Voraussetzungen

Du hast die Verantwortlichen und Stakeholder für jede Entscheidung benannt. Bevor du die erste tatsächlich triffst, gehst du drei Bereiche der Grundlagenarbeit durch, einen nach dem anderen:

1. Wo du arbeiten wirst: die drei Orte, von denen aus du Claude Enterprise administrierst.
2. Wer was tun kann: die Rollen, die jede Aktion in deinen Organisationseinstellungen steuern.
3. Die Voraussetzungsprüfung: sechs Punkte, die du bestätigen musst, bevor du eine Gruppenstruktur wählst, danach das Domain-Claiming, eine Einstellung, die du nicht rückgängig machen kannst.

Dein Identity-Team hat vieles davon möglicherweise bereits für andere Systeme eingerichtet. Deine Aufgabe hier ist es zu wissen, was noch eingerichtet werden muss und wer dafür verantwortlich ist.

Wo du arbeiten wirst

Du administrierst Claude Enterprise von drei Orten aus. Zu wissen, wo was liegt, bewahrt dich davor, vergeblich nach Einstellungen zu suchen. Ein vierter Ort, die verwalteten Einstellungen von Claude Code, gehört deinem Platform Lead (Lektion 6).

• Organisationseinstellungen: die meisten Steuerungen in diesem Kurs — Gruppen und Rollen, Konnektoren, Governance, Ausgaben und Sichtbarkeit. Hierhin gehst du, um zu ändern, was eine Gruppe tun darf.
• Dein Identity Provider (IdP), wie Okta, Microsoft Entra ID oder vergleichbar: Gruppendefinitionen und Mitgliedschaft, die Claude über die Identitätssynchronisierung ausliest. Hierhin gehst du, um zu ändern, wer in einer Gruppe ist.
• Claude Console: API-Keys und Entwicklerzugriff, geführt als separate Organisation mit eigenem Admin-Modell. Hierhin gehst du, um den API-Zugriff zu verwalten, den die obigen Einstellungen nicht regeln.

Eine häufige Verwechslung besteht zwischen den ersten beiden: Wenn deine Gruppen synchronisiert werden, änderst du die Mitgliedschaft in deinem Identity Provider und die Berechtigungen in den Organisationseinstellungen.

Wer was tun kann

Jedes Mitglied hat eine Rolle, entweder eine der vier integrierten Rollen (Primary Owner, Owner, Admin, User) oder eine von dir definierte benutzerdefinierte Rolle, und jede Aktion in deinen Organisationseinstellungen wird durch sie gesteuert. Die genauen Fähigkeiten, die mit jeder integrierten Rolle verbunden sind, ändern sich mit der Weiterentwicklung des Produkts. Im Artikel Rollen und Berechtigungen findest du die aktuelle Fähigkeitsmatrix. Lektion 5 behandelt das vollständige Rollenbild von User, Admin und benutzerdefinierten Rollen als Teil des Gruppendesigns. Die Admin-Seite ist jetzt wichtig, weil sie bestimmt, wer die in diesem Kurs behandelten Entscheidungen tatsächlich umsetzen kann.

Die Voraussetzungsprüfung

Die erste Entscheidung, die du triffst, ist Struktur & Identität. Dies ist die Entscheidung, die später am meisten Aufwand erfordert, um sie zu ändern, daher solltest du sicherstellen, dass du ausreichend darauf vorbereitet bist. Es gibt sechs Voraussetzungen, die du erfüllen solltest, bevor du eine Gruppenstruktur wählst. Vier davon sind zwingend erforderlich: drei blockieren die Gruppeneinrichtung vollständig, und eine ist deine Absicherung dagegen, dich selbst auszusperren. Die anderen beiden können parallel laufen.

Ein genauerer Blick auf die Aussperrungs-Absicherung und das Domain-Claiming

Die Aussperrungs-Absicherung verdient einen genaueren Blick, als die Tabelle ihr gibt, ebenso wie eine Einstellung, die nach den Voraussetzungen kommt: das Domain-Claiming.

Was die Aussperrungs-Absicherung betrifft, solltest du mindestens zwei Mitgliedern die Rolle Owner geben. Ohne IdP-Rollenzuordnungen weist du sie direkt namentlich zu, damit ein Fehler bei der Gruppensynchronisierung den Admin-Zugriff nicht entziehen kann. Mit IdP-Rollenzuordnungen platzierst du dieselben Personen in der Gruppe, die Owner zugeordnet ist, bevor du die Zuordnung speicherst. Sobald Zuordnungen aktiv sind, stellt eine direkte Zuweisung allein deinen Zugriff nicht wieder her; das kann nur der Primary Owner, der nie automatisch entfernt wird.

Der Primary Owner verdient besondere Aufmerksamkeit, weil er Aktionen ausführen kann, die keine andere Rolle ausführen kann, und einige davon kommen später im Kurs wieder vor. Gib jedem Admin die am wenigsten mächtige Rolle, die seine Aufgabe abdeckt, und halte den Primary Owner aus dem täglichen Admin-Geschäft heraus. Wenn der Primary Owner nicht du bist, finde jetzt heraus, wer diese Rolle innehaben sollte.

Dann gibt es noch das Domain-Claiming. Personen in deinem Unternehmen nutzen Claude möglicherweise bereits über ein Nicht-Enterprise-Konto, für das sie sich mit einer geschäftlichen E-Mail-Adresse angemeldet haben, bevor deine Organisation in Claude existierte. Bis du deine Domain beanspruchst, liegen diese Konten außerhalb deiner Organisation, ebenso wie alles, was die Mitglieder darin tun. Die Verifizierung der Domain belegt, dass sie dir gehört; das Claiming ist der separate Schritt, der die bereits auf deiner Domain vorhandenen persönlichen Konten in deine Organisation überführt und jeden, der sich später darauf anmeldet, direkt über Single Sign-On in deine Organisation leitet. Sobald das 30-tägige Fenster des Claims geschlossen ist, verbleiben keine persönlichen Konten mehr auf der Domain. Die Artikel des Hilfecenters zum Domain-Claiming und zur Kontomigration enthalten die genauen Schritte.

Domain-Claiming ist optional, und es kommt aus gutem Grund nach den Voraussetzungen: Um es zu aktivieren, müssen diese zuerst vorhanden sein, damit jeder auf der Domain eine Möglichkeit hat, sich anzumelden, sobald sein Konto verschoben wird:

• Deine Domain ist verifiziert
• „Organisationserstellung einschränken" ist aktiviert
• Single Sign-On ist erzwungen (nicht nur konfiguriert)
• Provisioning ist live

„Organisationserstellung einschränken" lohnt sich zu aktivieren, selbst wenn du nie ein Claiming durchführst. Es wird verfügbar, sobald deine Domain verifiziert ist, und verhindert, dass jemand neue persönliche Konten oder Organisationen darauf erstellt, einschließlich Claude Console-Organisationen.

Ein paar Hinweise, die du beachten solltest, bevor du das Claiming aktivierst:

• Jeder auf der Domain, der nicht in deinem Identity Provider ist, wird ausgesperrt, sobald das Claiming beginnt, und sein persönliches Konto wird deaktiviert, wenn das 30-tägige Fenster schließt. Füge diese Personen daher zu deinem Identity Provider hinzu, bevor du das Claiming einleitest.
• Es kann nicht rückgängig gemacht werden.
• Mitglieder, die bereits ein persönliches Konto auf deiner Domain haben, erhalten ein 30-tägiges Migrationsfenster, das beginnt, sobald du das Claiming einleitest.
• Jeder von ihnen entscheidet sich entweder dafür, seine bestehenden Unterhaltungen und Projekte in deine Organisation zu übernehmen, oder neu zu beginnen. Wenn in deiner Organisation HIPAA-Bereitschaft oder kundenverwaltete Verschlüsselungsschlüssel aktiviert sind, ist Neubeginn die einzige Option: Nichts aus einem persönlichen Konto wird übernommen. In beiden Fällen werden benutzerdefinierte Skills bei einer Migration eines persönlichen Kontos nicht übertragen, daher sollten die Mitglieder alle, die sie behalten möchten, vor der Migration exportieren. Autorisierungen verbundener Apps werden widerrufen, sodass jede App vom jeweiligen Organisationskonto aus erneut verbunden werden muss und alle benutzerdefinierten Konnektoren dort erneut hinzugefügt werden müssen, vorbehaltlich der Richtlinie deiner Organisation; die Liste im Hilfecenter dazu, was übernommen wird nennt alles Weitere. Wer sich bis zum Schließen des Fensters nicht entschieden hat, beginnt standardmäßig neu.
• Das ursprüngliche persönliche Konto wird in jedem Fall deaktiviert.

Deine Aufgabe hierbei ist es, diesen Übergang so reibungslos wie möglich zu gestalten: Informiere diese Mitglieder im Voraus, bevor du das Claiming einleitest, damit niemand die Änderung erst bemerkt, nachdem sein altes Konto bereits verschwunden ist. Erwäge, Folgendes mitzuteilen:

In einer Organisation mit aktivierter HIPAA-Bereitschaft oder kundenverwalteten Verschlüsselungsschlüsseln ersetzt du „Die zu treffende Entscheidung" durch: „Nichts wird von deinem persönlichen Konto übernommen, sichere also zuerst alles, worauf du angewiesen bist."

Plutos Voraussetzungen

Nachdem die Voraussetzungen erfüllt waren, entschied sich Pluto, das Domain-Claiming zu aktivieren, und das war die einzige echte Hürde für das Deployment-Team: Etwa vierzig Mitglieder, hauptsächlich Ingenieure, nutzten bereits Claude auf Plutos E-Mail-Domain (der IT-Lead verschickte die obige Mitteilung zwei Wochen vor Einleitung des Claimings), und jeder von ihnen war in Plutos Organisation übergewechselt, als das 30-tägige Fenster schloss. Das Identity-Team verifizierte die Domain und verband Single Sign-On in der ersten Woche, die Admin-Rollen liegen beim IT-Lead, und die Rolle des Primary Owner bleibt beim CIO, bewusst außerhalb der täglichen Nutzung. Das Identity-Team richtete auch die Provisioning-App ein. Zwei direkt zugewiesene Owner und die Namenskonvention für Gruppen liegen beim IT-Lead, und der Billing Owner ist der Stellvertreter des CFO.

Einrichtungsressourcen

Diese Artikel decken die oben beschriebene Grundlagenarbeit ab: SSO, Provisioning, die Rollenmatrix und Domain-Claiming, einschließlich dessen, was deine Mitglieder mit persönlichen Konten sehen werden.

• Konten auf deiner Domain beanspruchen und migrieren: die Anforderungen und Schritte, um deine Domain zu beanspruchen.
• Auf ein Enterprise-Domain-Claiming für dein Claude-Konto reagieren: was deine Mitglieder mit persönlichen Konten sehen, damit du sie im Voraus informieren kannst.
• Dein persönliches Claude-Konto in eine Team- oder Enterprise-Organisation verschieben: was mit den Skills, verbundenen Apps und dem Verlauf eines Mitglieds bei der Migration passiert.
• Rollen und Berechtigungen: die aktuelle Fähigkeitsmatrix für jede integrierte Rolle.
• Single Sign-On (SSO) einrichten: die Verifizierung deiner Domain und die Konfiguration von SSO, das du erzwingen musst, nicht nur konfigurieren, bevor du deine Domain beanspruchst.
• JIT- oder SCIM-Provisioning einrichten: das Provisioning, das live sein muss, damit jeder auf deiner Domain einen Zugang hat.

Lektionsaktivität

Das interaktive Widget unten verfolgt die sechs Voraussetzungen: Markiere jede als erfüllt oder noch nicht, und übertrage das Ergebnis in dein Begleitdokument.

Gehe die sechs Voraussetzungen durch und beantworte für jede zwei Fragen: Wie ist ihr aktueller Status, und wer in deinem Unternehmen ist dafür verantwortlich, sie zu erfüllen? Jede harte Blockade, die noch nicht beseitigt ist, und jede Voraussetzung ohne Verantwortlichen müssen gelöst werden, bevor du mit der Entscheidung über Einstellungen beginnst.

→ Halte dies im Begleitdokument zum Mitarbeiten fest, Abschnitt Lektion 3.

Was kommt als Nächstes

Im nächsten Modul entscheidest du, wie viele Claude Enterprise-Organisationen du betreibst, und gestaltest deine Gruppen.