Il s’agit toujours de la première des cinq décisions, Structure et identité. Vous avez défini la limite de l’organisation. Vous pouvez maintenant passer à ce qui s’y trouve : vos groupes et les rôles qu’ils portent. Les groupes sont l’unité à laquelle presque toutes les décisions ultérieures s’attachent.
Les groupes sont l’unité à laquelle presque tous les contrôles s’attachent
Tout le reste de ce module découle de ce qu’est un groupe et de ce qu’il porte.
-
Un groupe est un ensemble nommé de membres.
Votre fournisseur d’identité répartit déjà vos membres en groupes, et Claude les lit automatiquement via la synchronisation SCIM. Vous pouvez avoir de quelques centaines à plusieurs dizaines de milliers de membres, donc configurer un membre à la fois n’est pas adapté à grande échelle. Les groupes vous permettent de configurer les capacités pour de nombreux membres à la fois, plutôt qu’un par un.
-
Une seule structure de groupes couvre toutes les surfaces que votre contrat inclut.
Vous construisez une seule structure de groupes, et non une par surface (par exemple, Cowork ou Claude Code). Le rôle que vous attachez à un groupe s’applique à chacune des surfaces de Claude, de sorte que ce que ce rôle accorde dans un produit n’a pas besoin d’être refait pour le suivant.
-
Presque tous les paramètres des quatre décisions à venir s’attachent à un groupe :
Presque tout ce que vous configurez, vous le configurez pour un groupe ; une poignée de paramètres sont plutôt des plafonds à l’échelle de l’organisation, et les leçons les signalent lorsqu’ils apparaissent.
Si vous vous retrouvez plus tard à vouloir limiter un contrôle à un sous-ensemble spécifique (« juste ces trois membres », « tout le monde sauf les prestataires »), c’est probablement la structure qui vous indique que votre organisation a besoin d’un autre groupe.
Comment fonctionne le RBAC : membres, groupes, rôles
Claude Enterprise utilise le contrôle d’accès basé sur les rôles (RBAC). Cela comporte trois parties :
- Membres : vos collaborateurs.
- Groupes : des ensembles nommés de membres, synchronisés depuis votre fournisseur d’identité (IdP) via SCIM ou, si vous ne synchronisez pas, créés manuellement dans les paramètres de l’organisation.
- Rôles : des ensembles de permissions que vous attachez à un groupe. Chaque membre disposant d’un rôle personnalisé obtient ce que les rôles de ses groupes accordent.
Vous définissez l’accès par rôle, et non membre par membre. Pour voir ce qu’un membre peut faire, examinez les rôles de ses groupes. Modifiez un rôle, et tous les membres de ce groupe changent en même temps.
Il existe trois types de rôles :
- Rôles d’administration (Propriétaire principal, Propriétaire, Administrateur) : qui peut modifier les paramètres, comme inviter des membres, modifier les plafonds et consulter la facturation (les deux derniers sont réservés aux rôles Propriétaire et au-dessus). Un Administrateur peut gérer les membres mais pas la facturation ; un Propriétaire peut effectuer la plupart des actions d’administration, mais pas quelques-unes réservées au Propriétaire principal, comme exporter les données de votre organisation et transmettre le rôle de Propriétaire principal à quelqu’un d’autre ; consultez Rôles et permissions(s’ouvre dans un nouvel onglet) pour la liste complète avant de décider qui détient le rôle de Propriétaire principal.
- Rôles utilisateur (Utilisateur) : ce que les membres peuvent faire dans Claude, y compris les capacités, l’accès aux modèles et les outils que Claude peut utiliser en leur nom. La majeure partie de ce cours définit ces éléments via des rôles personnalisés (voir ci-dessous).
- Rôles personnalisés : un ensemble de permissions que vous définissez lorsque les rôles intégrés ne conviennent pas. Il peut porter des permissions d’administration ou d’utilisateur.
Un rôle personnalisé définit quatre types d’accès, chacun pouvant différer du paramètre par défaut à l’échelle de l’organisation :
- Capacités : quelles fonctionnalités sont activées, par exemple Claude Code et Cowork.
- Accès aux modèles : quels modèles Claude le groupe peut utiliser.
- Permissions de connecteur : quels connecteurs le groupe peut atteindre, et s’il peut y écrire.
- Permissions d’administration : pour un rôle d’administration personnalisé, quelles actions d’administration il peut effectuer.
Ces éléments ne prennent effet que pour les membres disposant d’un rôle personnalisé ; les membres disposant d’un rôle intégré conservent toutes les surfaces, tous les modèles et tous les connecteurs activés à l’échelle de l’organisation. Définir le rôle sur Personnalisé, manuellement ou via le mappage de rôles de votre IdP, fait partie de la transmission de cette leçon.
Lorsqu’un membre appartient à plusieurs groupes, ses permissions correspondent à l’union des rôles de tous ses groupes. Si un groupe accorde une capacité, le membre la possède, et un groupe plus restreint ne peut pas retirer ce qu’un groupe plus large accorde. Pour maintenir une limite plus stricte, placez ces membres dans leur propre groupe doté de son propre rôle, et tenez-les à l’écart du groupe large qui porte la permission sensible.
Les groupes de Pluto
La structure de groupes de Pluto suit le modèle hybride : elle reflète son organigramme, un groupe par unité commerciale plus un groupe Ingénierie transversal, partout sauf pour Paiements et Confiance, dont les ingénieurs hériteraient autrement de l’accès étendu aux connecteurs d’Ingénierie via l’union. Pluto a donc ajouté un groupe dédié payments-eng avec son propre rôle, et ses ingénieurs paiements y figurent plutôt que dans le groupe Ingénierie large, garantissant qu’ils n’obtiennent que les permissions dont ils ont besoin.
Le widget interactif ci-dessous place un membre dans deux des groupes de Pluto et montre ce qu’elle obtient réellement selon la règle de l’union.
1 · Votre décision
À quel modèle de groupe vos contrôles s’attachent-ils : quels sont vos groupes, et lequel des contrôles ultérieurs (surfaces, connecteurs, gouvernance, plafonds) chacun porte-t-il ?
2 · Les choix qui s’offrent à vous
| Le choix | Quand le choisir | Ce que cela signifie et son impact |
|---|---|---|
| Refléter l’organigramme de votre entreprise | Les contrôles n’ont besoin de varier que par département plutôt que par risque. La structure existe généralement déjà dans votre fournisseur d’identité. | Un groupe Claude par département ou équipe. Tous les contrôles ultérieurs s’alignent sur les lignes départementales. Une limite de risque qui traverse les départements n’a aucun groupe auquel s’attacher tant que vous n’en ajoutez pas un. |
| Hiérarchiser par risque | Une fonction réglementée nécessite au moins un contrôle (généralement les connecteurs, la gouvernance ou la visibilité) plus strict que son département parent — une limite que les groupes départementaux seuls ne peuvent pas exprimer. | Un petit nombre de groupes qui traversent les départements selon le degré de sensibilité du travail. Les contrôles s’attachent selon la sensibilité plutôt que le département, de sorte qu’un contrôle courant qui varie par département n’a aucun groupe adapté pour lui. |
| Approche hybride | Les contrôles courants correspondent à la structure départementale, mais une limite ne s’inscrit dans aucun département. Les entreprises qui ont besoin d’une limite de risque aboutissent généralement ici. | Des groupes départementaux pour les contrôles courants, plus un groupe dédié créé là où se situe la limite. Chaque contrôle s’aligne sur un groupe adapté pour lui — il suffit de garder les membres isolés en dehors du groupe large, puisque la règle de l’union ne peut pas retirer une permission. |
3 · Si vous modifiez cela plus tard
La structure de groupes elle-même présente peu d’enjeux à modifier. Vous pouvez ajouter un groupe, en renommer un, ou changer le rôle qui lui est attaché. C’est le mappage qu’il faut traiter avec précaution : la règle selon laquelle l’appartenance à un groupe IdP accorde un rôle dans Claude. Une fois qu’un mappage est actif, le modifier change l’accès de tous les membres qu’il couvre, et l’inverser implique un second changement massif, et non une simple annulation.
Ressources de mise en place
Une fois votre décision prise, les groupes et leurs attributions de rôles se trouvent dans les paramètres de l’organisation, tandis que l’appartenance elle-même se synchronise depuis votre fournisseur d’identité.
- Gérer les groupes et les limites de dépenses de groupe sur les forfaits Enterprise(s’ouvre dans un nouvel onglet) : créer des groupes et attacher des rôles.
- Gérer les rôles personnalisés sur les forfaits Enterprise(s’ouvre dans un nouvel onglet) : définir un rôle lorsque les rôles intégrés ne conviennent pas.
- Rôles et permissions(s’ouvre dans un nouvel onglet) : ce que chaque rôle intégré accorde, afin qu’un groupe détienne le rôle correspondant à la portée que vous souhaitez.
- Configurer les permissions basées sur les rôles sur les forfaits Enterprise(s’ouvre dans un nouvel onglet) : attacher les permissions d’un rôle à un groupe.
- Comment fonctionne la synchronisation SCIM pour les organisations Enterprise(s’ouvre dans un nouvel onglet) : comment les groupes d’annuaire synchronisés maintiennent l’appartenance à jour sans entretien manuel.
Activité de la leçon
Esquissez vos groupes au regard de la règle de l’union : listez chaque groupe et ce que son rôle accorde, puis nommez les membres ou fonctions qui doivent être strictement délimités et le groupe dédié qui les délimite. Si vous avez une fonction réglementée, confirmez que ses membres sont correctement restreints.
Ce qu’il faut apporter à votre équipe identité : le modèle que vous avez choisi, la règle qui transforme vos groupes IdP en groupes Claude (plus toute exception), tout groupe dont le rôle diffère de votre rôle personnalisé standard, et quel groupe IdP correspond au rôle Personnalisé. Si le provisionnement n’est pas de votre ressort, voici le brief à leur transmettre.
→ Consignez ceci dans le compagnon de travail, section Leçon 5.
Téléchargements
- Télécharger
Work-along companion (Word)
The editable Word version of the rollout plan you fill in lesson by lesson.
- Télécharger
Work-along companion (PDF)
The same rollout plan as a fillable PDF.
Et ensuite
La prochaine leçon couvre les surfaces Claude que vous accorderez à chaque groupe, ainsi que la manière de phaser cet accès et comment les modèles par défaut, à l’échelle de l’organisation et par rôle, déterminent sur quoi chaque groupe fonctionne.