这仍然是五项决策中的第一项：结构与身份。您已经设定了组织边界。现在您可以继续处理其中的内容：您的群组及其所承载的角色。群组是几乎所有后续决策都会附加到的单位。
群组是几乎所有控制都会附加到的单位
本模块中的其余内容都源于群组是什么以及它承载什么。
-
群组是一组具名的成员集合。
您的身份提供商已经将您的成员分组，Claude 会通过 SCIM 同步自动读取这些分组。您的成员数量可能从数百到数万不等，因此逐个配置成员无法扩展。群组让您可以一次性为多个成员配置能力，而不是逐一配置。
-
一个群组结构涵盖您合同所覆盖的每个界面。
您构建的是单一的群组结构，而不是每个界面（例如 Cowork 或 Claude Code）各一个。您附加到群组的角色适用于 Claude 的每个界面，因此该角色在一个产品中授予的权限无需在下一个产品中重新配置。
-
接下来四项决策中的几乎每一项设置都附加到群组：
您配置的几乎所有内容都是针对群组进行配置的；少数设置则是组织范围的上限，课程会在涉及这些设置时加以标注。
如果您后来发现自己想要将某项控制限定到特定子集（"仅限这三位成员"、"除承包商外的所有人"），这很可能说明您的组织需要另一个群组。
RBAC 的工作原理：成员、群组、角色
Claude Enterprise 使用基于角色的访问控制（RBAC）。这包含三个部分：
- 成员： 您的人员。
- 群组： 具名的成员集合，通过 SCIM 从您的身份提供商（IdP）同步而来，或者如果您不进行同步，则在组织设置中手动创建。
- 角色： 您附加到群组的一组权限。任何自定义角色上的成员都会获得其群组所附加角色授予的权限。
您是按角色而非逐个成员来设置访问权限的。要查看某位成员能做什么，请查看其所在群组的角色。更改一个角色，该群组的每位成员都会同时发生变化。
角色分为三种：
- 管理员角色（主要所有者、所有者、管理员）： 谁可以更改设置，例如邀请成员、编辑上限和查看账单（后两项为所有者及以上级别）。管理员可以管理成员但不能管理账单；所有者可以执行大多数管理操作，但不能执行少数专属于主要所有者的操作，例如导出您组织的数据以及将主要所有者角色移交给他人；在决定由谁担任主要所有者角色之前，请查看角色与权限（在新标签页中打开）了解完整列表。
- 用户角色（用户）： 成员在 Claude 中能做什么，包括能力、模型访问权限，以及 Claude 可以代表他们使用哪些工具。本课程的大部分内容通过自定义角色来限定这些内容（见下文）。
- 自定义角色： 当内置角色不适用时，您定义的一组权限。它可以承载管理员或用户权限。
自定义角色设置四种访问权限，每一种都可以与组织范围的默认设置不同：
- 能力： 哪些功能已启用，例如 Claude Code 和 Cowork。
- 模型访问权限： 该群组可以使用哪些 Claude 模型。
- 连接器权限： 该群组可以访问哪些连接器，以及是否可以通过它们进行写入。
- 管理员权限： 对于自定义管理员角色，它可以执行哪些管理操作。
这些设置仅对使用自定义角色的成员生效；使用内置角色的成员在整个组织范围内保留所有界面、模型和连接器的启用状态。将角色设置为自定义（无论是手动设置还是通过您的 IdP 角色映射）是本课交接内容的一部分。
当一位成员属于多个群组时，其权限是所有群组角色的并集。如果任何一个群组授予某项能力，该成员就拥有该能力，较窄的群组无法移除较宽群组所授予的权限。要保持更严格的边界，请将这些成员放入他们自己的群组并赋予其自己的角色，并将他们排除在承载敏感权限的广泛群组之外。
Pluto 的群组
Pluto 的群组结构采用混合模式：除了支付与信任部门之外，它在各处都镜像其组织架构图，即每个业务单元一个群组，外加一个跨单元的工程群组；否则该部门的工程师将通过并集规则继承工程群组的广泛连接器访问权限。因此 Pluto 添加了一个专门的 payments-eng 群组并赋予其自己的角色，其支付工程师归属于该群组而非广泛的工程群组，从而确保他们只获得所需的权限。
下面的交互式小部件将一位成员放入 Pluto 的两个群组中，并展示她在并集规则下实际获得的权限。
1 · 您的决策
您的控制附加到哪种群组模式：您的群组是什么，每个群组承载后续哪些控制（界面、连接器、治理、上限）？
2 · 您可以做出的选择
| 选择 | 何时选择它 | 它意味着什么以及产生的影响 |
|---|---|---|
| 镜像贵公司的组织架构图 | 控制只需要按部门而非按风险变化。这种形态通常已经存在于您的身份提供商中。 | 每个部门或团队对应一个 Claude 群组。所有后续控制都落在部门界限上。跨越部门的风险边界在您添加群组之前没有可附加的群组。 |
| 按风险分层 | 某个受监管的职能需要至少一项比其上级部门更严格的控制（通常是连接器、治理或可见性）——这是一个仅靠部门群组无法表达的边界。 | 少量跨部门的群组，按工作的敏感程度划分。控制按敏感度而非部门附加，因此按部门变化的日常控制没有适合它的群组。 |
| 混合方法 | 日常控制适合部门形态，但某个边界不适合任何部门内部。需要风险边界的公司通常会采用这种方式。 | 针对日常控制的部门群组，加上在边界所在位置划分出的专用群组。每项控制都落在适合它的群组上——只需将划分出来的成员排除在广泛群组之外，因为并集规则无法移除权限。 |
3 · 如果您以后更改此设置
群组结构本身的更改风险较低。您可以添加群组、重命名群组，或更改附加到群组的角色。需要谨慎对待的是映射关系：即 IdP 群组中的成员身份授予 Claude 中角色的规则。一旦映射生效，更改它会改变其所覆盖的每位成员的访问权限，而撤销它则意味着又一次大规模变更，而非简单的撤回。
设置资源
当您做出决定后，群组及其角色分配存放在组织设置中，而成员身份本身则从您的身份提供商同步而来。
- 在 Enterprise 方案上管理群组和群组支出限额（在新标签页中打开）：创建群组并附加角色。
- 在 Enterprise 方案上管理自定义角色（在新标签页中打开）：当内置角色不适用时定义角色。
- 角色与权限（在新标签页中打开）：每个内置角色授予什么权限，以便群组持有与您预期范围相匹配的角色。
- 在 Enterprise 方案上设置基于角色的权限（在新标签页中打开）：将角色的权限附加到群组。
- Enterprise 组织的 SCIM 同步如何工作（在新标签页中打开）：同步的目录群组如何在无需手动维护的情况下保持成员身份最新。
课程活动
根据并集规则勾勒您的群组：列出每个群组及其角色授予的权限，然后指出必须严格限定边界的成员或职能，以及限定这些边界的专用群组。如果您有受监管的职能，请确认其成员受到正确限制。
需要带给您的身份团队的内容： 您选择的模式、将您的 IdP 群组转换为 Claude 群组的规则（以及任何例外情况）、角色与您标准自定义角色不同的任何群组，以及哪个 IdP 群组映射到自定义角色。如果配置工作不是由您负责执行，这就是您需要交给他们的简报。
→ 将此记录在配套练习文件中，第 5 课部分。
下载内容
下一步内容
下一课将介绍您将授予每个群组哪些 Claude 界面，以及如何分阶段开放该访问权限，还有组织范围和按角色设置的模型默认值如何决定每个群组运行在哪个模型上。