Il s'agit toujours de la deuxième des cinq décisions, l'Accès. Vous avez décidé quelles surfaces produit et quelles fonctionnalités vos groupes peuvent utiliser ; vous décidez maintenant quels outils et quelles sources de données Claude peut atteindre.
Ce qu'est un connecteur
Un connecteur donne à Claude accès à une autre application (votre espace de stockage, votre wiki, votre outil de suivi des tickets) afin que les membres puissent apporter leur contexte de travail en direct dans une conversation au lieu de le copier-coller ou de le téléverser. Cette portée représente à la fois la valeur et le risque, c'est pourquoi l'accès aux connecteurs est contrôlé par trois portes distinctes. C'est aussi ce qui peut favoriser une adoption précoce : une équipe qui connecte un outil tôt dispose d'un contexte de travail en direct dès le premier jour, de sorte qu'activer un premier connecteur pour un groupe est l'une des actions à plus fort effet de levier dans un déploiement.
Les trois portes
Entre un connecteur et un membre qui l'utilise réellement, il existe trois portes, et les trois doivent être ouvertes pour que Claude puisse accéder aux données du connecteur.
| Porte | Ce qu'elle contrôle | Définie par | Si elle est fermée |
|---|---|---|---|
| Porte de l'organisation | Si le connecteur est disponible dans votre organisation | Un Propriétaire ou un Propriétaire principal | Personne ne voit le connecteur, quel que soit son rôle |
| Porte du rôle | Si le rôle d'un groupe inclut le connecteur | Un Propriétaire ou un Propriétaire principal | Certains groupes disposent du connecteur ; le groupe de ce membre n'en dispose pas |
| Porte du membre | Si ce membre a connecté son propre compte, autorisant Claude à agir en son nom | Le membre | Le connecteur est accordé, mais inutilisable tant que ce membre n'a pas connecté son compte |
L'accès aux connecteurs de chaque groupe est défini dans l'onglet Connecteurs de son rôle personnalisé. Les rôles personnalisés déjà en place étaient définis sur « Toujours autoriser » pour chaque connecteur, de sorte que les membres conservent l'accès qu'ils avaient jusqu'à ce que vous restreigniez un rôle ; vérifiez l'onglet Connecteurs de chaque rôle. Un rôle que vous créez maintenant démarre sur « Approbation requise » (les membres confirment chaque appel) pour chaque connecteur.
Ce que vous contrôlez
Au sein de vos deux portes, vous disposez de trois contrôles :
- Les connecteurs que vous ajoutez à votre organisation.
- Le périmètre par groupe : quels groupes obtiennent chacun d'eux.
- Lorsqu'un connecteur le propose, la profondeur d'accès : lecture seule ou lecture-écriture. Dans le produit, les outils d'écriture et de suppression d'un connecteur sont chacun définis sur « Toujours autoriser », « Approbation requise » ou « Bloqué », de sorte que les bloquer le maintient en lecture seule.
Lorsqu'il accède à un connecteur, Claude hérite des propres autorisations du membre issues du service connecté : si un membre ne peut pas accéder à un fichier, un canal ou un enregistrement spécifique dans le système source, cette limite d'autorisation s'applique également via le connecteur.
La portée réseau de Claude Code, les domaines autorisés que votre responsable de plateforme définit dans ses paramètres gérés (Leçon 6), pose la même question appliquée au réseau, alors abordez-la dans la même conversation que la liste des connecteurs.
Autorisation gérée par l'entreprise
Par défaut, la troisième porte appartient au membre : il connecte son propre compte, et vous ne pouvez pas le faire à sa place. Pour la plupart des organisations, cela fonctionne, mais cela signifie que vous ne pouvez pas garantir qu'un connecteur est réellement actif pour le groupe auquel vous l'avez attribué.
L'autorisation gérée par l'entreprise (EMA) comble cet écart. Au lieu que chaque membre connecte son propre compte, vous provisionnez l'accès de manière centralisée via le fournisseur d'identité de votre organisation : une fois qu'un connecteur est activé, tous les membres concernés l'obtiennent automatiquement lors de leur première connexion, avec des autorisations héritées de leurs groupes et rôles IdP existants. Le départ des membres passe par l'IdP dans tous les cas. L'EMA n'est disponible que pour les connecteurs dont le fournisseur a développé la prise en charge, de sorte que certains connecteurs de votre liste passeront toujours par la porte du membre. Autoriser les connecteurs MCP pour l'ensemble de votre organisation(s’ouvre dans un nouvel onglet) explique ce que fait l'EMA, quels connecteurs et fournisseurs d'identité la prennent en charge, et comment la configurer (MCP est la norme ouverte sur laquelle les connecteurs sont construits).
Accès en lecture et en écriture
L'accès aux connecteurs se décline en deux niveaux, qui comportent des degrés de risque différents. L'accès en lecture, le moins risqué des deux, permet à Claude de consulter le système : récupérer le document, effectuer une recherche dans l'outil de suivi, lire le tableau de bord, etc. L'accès en écriture permet à Claude de le modifier : créer le ticket, modifier la page, créer une nouvelle entrée, etc. Accorder à Claude l'accès en écriture signifie que Claude, agissant au nom du membre, peut modifier ou écraser des informations (dans Cowork et dans l'expérience Claude unifiée(s’ouvre dans un nouvel onglet), un membre confirme toujours chaque écriture, sauf si l'option « Toujours autoriser » pour les outils du connecteur est activée) dans l'application connectée. C'est pourquoi l'accès en écriture doit faire l'objet d'un niveau d'approbation différent : envisagez de faire approuver les octrois d'accès en écriture par le responsable du risque lié aux données que vous avez désigné à la Leçon 2, afin que le risque soit géré par la personne qui en est responsable.
Les connecteurs constituent le changement le plus visible que vous activerez : les membres remarquent le moment où Claude peut soudainement accéder directement aux données. Annoncez chaque connecteur au fur et à mesure de sa mise à disposition, et soyez clair sur ce qui change et ce qui ne change pas pour les membres : le connecteur leur est désormais disponible, mais chaque membre choisit toujours de l'activer ou non. Acheminez les demandes de nouveaux connecteurs via le responsable de l'accès que vous avez désigné à la Leçon 2.
Les connecteurs de Pluto
Pluto a ajouté son espace de stockage et son wiki pour chaque groupe, en lecture seule, et a ajouté l'outil de suivi des tickets en lecture-écriture pour Engineering, dont le flux de travail consiste à créer des tickets toute la journée, avec l'approbation du responsable du risque sur l'octroi d'accès en écriture. Payments-eng (exclu d'Engineering à la Leçon 5) reste en lecture seule, et un connecteur dont les données sortent de son périmètre est entièrement exclu de ce groupe — la posture plus stricte que Payments & Trust adopte tout au long.
Le widget interactif ci-dessous exécute les trois portes de Pluto pour un seul connecteur : ouvrez ou fermez n'importe quelle porte et observez qui la contrôle et ce que vit chaque membre.
1 · Votre décision
Quels connecteurs chaque groupe obtient-il, et à quelle profondeur : lecture seule ou lecture-écriture, par outil ?
2 · Les choix qui s'offrent à vous
L'accès aux connecteurs relève en fin de compte d'un jugement sur le risque : pour chaque connecteur, demandez-vous quel groupe a besoin chaque semaine d'un accès en écriture pour son travail.
| Le choix | Quand le choisir | Ce que cela signifie et l'impact que cela a |
|---|---|---|
| Lecture seule, limitée aux groupes dont le travail se déroule dans ce système | La plupart des organisations s'arrêtent ici, sauf si la situation ci-dessous s'applique. | L'accès en lecture est immédiatement utile : la récupération et la recherche créent à elles seules une réelle valeur. Cela évite la question de ce que Claude est autorisé à modifier dans vos systèmes pendant que votre organisation apprend ce que les membres font réellement de cette portée. Le schéma courant est que l'écriture vient plus tard, une fois qu'un flux de travail a démontré le besoin et que le responsable du risque a donné son accord. |
| Écriture, introduite progressivement avec approbation | Le flux de travail d'un groupe nécessite clairement que Claude écrive dans le système (création de tickets, mise à jour de pages), et son responsable du risque est à l'aise avec cela. | Le groupe démarre en lecture seule comme tout le monde, puis obtient l'écriture une fois que le besoin s'est manifesté et que le responsable du risque a donné son accord. Claude peut alors modifier ce système au nom des membres, le risque reposant sur le responsable qui l'a accepté. |
3 · Si vous modifiez cela plus tard
Les paramètres des connecteurs sont librement réversibles : les connecteurs que vous avez ajoutés, le périmètre de chaque groupe, ainsi que la lecture seule par rapport à la lecture-écriture, se modifient tous dans les paramètres de votre organisation. Élargir l'accès ne coûte rien aux membres. Le restreindre, en revanche, doit être fait avec précaution : révoquer l'accès en écriture ou supprimer un connecteur interrompt les flux de travail que les membres ont construits dessus. Il est recommandé d'annoncer tout changement d'accès afin que les membres en soient informés.
Configurer les ressources
Une fois votre décision prise, configurez les connecteurs de votre organisation. Les connecteurs que vous ajoutez et le périmètre de connecteurs de chaque groupe se trouvent avec vos groupes et leurs attributions de rôles dans les paramètres de l'organisation, et, lorsque vous utilisez l'EMA, c'est également là que la porte du membre devient la vôtre à mettre en place de manière centralisée.
- Utiliser les connecteurs pour étendre les capacités de Claude(s’ouvre dans un nouvel onglet) : ce qu'est un connecteur et ce qu'il fait du point de vue du membre : la chose que vous contrôlez.
- Démarrer avec des connecteurs personnalisés via MCP distant(s’ouvre dans un nouvel onglet) : comment un connecteur personnalisé est créé et ajouté, afin que vous sachiez ce que vous approuvez.
- Configurer les autorisations basées sur les rôles sur les forfaits Enterprise(s’ouvre dans un nouvel onglet) : comment les rôles personnalisés contrôlent les connecteurs que chaque groupe peut utiliser.
- Autoriser les connecteurs MCP pour l'ensemble de votre organisation(s’ouvre dans un nouvel onglet) : l'autorisation gérée par l'entreprise — ce qu'elle fait, quels connecteurs et fournisseurs d'identité la prennent en charge, et comment la configurer.
- Autorisation gérée par l'entreprise (documentation MCP)(s’ouvre dans un nouvel onglet) : la norme derrière l'EMA.
- Configurer l'outil Bash en bac à sable(s’ouvre dans un nouvel onglet) : la portée réseau de Claude Code : les domaines autorisés du bac à sable dans ses paramètres gérés, dont votre responsable de plateforme est propriétaire.
Activité de la leçon
Remplissez le tableau des connecteurs dans votre compagnon : connecteur, qui l'obtient, et profondeur (lecture seule ou lecture-écriture).
Ce qu'il faut apporter à votre responsable du risque : chaque ligne avec accès en écriture : le flux de travail qui en a besoin, le groupe qui le porte, et le cadrage du risque lecture contre écriture présenté dans la section ci-dessus.
→ Consignez ceci dans le compagnon de travail, section Leçon 7.
Téléchargements
- Télécharger
Work-along companion (Word)
The editable Word version of the rollout plan you fill in lesson by lesson.
- Télécharger
Work-along companion (PDF)
The same rollout plan as a fillable PDF.
Et ensuite
Le module suivant, Gouvernance, se tourne vers la liberté avec laquelle les membres personnalisent Claude lui-même : les Skills qu'ils créent, la manière dont ces Skills sont partagées, et les instructions d'organisation qui façonnent Claude pour tout le monde, ainsi que la posture de gouvernance qui couvre ces trois aspects.