这仍然是五项决策中的第二项：访问权限。您已经决定了各个群组可以访问哪些产品界面和功能；现在您需要决定Claude可以访问哪些工具和数据源。
连接器是什么
连接器使Claude能够访问另一个应用程序（您的云盘、您的wiki、您的工单跟踪系统），从而让成员可以将实时工作上下文带入对话，而不必粘贴或上传。这种访问能力既是价值所在，也是风险所在，因此连接器访问受到三个独立关卡的控制。这也是推动早期采用的因素：尽早连接工具的团队从第一天起就拥有可用的实时上下文，因此为某个群组启用第一个连接器是推广过程中杠杆效应最高的举措之一。
三个关卡
在任何连接器与实际使用它的成员之间，都存在三个关卡，必须全部打开，Claude才能访问该连接器的数据。
| 关卡 | 控制内容 | 设置者 | 关闭时的情况 |
|---|---|---|---|
| 组织关卡 | 该连接器是否在您的组织中可用 | 所有者或主要所有者 | 无论角色如何，没有人能看到该连接器 |
| 角色关卡 | 某个群组的角色是否包含该连接器 | 所有者或主要所有者 | 部分群组拥有该连接器；该成员所在的群组没有 |
| 成员关卡 | 该成员是否已连接自己的账户，授权Claude以其身份行事 | 该成员本人 | 已授予该连接器，但在该成员连接账户之前无法使用 |
每个群组的连接器访问权限都在其自定义角色的"连接器"标签页中设置。已有的自定义角色对每个连接器都设置为"始终允许"，因此成员会保留原有的访问权限，直到您收紧某个角色为止；请检查每个角色的"连接器"标签页。您现在创建的角色，在每个连接器上的初始设置都是"需要批准"（成员需确认每次调用）。
您所控制的内容
在您所掌控的两个关卡内，您拥有三项控制权：
- 您添加到组织中的连接器。
- 按群组划定范围：哪些群组可以获得每个连接器。
- 在连接器提供该选项的情况下，访问深度：只读或读写。在产品中，连接器的写入和删除工具分别设置为"始终允许"、"需要批准"或"已阻止"，因此阻止它们即可使其保持只读。
在访问连接器时，Claude会继承成员在所连接服务中自身的权限：如果某成员无法访问源系统中的特定文件、频道或记录，该权限边界也会延续到连接器中。
Claude Code的网络访问范围——即您的平台负责人在其托管设置中设置的允许域名（第6课）——是同一个问题在网络层面的体现，因此应在讨论连接器清单的同一次对话中一并提出。
企业托管授权
默认情况下，第三个关卡属于成员本人：由他们连接自己的账户，您无法代为操作。对大多数组织来说这样就够用了，但这意味着您无法保证某个连接器对您划定范围的群组确实已经生效。
企业托管授权（EMA）弥补了这一缺口。您无需让每位成员各自连接账户，而是通过组织的身份提供商集中配置访问权限：一旦启用某个连接器，范围内的所有人都会在首次登录时自动获得该权限，权限继承自其现有的IdP群组和角色。无论哪种方式，离职流程都通过IdP进行。EMA仅适用于其提供商已构建相应支持的连接器，因此您清单上的某些连接器仍需通过成员关卡。为整个组织授权MCP连接器（在新标签页中打开）介绍了EMA的作用、哪些连接器和身份提供商支持它，以及如何进行设置（MCP是连接器所基于的开放标准）。
读取与写入访问权限
连接器访问权限分为两个级别，二者所承担的风险程度不同。读取权限是风险较低的一种，它让Claude能够查看系统：获取文档、搜索工单跟踪系统、查看仪表盘等。写入权限则让Claude能够更改系统：提交工单、编辑页面、创建新条目等。授予Claude写入权限意味着Claude可以以该成员的身份，在所连接的应用程序中更改或覆盖信息（在Cowork和统一版 Claude 体验（在新标签页中打开）中，除非开启了连接器工具的"始终允许"选项，否则成员仍需确认每一次写入操作）。这就是为什么写入权限应获得不同级别的审批：可以考虑让您在第2课中指定的数据风险负责人来批准写入授权，从而让风险由拥有该风险的人来管理。
连接器是您将启用的最显而易见的变化：一旦Claude突然能够直接访问数据，成员会立刻察觉到。每当某个连接器可用时都应予以公告，并明确说明对成员而言哪些会改变、哪些不会改变：该连接器现在对他们可用，但每位成员仍可自行选择是否启用它。新连接器的申请应通过您在第2课中指定的访问权限负责人来处理。
Pluto的连接器
Pluto为每个群组添加了云盘和wiki连接器，均为只读，并为工程团队添加了工单跟踪系统的读写权限，因为该团队的工作流程整天都在提交工单，写入授权已获得风险负责人的批准。Payments-eng（在第5课中被排除在工程团队之外）保持只读，而数据超出其职责范围的连接器则完全不向该群组开放——这正是Payments & Trust团队始终采取的更严格立场。
下方的交互式小组件演示了Pluto针对单个连接器的三个关卡：打开或关闭任意关卡，观察谁控制该关卡，以及每位成员的体验会如何变化。
1 · 您的决策
每个群组可以获得哪些连接器，以及每个工具的访问深度是只读还是读写？
2 · 您可以做出的选择
连接器访问权限归根结底是一种关于风险的判断：对于每个连接器，都要问一问哪个群组的工作每周需要写入权限。
| 选择 | 适用情形 | 含义及影响 |
|---|---|---|
| 只读，范围限定为工作依赖该系统的群组 | 除非适用下述情形，否则大多数组织都会采用此方案。 | 读取权限立即就能发挥作用：获取和搜索本身就能创造真实价值。这样可以避免在组织了解成员实际如何使用该访问能力之前，就去纠结Claude被允许在您的系统中更改什么。常见的模式是写入权限稍后再开放，待某个工作流程证明了需求、且风险负责人已签字批准之后。 |
| 写入权限，经签字批准后分阶段开放 | 某个群组的工作流程明显需要Claude写入系统（提交工单、更新页面），且其风险负责人对此表示认可。 | 该群组最初与其他群组一样只读，待需求显现且风险负责人签字批准后再获得写入权限。此后Claude便可代表成员更改该系统，风险则由接受该风险的负责人承担。 |
3 · 如果您之后更改此设置
连接器设置可以自由撤销：您添加的连接器、每个群组的范围划定，以及只读与读写的设置，都可以在组织设置中随时调整。放宽权限不会给成员带来任何代价。然而收紧权限则应谨慎处理：撤销写入权限或移除连接器会破坏成员基于其构建的工作流程。最佳做法是公告任何访问权限的变更，以便成员知悉。
设置资源
做出决定后，请设置您组织的连接器。您添加的连接器以及每个群组的连接器范围划定，都与您的群组及其角色分配一起位于组织设置中；在您使用EMA的情况下，成员关卡也将在此处由您集中建立。
- 使用连接器扩展Claude的能力（在新标签页中打开）：从成员角度看连接器是什么、能做什么——也就是您正在管控的对象。
- 使用远程MCP开始构建自定义连接器（在新标签页中打开）：自定义连接器是如何构建和添加的，以便您了解自己批准的是什么。
- 在企业版方案中设置基于角色的权限（在新标签页中打开）：自定义角色如何控制每个群组可以使用哪些连接器。
- 为整个组织授权MCP连接器（在新标签页中打开）：企业托管授权——它的作用、哪些连接器和身份提供商支持它，以及如何进行设置。
- 企业托管授权（MCP文档）（在新标签页中打开）：EMA背后的标准。
- 配置沙盒化的Bash工具（在新标签页中打开）：Claude Code的网络访问范围——即沙盒在其托管设置中的允许域名，由您的平台负责人管理。
课程活动
在您的随堂手册中填写连接器表格：连接器、谁可以获得它，以及深度（只读或读写）。
需要向风险负责人提供的内容： 每一行具有写入权限的内容：需要它的工作流程、承担它的群组，以及上文中关于读取与写入风险的框架说明。
→ 请将此记录在随堂手册中，第7课部分。
下载内容
接下来是什么
下一个模块"治理"将视角转向内部，探讨成员可以在多大程度上自由定制Claude本身：他们构建的技能、这些技能如何共享，以及为所有人塑造Claude的组织指令，还有涵盖这三者的治理姿态。