Dies ist weiterhin die erste der fünf Entscheidungen, Struktur & Identität. Du hast die Organisationsgrenze festgelegt. Jetzt kannst du dich dem zuwenden, was darin enthalten ist: deine Gruppen und die Rollen, die sie tragen. Gruppen sind die Einheit, an die sich nahezu jede spätere Entscheidung knüpft.
Gruppen sind die Einheit, an die sich nahezu jede Kontrolle knüpft
Alles andere in diesem Modul ergibt sich daraus, was eine Gruppe ist und was sie trägt.
-
Eine Gruppe ist eine benannte Menge von Mitgliedern.
Dein Identitätsanbieter sortiert deine Mitglieder bereits in Gruppen, und Claude liest diese automatisch aus der SCIM-Synchronisierung. Du hast möglicherweise zwischen Hunderten und Zehntausenden von Mitgliedern, sodass die Konfiguration einzelner Mitglieder nicht skaliert. Mit Gruppen kannst du Fähigkeiten für viele Mitglieder gleichzeitig konfigurieren, statt einzeln.
-
Eine Gruppenstruktur erstreckt sich über jede Oberfläche, die dein Vertrag abdeckt.
Du baust eine einzige Gruppenstruktur auf, nicht eine pro Oberfläche (z. B. Cowork oder Claude Code). Die Rolle, die du einer Gruppe zuweist, gilt über alle Oberflächen von Claude hinweg, sodass das, was diese Rolle in einem Produkt gewährt, nicht für das nächste neu erstellt werden muss.
-
Fast jede Einstellung in den vier kommenden Entscheidungen knüpft sich an eine Gruppe:
Fast alles, was du konfigurierst, konfigurierst du für eine Gruppe; eine Handvoll Einstellungen sind stattdessen organisationsweite Obergrenzen, und die Lektionen weisen darauf hin, wo sie auftreten.
Wenn du später den Wunsch verspürst, eine Kontrolle auf eine bestimmte Teilmenge zu beschränken („nur diese drei Mitglieder", „alle außer Auftragnehmern"), ist das wahrscheinlich ein Hinweis der Struktur darauf, dass deine Organisation eine weitere Gruppe benötigt.
Wie RBAC funktioniert: Mitglieder, Gruppen, Rollen
Claude Enterprise verwendet rollenbasierte Zugriffskontrolle (RBAC). Dies besteht aus drei Teilen:
- Mitglieder: deine Personen.
- Gruppen: benannte Mengen von Mitgliedern, synchronisiert von deinem Identitätsanbieter (IdP) über SCIM oder, falls du nicht synchronisierst, manuell in den Organisationseinstellungen erstellt.
- Rollen: Berechtigungssätze, die du einer Gruppe zuweist. Jedes Mitglied mit einer benutzerdefinierten Rolle erhält das, was die Rollen seiner Gruppen gewähren.
Du legst den Zugriff über Rollen fest, nicht Mitglied für Mitglied. Um zu sehen, was ein Mitglied tun kann, überprüfe die Rollen seiner Gruppen. Änderst du eine Rolle, ändert sich jedes Mitglied dieser Gruppe gleichzeitig.
Es gibt drei Arten von Rollen:
- Admin-Rollen (Primary Owner, Owner, Admin): wer Einstellungen ändern kann, etwa Mitglieder einladen, Obergrenzen bearbeiten und Abrechnungen einsehen (die letzten beiden sind Owner-und-höher). Ein Admin kann Mitglieder verwalten, aber nicht die Abrechnung; ein Owner kann die meisten Admin-Aktionen ausführen, aber nicht einige wenige, die dem Primary Owner vorbehalten sind, etwa den Export der Daten deiner Organisation und die Übergabe der Primary-Owner-Rolle an jemand anderen; die vollständige Liste findest du unter Rollen und Berechtigungen(öffnet in neuem Tab); sieh sie dir an, bevor du entscheidest, wer die Primary-Owner-Rolle innehat.
- Benutzerrollen (User): was Mitglieder in Claude tun können, einschließlich Fähigkeiten, Modellzugriff und welche Tools Claude im Auftrag der Mitglieder nutzen darf. Der Großteil dieses Kurses regelt dies über benutzerdefinierte Rollen (siehe unten).
- Benutzerdefinierte Rollen: ein Berechtigungssatz, den du definierst, wenn die integrierten Rollen nicht passen. Er kann Admin- oder Benutzerberechtigungen tragen.
Eine benutzerdefinierte Rolle legt vier Arten von Zugriff fest, die jeweils anders gehalten werden können als die organisationsweite Standardeinstellung:
- Fähigkeiten: welche Funktionen aktiviert sind, zum Beispiel Claude Code und Cowork.
- Modellzugriff: welche Claude-Modelle die Gruppe nutzen kann.
- Konnektor-Berechtigungen: auf welche Konnektoren die Gruppe zugreifen kann und ob sie darüber schreiben kann.
- Admin-Berechtigungen: für eine benutzerdefinierte Admin-Rolle, welche Admin-Aktionen sie ausführen darf.
Diese wirken sich nur auf Mitglieder mit einer benutzerdefinierten Rolle aus; Mitglieder mit einer integrierten Rolle behalten jede Oberfläche, jedes Modell und jeden Konnektor organisationsweit aktiviert. Die Rolle manuell oder über dein IdP-Rollenmapping auf „Custom" zu setzen, ist Teil der Übergabe dieser Lektion.
Wenn ein Mitglied zu mehr als einer Gruppe gehört, sind seine Berechtigungen die Vereinigung der Rollen aller Gruppen. Gewährt irgendeine Gruppe eine Fähigkeit, besitzt das Mitglied sie, und eine engere Gruppe kann nicht entfernen, was eine breitere gewährt. Um eine engere Grenze einzuhalten, platziere diese Mitglieder in ihrer eigenen Gruppe mit eigener Rolle und halte sie aus der breiten Gruppe heraus, die die sensible Berechtigung trägt.
Plutos Gruppen
Plutos Gruppenstruktur folgt dem Hybrid-Muster: Sie spiegelt das Organigramm wider, eine Gruppe pro Geschäftsbereich plus eine bereichsübergreifende Engineering-Gruppe, überall außer bei Payments & Trust, deren Ingenieure sonst über die Vereinigung den breiten Konnektor-Zugriff von Engineering erben würden. Deshalb hat Pluto eine eigene payments-eng-Gruppe mit eigener Rolle hinzugefügt, und die Payments-Ingenieure sitzen dort statt in der breiten Engineering-Gruppe, wodurch sichergestellt wird, dass sie nur die Berechtigungen erhalten, die sie benötigen.
Das interaktive Widget unten platziert ein Mitglied in zwei von Plutos Gruppen und zeigt, was sie unter der Vereinigungsregel tatsächlich erhält.
1 · Deine Entscheidung
An welches Gruppenmuster knüpfen sich deine Kontrollen: Was sind deine Gruppen, und welche der späteren Kontrollen (Oberflächen, Konnektoren, Governance, Obergrenzen) trägt jede davon?
2 · Die Wahlmöglichkeiten, die du hast
| Die Wahl | Wann du sie treffen würdest | Was sie bedeutet und welche Auswirkungen sie hat |
|---|---|---|
| Das Organigramm deines Unternehmens spiegeln | Kontrollen müssen nur nach Abteilung variieren, nicht nach Risiko. Die Struktur existiert typischerweise bereits in deinem Identitätsanbieter. | Eine Claude-Gruppe pro Abteilung oder Team. Alle späteren Kontrollen landen entlang der Abteilungsgrenzen. Eine Risikogrenze, die Abteilungen überschneidet, hat keine Gruppe, an die sie sich knüpfen kann, bis du eine hinzufügst. |
| Nach Risiko abstufen | Eine regulierte Funktion benötigt mindestens eine Kontrolle (meist Konnektoren, Governance oder Sichtbarkeit), die enger ist als ihre übergeordnete Abteilung — eine Grenze, die Abteilungsgruppen allein nicht ausdrücken können. | Eine kleine Anzahl von Gruppen, die Abteilungen danach überschneiden, wie sensibel die Arbeit ist. Kontrollen knüpfen sich an die Sensibilität statt an die Abteilung, sodass eine alltägliche Kontrolle, die nach Abteilung variiert, keine dafür geformte Gruppe hat. |
| Hybrid-Ansatz | Alltägliche Kontrollen passen zur Abteilungsstruktur, aber eine Grenze passt in keine Abteilung. Unternehmen, die eine Risikogrenze benötigen, landen typischerweise hier. | Abteilungsgruppen für die alltäglichen Kontrollen, plus eine eigene Gruppe, die dort herausgeschnitten wird, wo die Grenze liegt. Jede Kontrolle landet auf einer dafür geformten Gruppe — halte nur die herausgeschnittenen Mitglieder aus der breiten Gruppe heraus, da die Vereinigungsregel keine Berechtigung entziehen kann. |
3 · Wenn du dies später änderst
Die Gruppenstruktur selbst ist risikoarm zu ändern. Du kannst eine Gruppe hinzufügen, eine umbenennen oder die ihr zugewiesene Rolle ändern. Das Mapping ist das, was du mit Vorsicht behandeln solltest: die Regel, dass die Mitgliedschaft in einer IdP-Gruppe eine Rolle in Claude gewährt. Sobald ein Mapping live ist, ändert eine Änderung den Zugriff für jedes davon erfasste Mitglied, und eine Rückgängigmachung bedeutet eine zweite Massenänderung, kein einfaches Zurücksetzen.
Ressourcen einrichten
Wenn du die Entscheidung getroffen hast, leben Gruppen und ihre Rollenzuweisungen in den Organisationseinstellungen, während die Mitgliedschaft selbst von deinem Identitätsanbieter synchronisiert wird.
- Gruppen und Gruppen-Ausgabenlimits auf Enterprise-Plänen verwalten(öffnet in neuem Tab): Gruppen erstellen und Rollen zuweisen.
- Benutzerdefinierte Rollen auf Enterprise-Plänen verwalten(öffnet in neuem Tab): eine Rolle definieren, wenn die integrierten nicht passen.
- Rollen und Berechtigungen(öffnet in neuem Tab): was jede integrierte Rolle gewährt, damit eine Gruppe die Rolle trägt, die der beabsichtigten Reichweite entspricht.
- Rollenbasierte Berechtigungen auf Enterprise-Plänen einrichten(öffnet in neuem Tab): die Berechtigungen einer Rolle einer Gruppe zuweisen.
- Wie die SCIM-Synchronisierung für Enterprise-Organisationen funktioniert(öffnet in neuem Tab): wie synchronisierte Verzeichnisgruppen die Mitgliedschaft ohne manuellen Aufwand aktuell halten.
Lektionsaktivität
Skizziere deine Gruppen anhand der Vereinigungsregel: Liste jede Gruppe auf und was ihre Rolle gewährt, und benenne dann die Mitglieder oder Funktionen, die eng begrenzt sein müssen, sowie die eigene Gruppe, die sie begrenzt. Wenn du eine regulierte Funktion hast, bestätige, dass ihre Mitglieder korrekt eingeschränkt sind.
Was du deinem Identitätsteam mitbringen solltest: das gewählte Muster, die Regel, die deine IdP-Gruppen in Claude-Gruppen umwandelt (plus etwaige Ausnahmen), jede Gruppe, deren Rolle von deiner Standard-benutzerdefinierten-Rolle abweicht, und welche IdP-Gruppe auf die Custom-Rolle abgebildet wird. Wenn die Bereitstellung nicht in deiner Verantwortung liegt, ist dies das Briefing, das du ihnen übergibst.
→ Halte dies im Begleitdokument zum Mitarbeiten fest, Abschnitt Lektion 5.
Downloads
- Herunterladen
Work-along companion (Word)
The editable Word version of the rollout plan you fill in lesson by lesson.
- Herunterladen
Work-along companion (PDF)
The same rollout plan as a fillable PDF.
Was kommt als Nächstes
Die nächste Lektion behandelt, welche Claude-Oberflächen du jeder Gruppe gewährst, sowie wie du diesen Zugriff stufenweise einführst und wie die Modell-Standardeinstellungen, organisationsweit und pro Rolle, festlegen, worauf jede Gruppe läuft.