您已經為每項決策指定了負責人與利害關係人。在您實際做出第一項決策之前，您將依序涵蓋三個基礎領域：
- 您將在哪裡作業： 您管理 Claude Enterprise 的三個地方。
- 誰能做什麼： 在您的組織設定中，每個動作都受到角色的把關。
- 先決條件檢查： 在您選擇群組結構之前要確認的六個項目，接著是網域認領，這是一項無法復原的設定。
您的身分識別團隊可能已經為其他系統建立了其中許多項目。您在這裡的任務是了解還有哪些尚未到位，以及由誰負責完成。
您將在哪裡作業
您從三個地方管理 Claude Enterprise。了解哪裡存放什麼，能讓您不必徒勞地尋找設定。第四個地方，Claude Code 的受管理設定，屬於您的平台負責人（第 6 課）。
- 組織設定：本課程中大多數的控制項目——群組與角色、連接器、治理、支出與可見性。您在這裡變更群組被允許做什麼。
- 您的身分識別提供者（IdP），例如 Okta、Microsoft Entra ID 或同等服務：群組定義與成員資格，Claude 透過身分識別同步讀取這些資訊。您在這裡變更誰在群組中。
- Claude Console： API 金鑰與開發人員存取權，以獨立組織運作，擁有自己的管理模型。您在這裡管理 API 存取權，這是上述設定無法管轄的部分。
一個常見的混淆點在於前兩者之間：如果您的群組有同步，您會在身分識別提供者中變更成員資格，並在組織設定中變更權限。
誰能做什麼
每位成員都持有一個角色，可能是四個內建角色之一（主要擁有者、擁有者、管理員、使用者），或是您定義的自訂角色，而您組織設定中的每個動作都受這些角色把關。每個內建角色所擁有的確切能力會隨著產品演進而變動。請參閱角色與權限（在新分頁中開啟）文章以取得目前的能力矩陣。第 5 課將涵蓋使用者、管理員與自訂角色的完整角色概況，作為群組設計的一部分。管理員這一方面現在很重要，因為它決定了誰能實際執行本課程所探討的決策。
先決條件檢查
您將做出的第一項決策是結構與身分識別。這是日後變更所需工作量最大的決策，因此您要確保自己已充分準備好。在您選擇群組結構之前，應該先具備六項先決條件。其中四項是必做事項：三項會直接阻擋群組設定，一項則是您防止自己被鎖在外面的保險。另外兩項可以並行進行。
| 先決條件 | 為何重要 | 設定前是否必做？ |
|---|---|---|
| 至少有兩名成員被直接指派擁有者角色，而非透過群組指派；如果您使用 IdP 角色對應，他們在儲存對應之前就已在對應到擁有者的群組中 | 防止群組同步設定錯誤，把您自己的團隊鎖在能修復問題的設定之外 | 是：這是您的鎖定保險；請在設定單一登入之前完成 |
| 您的網域已通過驗證 | 在網域通過驗證之前，無法設定單一登入 | 是：會阻擋群組設定 |
| 身分識別提供者連線已設定，且單一登入已強制啟用 | Claude 從您的 IdP 讀取群組；沒有連線就沒有同步 | 是：會阻擋群組設定 |
| 佈建應用程式已在您的身分識別提供者中設定完成 | 這是同步作業在 IdP 端的部分；沒有它，群組就無法推送 | 是：會阻擋群組設定 |
| 您已為將建立的 Claude 群組訂定命名慣例 | 在群組存在之前就容易達成共識；之後重新命名只需要重新同步 | 否：可並行進行 |
| 已確定帳單負責人 | 合約以及支出決策（第 9 課與第 10 課）都需要此資訊 | 否：在做出支出決策之前不需要 |
深入了解鎖定保險與網域認領
鎖定保險值得比表格更深入的探討，接下來在先決條件之後出現的一項設定也是如此：網域認領。
關於鎖定保險，您應該至少給兩名成員擁有者角色。如果沒有 IdP 角色對應，請直接以姓名指派，這樣群組同步錯誤就不會奪走管理存取權。如果有 IdP 角色對應，請在儲存對應之前，將這些相同的人員放入對應到擁有者的群組中。一旦對應啟用後，單靠直接指派將無法恢復您的存取權；只有永遠不會被自動移除的主要擁有者才能做到。
主要擁有者值得特別關注，因為它持有其他角色都無法執行的動作，其中有幾項會在課程後面再次出現。請給每位管理員涵蓋其工作所需的最低權限角色，並讓主要擁有者不參與日常管理工作。如果主要擁有者不是您本人，請現在就確認誰應該持有這個角色。
接著是網域認領。貴公司的員工可能已經在 Claude 上使用非 Enterprise 帳戶，這些帳戶是在貴組織於 Claude 中存在之前，使用工作電子郵件註冊的。在您認領網域之前，這些帳戶都在您的組織之外，成員在其中所做的一切也是如此。驗證網域證明您擁有該網域；認領則是另一個獨立步驟，會將該網域上已存在的個人帳戶移入您的組織，並讓之後在該網域上註冊的任何人，透過單一登入直接進入您的組織。一旦認領的 30 天視窗期結束，該網域上就不會再有任何個人帳戶。說明中心的網域認領（在新分頁中開啟）與帳戶遷移（在新分頁中開啟）文章載有確切的步驟。
網域認領是選擇性的，而它之所以排在先決條件之後是有原因的：啟用它需要先具備以下條件，才能確保網域上的每個人在帳戶移轉後都有登入的方式：
- 您的網域已通過驗證
- 「限制組織建立」已啟用
- 單一登入已強制啟用（而非僅是設定完成）
- 佈建已上線
即使您從未進行認領，「限制組織建立」也值得啟用。它會在您的網域通過驗證後變為可用，並能阻止任何人在該網域上建立新的個人帳戶或組織，包括 Claude Console 組織。
在您啟用認領之前，有幾點需要注意：
- 任何在該網域上但不在您身分識別提供者中的人，一旦認領開始就會被鎖在外面，且其個人帳戶會在 30 天視窗期結束時被停用，因此請在啟動認領之前，先將他們加入您的身分識別提供者。
- 此動作無法復原。
- 已在您網域上持有個人帳戶的成員，會獲得一個 30 天的遷移視窗期，從您啟動認領時開始計算。
- 每位成員可以選擇將現有的對話與專案帶入您的組織，或是重新開始。如果您的組織已啟用 HIPAA 就緒性或客戶自管加密金鑰，重新開始將是唯一選項：個人帳戶中的任何內容都不會轉移過來。無論哪種方式，自訂技能都不會在個人帳戶遷移中轉移，因此他們應在遷移前匯出任何想保留的技能。已連接應用程式的授權會被撤銷，因此每個應用程式都需要從他們的組織帳戶重新連接，任何自訂連接器也需要在那裡重新新增，並受貴組織政策的約束；其餘內容請參閱說明中心的轉移項目清單（在新分頁中開啟）。任何在視窗期結束時尚未做出選擇的人，預設會重新開始。
- 在任何情況下，原本的個人帳戶都會被停用。
您在這裡的角色是讓這次轉換盡可能順利：在啟動之前先提前告知這些成員，這樣就不會有人在舊帳戶消失後才發現這項變更。可以考慮分享以下內容：
| 訊息 | 要說什麼 |
|---|---|
| 發生了什麼事 | 在 [日期]，我們將把 [公司] 電子郵件網域上的帳戶併入公司的 Claude 組織。從該日期起，您有 30 天的視窗期可以移轉您的帳戶。 |
| 要做的選擇 | 將您現有的對話與專案帶入公司的 Claude 組織，或是重新開始。無論哪種方式，自訂技能與已連接的應用程式都不會轉移過來，因此請先儲存您所依賴的任何內容。 |
| 轉換的細節 | 當 30 天視窗期結束時，您預設會重新開始，而您目前的個人帳戶將被停用。 |
| 預期情況 | 提醒您截止日期的通知會透過電子郵件及產品內發送。 |
| 問題 | 如有任何問題，請聯絡 [管理員或協助管道]。 |
在已啟用 HIPAA 就緒性或客戶自管加密金鑰的組織中，請將「要做的選擇」替換為：「您個人帳戶中的任何內容都不會轉移過來，因此請先儲存您所依賴的任何內容。」
Pluto 的先決條件
在先決條件到位後，Pluto 選擇啟用網域認領，而這也是部署團隊唯一真正遇到的難關：大約四十名成員，大多是工程師，已經在 Pluto 的電子郵件網域上使用 Claude（IT 負責人在啟動認領前兩週發出了上述通知），而到 30 天視窗期結束時，他們每一位都已移入 Pluto 的組織。身分識別團隊在第一週就完成了網域驗證並連接了單一登入，管理員角色由 IT 負責人持有，而主要擁有者角色則由 CIO 持有，刻意不參與日常使用。身分識別團隊也建立了佈建應用程式。兩位直接指派的擁有者與群組命名慣例由 IT 負責人負責，帳單負責人則是 CFO 的代理人。
設定資源
以下文章涵蓋上述的基礎工作：SSO、佈建、角色矩陣，以及網域認領，包括您持有個人帳戶的成員將會看到的內容。
- 認領並遷移您網域上的帳戶（在新分頁中開啟）：認領您網域的要求與步驟。
- 回應您 Claude 帳戶上的 Enterprise 網域認領（在新分頁中開啟）：您持有個人帳戶的成員會看到什麼，讓您可以提前告知他們。
- 將您的個人 Claude 帳戶移轉到 Team 或 Enterprise 組織（在新分頁中開啟）：成員遷移時，其技能、已連接應用程式與歷史記錄會發生什麼事。
- 角色與權限（在新分頁中開啟）：每個內建角色目前的能力矩陣。
- 設定單一登入（SSO）（在新分頁中開啟）：驗證您的網域並設定 SSO，在您認領網域之前，您必須強制啟用它，而不僅是設定完成。
- 設定 JIT 或 SCIM 佈建（在新分頁中開啟）：必須上線的佈建，讓您網域上的每個人都有登入的方式。
課程活動
下方的互動小工具會追蹤六項先決條件：標記每一項是否已到位，並將結果複製到您的同步練習夥伴中。
逐一檢視六項先決條件，並針對每一項回答兩個問題：目前的狀態是什麼，以及貴公司由誰負責完成它？任何尚未到位的硬性阻擋項目，以及任何沒有負責人的先決條件，都必須在您開始決定設定之前解決。
→ 將此記錄在同步練習夥伴中，第 3 課的章節。
下載項目
接下來
在下一個模組中，您將決定要執行多少個 Claude Enterprise 組織，並設計您的群組。