您已经为每项决策指定了负责人和利益相关者。在实际做出第一项决策之前，您将依次完成三个方面的基础工作：
- 您将在哪里工作： 您管理Claude Enterprise的三个场所。
- 谁能做什么： 在您的组织设置中，控制每项操作的角色。
- 前提条件检查： 在您选择群组结构之前需要确认的六个事项，然后是域名认领——一项无法撤销的设置。
您的身份团队可能已经为其他系统完成了其中大部分工作。您在这里的任务是了解哪些仍需落实，以及由谁负责完成。
您将在哪里工作
您从三个场所管理Claude Enterprise。了解每个场所负责什么，可以避免您徒劳地寻找设置。第四个场所——Claude Code的托管设置——由您的平台负责人负责（第6课）。
- 组织设置：本课程中的大多数控制项——群组与角色、连接器、治理、支出和可见性。您在这里更改群组被允许执行的操作。
- 您的身份提供商（IdP），例如Okta、Microsoft Entra ID或同类产品：群组定义和成员身份，Claude通过身份同步读取这些信息。您在这里更改群组中的成员。
- Claude Console： API 密钥和开发者访问权限，作为一个独立的组织运行，拥有自己的管理模型。您在这里管理上述设置无法控制的API访问权限。
一个常见的混淆点在于前两者之间：如果您的群组是同步的，您需要在身份提供商中更改成员身份，在组织设置中更改权限。
谁能做什么
每位成员都持有一个角色，可以是四种内置角色之一（主要所有者、所有者、管理员、用户），也可以是您自定义的角色，您组织设置中的每项操作都受这些角色的限制。每种内置角色所拥有的具体能力会随着产品的演进而变化。有关当前的能力矩阵，请参阅角色与权限（在新标签页中打开）文章。第5课将作为群组设计的一部分，全面介绍用户、管理员和自定义角色。管理员方面的内容现在很重要，因为它决定了谁能够真正执行本课程所讲解的各项决策。
前提条件检查
您将做出的第一项决策是结构与身份。这是日后修改起来工作量最大的决策，因此您需要确保为此做好充分准备。在选择群组结构之前，您应该具备六项前提条件。其中四项是必须完成的：三项会直接阻碍群组设置，另一项则是防止您自己被锁定在外的保障措施。其余两项可以并行进行。
| 前提条件 | 为何重要 | 设置前是否必须完成？ |
|---|---|---|
| 至少有两名成员被直接分配所有者角色，而非通过群组分配；如果您使用IdP角色映射，则应在保存映射之前，将他们加入映射到所有者的群组中 | 防止配置错误的群组同步将您自己的团队锁定在能够修复问题的设置之外 | 是：这是您的锁定保障措施；请在配置单点登录之前完成 |
| 您的域名已通过验证 | 在域名通过验证之前，无法配置单点登录 | 是：会阻碍群组设置 |
| 身份提供商连接已配置，且单点登录已强制启用 | Claude从您的IdP读取群组信息；没有连接就没有同步 | 是：会阻碍群组设置 |
| 已在您的身份提供商中设置好配置应用 | 这是同步过程中IdP一侧的工作；没有它，群组就无法推送 | 是：会阻碍群组设置 |
| 您已为将要创建的Claude群组制定了命名规范 | 在群组存在之前就达成一致很容易；之后重命名只需要重新同步即可 | 否：可以并行进行 |
| 已确定账单负责人 | 合同以及支出决策（第9课和第10课）都需要此信息 | 否：在做出支出决策之前无需完成 |
深入了解锁定保障措施与域名认领
锁定保障措施值得比表格中更深入的探讨，前提条件之后的一项设置——域名认领——同样如此。
关于锁定保障措施，您应该为至少两名成员授予所有者角色。如果没有IdP角色映射，请直接按姓名分配，这样群组同步错误就无法剥夺管理员访问权限。如果使用IdP角色映射，请在保存映射之前，将这些人加入映射到所有者的群组中。一旦映射启用，仅靠直接分配将无法恢复您的访问权限；只有永远不会被自动移除的主要所有者才能做到这一点。
主要所有者值得特别关注，因为它拥有其他任何角色都无法执行的操作，其中有几项会在课程后面再次出现。请为每位管理员分配能够胜任其工作的最低权限角色，并让主要所有者不参与日常管理事务。如果主要所有者不是您本人，请现在就确定应由谁担任此角色。
接下来是域名认领。在您的组织在Claude中存在之前，贵公司的员工可能已经使用工作邮箱注册了非Enterprise账户并在使用Claude。在您认领域名之前，这些账户都处于您组织之外，成员在其中所做的一切也是如此。验证域名证明您拥有该域名；认领则是另一个独立的步骤，它会将该域名上已有的个人账户迁移到您的组织中，并让之后在该域名上注册的任何人通过单点登录直接进入您的组织。一旦认领的30天窗口期结束，该域名上将不再保留任何个人账户。帮助中心的域名认领（在新标签页中打开）和账户迁移（在新标签页中打开）文章提供了具体步骤。
域名认领是可选的，它排在前提条件之后是有原因的：启用它需要先具备以下条件，以确保该域名上的每个人在账户迁移后都有办法登录：
- 您的域名已通过验证
- "限制组织创建"已启用
- 单点登录已强制启用（而不仅仅是配置）
- 配置已生效
即使您从不进行认领，也值得启用"限制组织创建"。一旦您的域名通过验证，该选项即可使用，它会阻止任何人在该域名上创建新的个人账户或组织，包括Claude Console组织。
在启用认领之前，有几点需要注意：
- 该域名上任何不在您身份提供商中的人，一旦认领开始就会被锁定在外，并且在30天窗口期结束时其个人账户会被停用，因此请在发起认领之前将他们添加到您的身份提供商中。
- 此操作无法撤销。
- 已在您域名上持有个人账户的成员将获得30天的迁移窗口期，从您发起认领时开始计算。
- 每位成员都可以选择将其现有的对话和项目带入您的组织，或者重新开始。如果您的组织启用了HIPAA就绪或客户管理加密密钥，重新开始将是唯一的选项：个人账户中的任何内容都不会迁移过来。无论哪种方式，自定义技能都不会在个人账户迁移中转移，因此成员应在迁移前导出任何想要保留的技能。已连接应用的授权会被撤销，因此每个应用都需要从成员自己的组织账户重新连接，任何自定义连接器也需要在那里重新添加，具体取决于您组织的政策；其余内容请参阅帮助中心的迁移内容清单（在新标签页中打开）。任何在窗口期结束时尚未做出选择的人，默认将重新开始。
- 无论哪种情况，原始个人账户都会被停用。
您在这里的职责是让这次过渡尽可能顺利：在发起认领之前提前告知这些成员，以免有人在旧账户消失之后才发现这一变化。可以考虑分享以下内容：
| 信息 | 应说明的内容 |
|---|---|
| 正在发生什么 | 从[日期]起，我们将把[公司]邮箱域名上的账户纳入公司的Claude组织。从该日期起，您有30天的窗口期来迁移您的账户。 |
| 需要做出的选择 | 将您现有的对话和项目带入公司的Claude组织，或者重新开始。无论哪种方式，自定义技能和已连接应用都不会保留，因此请先保存您依赖的任何内容。 |
| 过渡的详细信息 | 当30天窗口期结束时，您将默认重新开始，您当前的个人账户将被停用。 |
| 预期情况 | 您将通过电子邮件和产品内收到一条包含截止日期的提醒。 |
| 问题咨询 | 如有任何问题，请联系[管理员或帮助渠道]。 |
在启用了HIPAA就绪或客户管理加密密钥的组织中，请将"需要做出的选择"替换为："您的个人账户中不会有任何内容迁移过来，因此请先保存您依赖的任何内容。"
Pluto的前提条件
在前提条件就绪后，Pluto选择启用域名认领，这也是部署团队遇到的唯一真正难题：大约四十名成员（大多是工程师）已经在Pluto的邮箱域名上使用Claude（IT负责人在发起认领前两周发送了上述通知），到30天窗口期结束时，他们每个人都已迁移到Pluto的组织中。身份团队在第一周就完成了域名验证并连接了单点登录，管理员角色由IT负责人担任，主要所有者角色则由首席信息官（CIO）持有，刻意不参与日常使用。身份团队还搭建了配置应用。两个直接分配的所有者角色和群组命名规范由IT负责人负责，账单负责人则是首席财务官（CFO）的代表。
设置资源
以下文章涵盖了上述基础工作：单点登录、配置、角色矩阵以及域名认领，包括您那些持有个人账户的成员将会看到的内容。
- 认领并迁移您域名上的账户（在新标签页中打开）：认领您域名的要求和步骤。
- 响应针对您Claude账户的Enterprise域名认领（在新标签页中打开）：您那些持有个人账户的成员会看到的内容，以便您提前告知他们。
- 将您的个人Claude账户迁移到Team或Enterprise组织（在新标签页中打开）：成员迁移时，其技能、已连接应用和历史记录会发生什么。
- 角色与权限（在新标签页中打开）：每种内置角色当前的能力矩阵。
- 设置单点登录（SSO）（在新标签页中打开）：验证您的域名并配置SSO，在认领域名之前，您必须强制启用它，而不仅仅是配置它。
- 设置JIT或SCIM配置（在新标签页中打开）：必须生效的配置，以确保您域名上的每个人都有办法进入。
课程活动
下方的互动小部件用于跟踪这六项前提条件：标记每一项是否已就绪，并将结果复制到您的练习手册中。
逐一检查这六项前提条件，并针对每一项回答两个问题：它目前的状态如何？贵公司由谁负责完成它？任何尚未就绪的硬性阻碍，以及任何没有负责人的前提条件，都必须在您开始决定设置之前得到解决。
→ 请将此记录在随堂练习手册的第3课部分。
下载内容
接下来
在下一个模块中，您将决定要运行多少个Claude Enterprise组织，并设计您的群组。