder überschreiben kann (in Cowork und in der vereinheitlichten Claude-Erfahrung(öffnet in neuem Tab) bestätigt ein Mitglied weiterhin jeden Schreibvorgang, sofern nicht die Option „Immer erlauben für Konnektor-Tools zulassen" aktiviert ist). Deshalb sollte Schreibzugriff eine andere Freigabeebene erhalten: Erwäge, den in Lektion 2 benannten Data-Risk Owner Schreibberechtigungen genehmigen zu lassen, sodass das Risiko von der Person verwaltet wird, der es gehört.
Konnektoren sind die sichtbarste Änderung, die du aktivieren wirst: Mitglieder bemerken den Moment, in dem Claude plötzlich direkt auf Daten zugreifen kann. Kündige jeden Konnektor an, sobald er verfügbar gemacht wird, und sei klar darüber, was sich für Mitglieder ändert und was nicht: Der Konnektor ist nun für sie verfügbar, aber jedes Mitglied entscheidet weiterhin selbst, ob es ihn aktiviert. Leite Anfragen für neue Konnektoren über den in Lektion 2 benannten Access Owner.
Plutos Konnektoren
Pluto fügte sein Laufwerk und sein Wiki für jede Gruppe nur lesend hinzu und fügte den Ticket-Tracker lesend und schreibend für Engineering hinzu, dessen Workflow den ganzen Tag Tickets anlegt, mit der Freigabe des Risk Owners für die Schreibberechtigung. Payments-eng (in Lektion 5 aus Engineering herausgehalten) bleibt nur lesend, und ein Konnektor, dessen Daten außerhalb seines Zuständigkeitsbereichs liegen, wird für diese Gruppe vollständig weggelassen — die strengere Haltung, die Payments & Trust durchgängig einnimmt.
Das interaktive Widget unten führt Plutos drei Gates für einen einzelnen Konnektor durch: Öffne oder schließe ein beliebiges Gate und beobachte, wer es kontrolliert und was jedes Mitglied erlebt.
1 · Deine Entscheidung
Welche Konnektoren erhält jede Gruppe, und in welcher Tiefe: nur lesen oder lesen und schreiben, pro Tool?
2 · Die Entscheidungsmöglichkeiten
Der Konnektorzugriff ist letztlich eine Ermessensentscheidung über Risiko: Frage dich bei jedem Konnektor, welche Gruppe jede Woche Schreibzugriff für ihre Arbeit benötigt.
| Die Wahl | Wann du sie treffen würdest | Was sie bedeutet und welche Auswirkungen sie hat |
|---|---|---|
| Nur lesen, beschränkt auf die Gruppen, deren Arbeit in diesem System stattfindet | Die meisten Organisationen landen hier, sofern nicht die unten beschriebene Situation zutrifft. | Lesezugriff ist sofort nützlich: Abrufen und Suchen schaffen für sich genommen echten Wert. Das vermeidet die Frage, was Claude in deinen Systemen ändern darf, während deine Organisation lernt, was Mitglieder tatsächlich mit der Reichweite tun. Das übliche Muster ist, dass Schreibzugriff später kommt, sobald ein Workflow den Bedarf gezeigt hat und der Risk Owner zugestimmt hat. |
| Schreiben, schrittweise mit Freigabe eingeführt | Der Workflow einer Gruppe erfordert eindeutig, dass Claude in das System schreibt (Tickets anlegen, Seiten aktualisieren), und ihr Risk Owner ist damit einverstanden. | Die Gruppe startet wie alle anderen nur lesend und erhält dann Schreibzugriff, sobald sich der Bedarf gezeigt hat und der Risk Owner zugestimmt hat. Claude kann dieses System dann im Namen der Mitglieder ändern, wobei das Risiko bei dem Verantwortlichen liegt, der es akzeptiert hat. |
3 · Wenn du das später änderst
Konnektoreinstellungen sind frei reversibel: die Konnektoren, die du hinzugefügt hast, die Zuweisung jeder Gruppe und nur lesen versus lesen und schreiben lassen sich alle in deinen Organisationseinstellungen ändern. Erweitern kostet Mitglieder nichts. Einschränken sollte jedoch mit Sorgfalt gehandhabt werden: Das Entziehen von Schreibzugriff oder das Entfernen eines Konnektors bricht die Workflows, die Mitglieder darauf aufgebaut haben. Es ist bewährte Praxis, jede Zugriffsänderung anzukündigen, damit Mitglieder sich dessen bewusst sind.
Ressourcen einrichten
Wenn du die Entscheidung getroffen hast, richte die Konnektoren deiner Organisation ein. Die Konnektoren, die du hinzufügst, und die Konnektorzuweisung jeder Gruppe liegen zusammen mit deinen Gruppen und ihren Rollenzuweisungen in den Organisationseinstellungen, und dort, wo du EMA verwendest, ist es auch der Ort, an dem du das Mitglieder-Gate zentral einrichten kannst.
- Konnektoren verwenden, um Claudes Fähigkeiten zu erweitern(öffnet in neuem Tab): was ein Konnektor ist und tut, aus Sicht des Mitglieds: das, was du kontrollierst.
- Erste Schritte mit benutzerdefinierten Konnektoren über Remote-MCP(öffnet in neuem Tab): wie ein benutzerdefinierter Konnektor erstellt und hinzugefügt wird, damit du weißt, was du genehmigst.
- Rollenbasierte Berechtigungen in Enterprise Plans einrichten(öffnet in neuem Tab): wie benutzerdefinierte Rollen steuern, welche Konnektoren jede Gruppe nutzen kann.
- MCP-Konnektoren für deine gesamte Organisation autorisieren(öffnet in neuem Tab): unternehmensweit verwaltete Autorisierung — was sie bewirkt, welche Konnektoren und Identity Provider sie unterstützen und wie man sie einrichtet.
- Enterprise-managed authorization (MCP-Dokumentation)(öffnet in neuem Tab): der Standard hinter EMA.
- Das sandboxed Bash-Tool konfigurieren(öffnet in neuem Tab): Claude Codes Netzwerkreichweite: die zulässigen Domains der Sandbox in ihren verwalteten Einstellungen, die dein Platform Lead verantwortet.
Lektionsaktivität
Fülle die Konnektortabelle in deinem Begleitdokument aus: Konnektor, wer ihn erhält, und Tiefe (nur lesen oder lesen und schreiben).
Was du deinem Risk Owner mitbringen solltest: jede Zeile mit Schreibzugriff: den Workflow, der ihn benötigt, die Gruppe, die ihn trägt, und die Risikoeinordnung von Lesen versus Schreiben aus dem Abschnitt oben.
→ Halte dies im Begleitdokument zum Mitarbeiten fest, Abschnitt Lektion 7.
Downloads
- Herunterladen
Work-along companion (Word)
The editable Word version of the rollout plan you fill in lesson by lesson.
- Herunterladen
Work-along companion (PDF)
The same rollout plan as a fillable PDF.
Was als Nächstes kommt
Das nächste Modul, Governance, wendet sich nach innen und betrachtet, wie frei Mitglieder Claude selbst anpassen: die Skills, die sie erstellen, wie diese Skills geteilt werden, und die Organisationsanweisungen, die Claude für alle prägen, zusammen mit der Governance-Haltung, die alle drei abdeckt.