Vous avez désigné les propriétaires et les parties prenantes pour chaque décision. Avant de prendre effectivement la première, vous allez aborder trois domaines de préparation, en les traitant l'un après l'autre :
- Où vous allez travailler : les trois endroits depuis lesquels vous administrerez Claude Enterprise.
- Qui peut faire quoi : les rôles qui conditionnent chaque action dans les paramètres de votre organisation.
- La vérification des prérequis : six éléments à confirmer avant de choisir une structure de groupes, puis la revendication de domaine, un paramètre que vous ne pouvez pas annuler.
Votre équipe d'identité a peut-être déjà mis en place une grande partie de cela pour d'autres systèmes. Votre tâche ici consiste à savoir ce qui doit encore être mis en place et qui est responsable de le faire.
Où vous allez travailler
Vous administrez Claude Enterprise depuis trois endroits. Savoir lequel contient quoi vous évite de chercher en vain des paramètres. Un quatrième, les paramètres gérés de Claude Code, relève de votre responsable de plateforme (Leçon 6).
- Paramètres de l'organisation : la plupart des contrôles abordés dans ce cours — groupes et rôles, connecteurs, gouvernance, dépenses et visibilité. C'est ici que vous venez modifier ce qu'un groupe est autorisé à faire.
- Votre fournisseur d'identité (IdP), tel qu'Okta, Microsoft Entra ID ou équivalent : définitions des groupes et appartenance, que Claude lit via la synchronisation d'identité. C'est ici que vous venez modifier qui fait partie d'un groupe.
- Claude Console : clés API et accès développeur, gérés comme une organisation distincte avec son propre modèle d'administration. C'est ici que vous venez gérer l'accès à l'API, que les paramètres ci-dessus ne régissent pas.
Une confusion fréquente se produit entre les deux premiers : si vos groupes sont synchronisés, vous modifiez l'appartenance dans votre fournisseur d'identité et les autorisations dans les paramètres de l'organisation.
Qui peut faire quoi
Chaque membre détient un rôle, l'un des quatre rôles intégrés (Propriétaire principal, Propriétaire, Administrateur, Utilisateur) ou un rôle personnalisé que vous définissez, et chaque action dans les paramètres de votre organisation est conditionnée par eux. Les capacités exactes associées à chaque rôle intégré évoluent avec le produit. Consultez l'article Rôles et autorisations(s’ouvre dans un nouvel onglet) pour la matrice de capacités actuelle. La Leçon 5 couvre l'ensemble des rôles Utilisateur, Administrateur et personnalisés dans le cadre de la conception des groupes. Le volet administratif compte dès maintenant, car il détermine qui peut réellement mettre en œuvre les décisions abordées dans ce cours.
La vérification des prérequis
La première décision que vous prendrez concerne la structure et l'identité. C'est la décision qui demande le plus de travail à modifier par la suite, vous voulez donc vous assurer d'y être correctement préparé. Il existe six prérequis que vous devez avoir mis en place avant de choisir une structure de groupes. Quatre sont incontournables : trois bloquent purement et simplement la configuration des groupes, et un constitue votre assurance contre le risque de vous retrouver vous-même exclu. Les deux autres peuvent être traités en parallèle.
| Prérequis | Pourquoi c'est important | Incontournable avant la configuration ? |
|---|---|---|
| Au moins deux membres se voient attribuer le rôle Propriétaire directement, et non via un groupe ; si vous utilisez des mappages de rôles IdP, ils figurent dans le groupe mappé sur Propriétaire avant que vous n'enregistriez ce mappage | Empêche une synchronisation de groupe mal configurée d'exclure votre propre équipe des paramètres qui permettraient de la corriger | Oui : votre assurance contre l'exclusion ; faites-le avant de configurer l'authentification unique |
| Votre domaine est vérifié | L'authentification unique ne peut pas être configurée tant que le domaine n'est pas vérifié | Oui : bloque la configuration des groupes |
| La connexion au fournisseur d'identité est configurée et l'authentification unique est appliquée | Claude lit les groupes depuis votre IdP ; sans connexion, pas de synchronisation | Oui : bloque la configuration des groupes |
| L'application de provisionnement est configurée dans votre fournisseur d'identité | Il s'agit du volet IdP de la synchronisation ; sans elle, les groupes ne sont pas transmis | Oui : bloque la configuration des groupes |
| Vous disposez d'une convention de nommage pour les groupes Claude que vous allez créer | Facile à définir avant que les groupes n'existent ; les renommer plus tard nécessite simplement une resynchronisation | Non : peut être traité en parallèle |
| Le responsable de la facturation est identifié | Nécessaire pour le contrat et pour les décisions relatives aux dépenses (Leçons 9 et 10) | Non : pas nécessaire avant les décisions relatives aux dépenses |
Un examen plus approfondi de l'assurance contre l'exclusion et de la revendication de domaine
L'assurance contre l'exclusion mérite un examen plus approfondi que celui offert par le tableau, tout comme un paramètre qui intervient après les prérequis : la revendication de domaine.
Concernant l'assurance contre l'exclusion, vous devez attribuer le rôle Propriétaire à au moins deux membres. Sans mappages de rôles IdP, attribuez-le directement par nom, afin qu'une erreur de synchronisation de groupe ne puisse pas retirer l'accès administrateur. Avec des mappages de rôles IdP, placez ces mêmes personnes dans le groupe mappé sur Propriétaire avant d'enregistrer le mappage. Une fois les mappages activés, une attribution directe seule ne suffira pas à restaurer votre accès ; seul le Propriétaire principal, qui n'est jamais retiré automatiquement, le peut.
Le Propriétaire principal mérite une attention particulière car il détient des actions qu'aucun autre rôle ne peut effectuer, et certaines d'entre elles reviendront plus tard dans le cours. Attribuez à chaque administrateur le rôle le moins puissant qui couvre ses fonctions, et tenez le Propriétaire principal à l'écart des tâches administratives quotidiennes. Si le Propriétaire principal n'est pas vous, déterminez dès maintenant qui devrait détenir ce rôle.
Vient ensuite la revendication de domaine. Des personnes de votre entreprise ont peut-être déjà utilisé Claude sur un compte non-Enterprise qu'elles ont créé avec une adresse e-mail professionnelle avant que votre organisation n'existe dans Claude. Tant que vous n'avez pas revendiqué votre domaine, ces comptes restent en dehors de votre organisation, tout comme tout ce que les membres y font. La vérification du domaine prouve que vous en êtes propriétaire ; la revendication est l'étape distincte qui transfère dans votre organisation les comptes personnels déjà présents sur votre domaine et qui dirige directement dans votre organisation, via l'authentification unique, toute personne qui s'inscrit ultérieurement avec ce domaine. Une fois la fenêtre de 30 jours de la revendication close, aucun compte personnel ne subsiste sur le domaine. Les articles du centre d'aide sur la revendication de domaine(s’ouvre dans un nouvel onglet) et la migration de compte(s’ouvre dans un nouvel onglet) détaillent les étapes exactes.
La revendication de domaine est facultative, et elle intervient après les prérequis pour une bonne raison : son activation exige que les éléments suivants soient déjà en place, afin que tout le monde sur le domaine dispose d'un moyen de se connecter une fois son compte transféré :
- Votre domaine est vérifié
- « Restreindre la création d'organisations » est activé
- L'authentification unique est appliquée (et pas seulement configurée)
- Le provisionnement est actif
« Restreindre la création d'organisations » vaut la peine d'être activé même si vous ne revendiquez jamais votre domaine. Cette option devient disponible dès que votre domaine est vérifié, et elle empêche quiconque de créer de nouveaux comptes personnels ou organisations sur ce domaine, y compris des organisations Claude Console.
Quelques points à noter avant d'activer la revendication :
- Toute personne sur le domaine qui ne figure pas dans votre fournisseur d'identité est exclue dès le début de la revendication, et son compte personnel est désactivé à la fermeture de la fenêtre de 30 jours ; ajoutez-la donc à votre fournisseur d'identité avant d'initier la revendication.
- Cette action est irréversible.
- Les membres qui détiennent déjà un compte personnel sur votre domaine bénéficient d'une fenêtre de migration de 30 jours, qui débute au moment où vous initiez la revendication.
- Chacun d'eux choisit entre transférer ses conversations et projets existants vers votre organisation, ou repartir de zéro. Si votre organisation a activé la préparation HIPAA ou des clés de chiffrement gérées par le client, repartir de zéro est la seule option possible : rien d'un compte personnel n'est transféré. Dans tous les cas, les Skills personnalisées ne sont pas transférées lors d'une migration de compte personnel, les membres doivent donc exporter celles qu'ils souhaitent conserver avant de migrer. Les autorisations des applications connectées sont révoquées, chaque application doit donc être reconnectée depuis leur compte d'organisation, et tout connecteur personnalisé réajouté à cet endroit, sous réserve de la politique de votre organisation ; la liste de ce qui est transféré(s’ouvre dans un nouvel onglet) du centre d'aide détaille le reste. Toute personne n'ayant pas fait de choix à la fermeture de la fenêtre repart de zéro par défaut.
- Le compte personnel d'origine est désactivé dans tous les cas.
Votre rôle ici consiste à rendre cette transition aussi fluide que possible : prévenez ces membres avant d'initier la revendication, afin que personne ne découvre le changement seulement après la disparition de son ancien compte. Envisagez de partager les éléments suivants :
| Message | Ce qu'il faut dire |
|---|---|
| Ce qui se passe | Le [date], nous intégrons les comptes du domaine de messagerie [entreprise] à l'organisation Claude de l'entreprise. À partir de cette date, vous disposez d'une fenêtre de 30 jours pour transférer votre compte. |
| Le choix à faire | Transférez vos conversations et projets existants vers l'organisation Claude de l'entreprise, ou repartez de zéro. Dans tous les cas, les Skills personnalisées et les applications connectées ne seront pas conservées, sauvegardez donc au préalable tout ce dont vous avez besoin. |
| Les détails de la transition | À la fermeture de la fenêtre de 30 jours, vous repartez de zéro par défaut, et votre compte personnel actuel est désactivé. |
| À quoi vous attendre | Un rappel indiquant votre échéance vous parvient par e-mail et dans le produit. |
| Questions | Contactez [canal d'administration ou d'assistance] pour toute question. |
Dans une organisation ayant activé la préparation HIPAA ou des clés de chiffrement gérées par le client, remplacez « Le choix à faire » par : « Rien n'est transféré depuis votre compte personnel, sauvegardez donc au préalable tout ce dont vous avez besoin. »
Les prérequis de Pluto
Une fois les prérequis en place, Pluto a choisi d'activer la revendication de domaine, et ce fut le seul véritable obstacle pour l'équipe de déploiement : environ quarante membres, principalement des ingénieurs, utilisaient déjà Claude sur le domaine de messagerie de Pluto (le responsable informatique a envoyé l'avis ci-dessus deux semaines avant d'initier la revendication), et chacun d'entre eux avait rejoint l'organisation de Pluto au moment de la fermeture de la fenêtre de 30 jours. L'équipe d'identité a vérifié le domaine et connecté l'authentification unique dès la première semaine, les rôles d'administrateur relèvent du responsable informatique, et le rôle de Propriétaire principal reste entre les mains du CIO, délibérément tenu à l'écart de l'usage quotidien. L'équipe d'identité a également mis en place l'application de provisionnement. Deux Propriétaires attribués directement et la convention de nommage des groupes relèvent du responsable informatique, et le responsable de la facturation est le délégué du directeur financier.
Ressources de configuration
Ces articles couvrent les bases évoquées ci-dessus : l'authentification unique, le provisionnement, la matrice des rôles et la revendication de domaine, y compris ce que verront vos membres disposant de comptes personnels.
- Revendiquer et migrer les comptes de votre domaine(s’ouvre dans un nouvel onglet) : les exigences et les étapes pour revendiquer votre domaine.
- Répondre à une revendication de domaine Enterprise sur votre compte Claude(s’ouvre dans un nouvel onglet) : ce que voient vos membres disposant de comptes personnels, afin que vous puissiez les prévenir.
- Transférer votre compte Claude personnel vers une organisation Team ou Enterprise(s’ouvre dans un nouvel onglet) : ce qu'il advient des Skills, des applications connectées et de l'historique d'un membre lors de sa migration.
- Rôles et autorisations(s’ouvre dans un nouvel onglet) : la matrice de capacités actuelle pour chaque rôle intégré.
- Configurer l'authentification unique (SSO)(s’ouvre dans un nouvel onglet) : vérifier votre domaine et configurer le SSO, que vous devez appliquer, et pas seulement configurer, avant de revendiquer votre domaine.
- Configurer le provisionnement JIT ou SCIM(s’ouvre dans un nouvel onglet) : le provisionnement qui doit être actif pour que tout le monde sur votre domaine dispose d'un moyen d'accès.
Activité de la leçon
Le widget interactif ci-dessous suit les six prérequis : indiquez pour chacun s'il est en place ou pas encore, puis reportez le résultat dans votre compagnon.
Passez en revue les six prérequis et, pour chacun, répondez à deux questions : quel est son statut actuel, et qui dans votre entreprise est responsable de sa réalisation ? Tout blocage strict qui n'est pas en place, ainsi que tout prérequis sans responsable, doit être résolu avant que vous ne commenciez à décider des paramètres.
→ Consignez cela dans le compagnon de travail, section Leçon 3.
Téléchargements
- Télécharger
Work-along companion (Word)
The editable Word version of the rollout plan you fill in lesson by lesson.
- Télécharger
Work-along companion (PDF)
The same rollout plan as a fillable PDF.
Et ensuite
Dans le module suivant, vous déciderez du nombre d'organisations Claude Enterprise que vous gérez, et vous concevrez vos groupes.