Claude Academy
로드 중

귀사의 그룹

강의 59분
이 레슨에서이 레슨을 마치면
  • 그룹이 무엇인지, 그리고 이후에 나오는 거의 모든 제어가 개별 구성원이 아니라 그룹에 연결되는 방식을 설명합니다
  • 구성원이 두 그룹에 속할 때 무엇을 얻게 되는지, 그리고 의도적으로 기능을 제한하는 방법을 예측합니다
  • 그룹이 따를 패턴을 선택하고, 구성원이 Claude를 사용하기 시작한 후 매핑을 변경하는 데 드는 비용을 파악합니다

이는 여전히 다섯 가지 결정 중 첫 번째인 구조 및 ID(Structure & Identity)에 해당합니다. 이미 조직 경계를 설정했습니다. 이제 그 안에 들어갈 내용, 즉 그룹과 그룹이 지니는 역할로 넘어갈 수 있습니다. 그룹은 이후 거의 모든 결정이 연결되는 단위입니다.

그룹은 거의 모든 제어가 연결되는 단위입니다

이 모듈의 나머지 모든 내용은 그룹이 무엇이며 무엇을 지니는지에서 비롯됩니다.

  1. 그룹은 이름이 지정된 구성원 집합입니다.

    귀사의 ID 공급자(identity provider)는 이미 구성원을 그룹으로 분류하고 있으며, Claude는 SCIM 동기화를 통해 이를 자동으로 읽어옵니다. 구성원 수는 수백 명에서 수만 명에 이를 수 있으므로, 한 번에 한 명씩 구성하는 방식은 확장성이 없습니다. 그룹을 사용하면 한 번에 한 명씩이 아니라 많은 구성원의 기능을 한꺼번에 구성할 수 있습니다.

  2. 하나의 그룹 구조가 계약이 포함하는 모든 서피스에 걸쳐 적용됩니다.

    서피스별로(예: Cowork 또는 Claude Code) 별도의 그룹 구조를 만드는 것이 아니라, 하나의 그룹 구조를 구축합니다. 그룹에 연결한 역할은 Claude의 각 서피스 전반에 적용되므로, 한 제품에서 해당 역할이 부여하는 권한을 다음 제품을 위해 다시 만들 필요가 없습니다.

  3. 앞으로 다룰 네 가지 결정의 거의 모든 설정은 그룹에 연결됩니다:

    구성하는 거의 모든 항목은 그룹 단위로 구성하며, 일부 설정만 조직 전체에 적용되는 상한선으로 존재하고, 이러한 설정이 등장할 때마다 레슨에서 표시합니다.

나중에 특정 하위 집합("이 세 명의 구성원만", "계약직을 제외한 모든 사람")으로 제어 범위를 한정하고 싶어진다면, 이는 조직에 또 다른 그룹이 필요하다는 구조의 신호일 가능성이 높습니다.

RBAC 작동 방식: 구성원, 그룹, 역할

Claude Enterprise는 역할 기반 접근 제어(RBAC)를 사용합니다. 여기에는 세 가지 구성 요소가 있습니다:

  • 구성원(Members): 귀사의 사람들입니다.
  • 그룹(Groups): 이름이 지정된 구성원 집합으로, ID 공급자(IdP)에서 SCIM을 통해 동기화되거나, 동기화하지 않는 경우 조직 설정에서 수동으로 생성됩니다.
  • 역할(Roles): 그룹에 연결하는 권한 집합입니다. 커스텀 역할을 가진 모든 구성원은 자신이 속한 그룹의 역할이 부여하는 권한을 얻습니다.

접근 권한은 구성원별이 아니라 역할별로 설정합니다. 구성원이 할 수 있는 작업을 확인하려면 해당 구성원이 속한 그룹의 역할을 검토하세요. 역할을 변경하면 해당 그룹의 모든 구성원이 한 번에 변경됩니다.

역할에는 세 가지 종류가 있습니다:

  • 관리자 역할(Admin roles, Primary Owner, Owner, Admin): 구성원 초대, 한도 편집, 결제 정보 조회 등 설정을 변경할 수 있는 권한입니다(뒤의 두 가지는 Owner 이상만 가능). Admin은 구성원을 관리할 수 있지만 결제는 관리할 수 없습니다. Owner는 대부분의 관리자 작업을 수행할 수 있지만, 조직 데이터 내보내기나 Primary Owner 역할을 다른 사람에게 넘기는 것처럼 Primary Owner에게만 허용된 일부 작업은 수행할 수 없습니다. Primary Owner 역할을 누가 맡을지 결정하기 전에 전체 목록은 역할 및 권한에서 확인하세요.
  • 사용자 역할(User roles, User): 구성원이 Claude에서 할 수 있는 작업으로, 기능, 모델 접근 권한, Claude가 구성원을 대신해 사용할 수 있는 도구 등을 포함합니다. 이 과정의 대부분은 아래에서 설명하는 커스텀 역할을 통해 이를 범위 지정합니다.
  • 커스텀 역할(Custom roles): 기본 제공 역할이 맞지 않을 때 직접 정의하는 권한 집합입니다. 관리자 권한이나 사용자 권한을 모두 포함할 수 있습니다.

커스텀 역할은 네 가지 종류의 접근 권한을 설정하며, 각각 조직 전체 기본값과 다르게 지정할 수 있습니다:

  • 기능(Capabilities): Claude Code, Cowork 등 어떤 기능이 활성화되어 있는지를 나타냅니다.
  • 모델 접근 권한(Model access): 그룹이 사용할 수 있는 Claude 모델입니다.
  • 커넥터 권한(Connector permissions): 그룹이 접근할 수 있는 커넥터와 해당 커넥터를 통해 쓰기 작업을 수행할 수 있는지 여부입니다.
  • 관리자 권한(Admin permissions): 커스텀 관리자 역할의 경우, 수행할 수 있는 관리자 작업입니다.

이는 커스텀 역할을 가진 구성원에게만 적용됩니다. 기본 제공 역할을 가진 구성원은 조직 전체에서 모든 서피스, 모델, 커넥터가 활성화된 상태를 유지합니다. 역할을 수동으로 또는 IdP 역할 매핑을 통해 Custom으로 설정하는 것이 이 레슨의 인계 작업 중 하나입니다.

구성원이 둘 이상의 그룹에 속하는 경우, 해당 구성원의 권한은 모든 그룹 역할의 합집합(union)이 됩니다. 어느 한 그룹이라도 기능을 부여하면 해당 구성원은 그 기능을 갖게 되며, 더 좁은 범위의 그룹이 더 넓은 범위의 그룹이 부여한 권한을 제거할 수는 없습니다. 더 엄격한 경계를 유지하려면 해당 구성원을 자체 역할을 가진 별도의 그룹에 배치하고, 민감한 권한을 지닌 넓은 범위의 그룹에서 제외하세요.

Pluto의 그룹

Pluto의 그룹 구조는 하이브리드 패턴입니다. 조직도를 그대로 반영하여 사업부별로 하나의 그룹을 두고, 여기에 부서 간 Engineering 그룹을 추가했습니다. 단, Payments & Trust는 예외인데, 그렇지 않으면 이 부서의 엔지니어들이 합집합 규칙을 통해 Engineering의 광범위한 커넥터 접근 권한을 그대로 물려받게 되기 때문입니다. 그래서 Pluto는 자체 역할을 가진 전용 payments-eng 그룹을 추가했고, 결제 담당 엔지니어들은 광범위한 Engineering 그룹이 아니라 이 그룹에 속하게 하여 필요한 권한만 얻도록 보장했습니다.

아래의 인터랙티브 위젯은 한 구성원을 Pluto의 두 그룹에 배치하고, 합집합 규칙에 따라 그녀가 실제로 얻게 되는 권한을 보여줍니다.

로드 중

1 · 귀사의 결정

귀사의 제어는 어떤 그룹 패턴에 연결됩니까? 귀사의 그룹은 무엇이며, 각 그룹은 이후의 어떤 제어(서피스, 커넥터, 거버넌스, 한도)를 지니게 됩니까?

2 · 선택할 수 있는 옵션

선택지선택하는 시점의미와 영향
회사 조직도를 그대로 반영제어가 위험도가 아니라 부서별로만 달라지면 됩니다. 이 형태는 대개 ID 공급자에 이미 존재합니다.부서 또는 팀별로 하나의 Claude 그룹을 둡니다. 이후의 모든 제어는 부서 경계를 따라 적용됩니다. 부서를 가로지르는 위험 경계는 그룹을 추가하기 전까지는 연결할 그룹이 없습니다.
위험도별 계층화규제 대상 기능이 상위 부서보다 더 엄격한 제어(대개 커넥터, 거버넌스, 또는 가시성)를 최소 하나 이상 필요로 하는 경우입니다 — 이는 부서 그룹만으로는 표현할 수 없는 경계입니다.업무의 민감도에 따라 부서를 가로지르는 소수의 그룹입니다. 제어는 부서가 아니라 민감도에 따라 연결되므로, 부서별로 달라지는 일상적인 제어에는 맞는 그룹이 없습니다.
하이브리드 방식일상적인 제어는 부서 형태에 맞지만, 경계는 어떤 부서 안에도 맞지 않습니다. 위험 경계가 필요한 회사는 대개 이 방식에 이르게 됩니다.일상적인 제어를 위한 부서 그룹에, 경계가 위치한 곳에 별도로 분리한 전용 그룹을 추가합니다. 각 제어는 그에 맞게 형성된 그룹에 연결됩니다 — 다만 분리해 낸 구성원을 넓은 범위의 그룹에서 제외해야 합니다. 합집합 규칙은 권한을 제거할 수 없기 때문입니다.

3 · 나중에 변경하는 경우

그룹 구조 자체를 변경하는 것은 위험 부담이 낮습니다. 그룹을 추가하거나, 이름을 변경하거나, 연결된 역할을 변경할 수 있습니다. 주의해서 다뤄야 할 것은 매핑입니다. 즉, IdP 그룹의 구성원 자격이 Claude에서 역할을 부여하는 규칙입니다. 매핑이 적용되고 나면, 이를 변경하는 것은 해당 매핑이 포함하는 모든 구성원의 접근 권한을 변경하는 것이며, 이를 되돌리는 것은 단순한 실행 취소가 아니라 또 한 번의 대규모 변경을 의미합니다.

설정 리소스

결정을 내렸다면, 그룹과 그 역할 할당은 조직 설정에 있으며, 구성원 자격 자체는 ID 공급자에서 동기화됩니다.

레슨 활동

합집합 규칙에 비추어 귀사의 그룹을 스케치해 보세요. 각 그룹과 해당 역할이 부여하는 권한을 나열한 다음, 엄격하게 경계를 지어야 하는 구성원이나 기능, 그리고 이를 경계 짓는 전용 그룹의 이름을 지정하세요. 규제 대상 기능이 있다면, 해당 구성원이 올바르게 제한되어 있는지 확인하세요.

ID 팀에 전달할 사항: 선택한 패턴, IdP 그룹을 Claude 그룹으로 전환하는 규칙(및 예외 사항), 표준 커스텀 역할과 다른 역할을 가진 그룹, 그리고 어떤 IdP 그룹이 Custom 역할에 매핑되는지입니다. 프로비저닝을 직접 운영하지 않는다면, 이것이 담당 팀에 전달할 브리핑입니다.

→ 이 내용을 실습 동반 자료의 레슨 5 섹션에 기록하세요.

다운로드

  • Work-along companion (Word)

    The editable Word version of the rollout plan you fill in lesson by lesson.

    다운로드

  • Work-along companion (PDF)

    The same rollout plan as a fillable PDF.

    다운로드

다음 단계

다음 레슨에서는 각 그룹에 어떤 Claude 서피스를 부여할지, 그 접근 권한을 어떻게 단계적으로 적용할지, 그리고 조직 전체 및 역할별 모델 기본값이 각 그룹이 사용하는 모델을 어떻게 결정하는지를 다룹니다.