這仍然是五項決策中的第一項：結構與身分。您已經設定了組織邊界。現在您可以繼續處理其中的內容：您的群組以及它們所承載的角色。群組是之後幾乎每一項決策都會附加的單位。
群組是幾乎每一項控制措施都會附加的單位
本模組中的其他所有內容，都源自於群組是什麼以及它承載了什麼。
-
群組是一組具名的成員集合。
您的身分提供者已經將您的成員分類到群組中，而 Claude 會透過 SCIM 同步自動讀取這些群組。您可能擁有從數百到數萬名成員，因此逐一設定每位成員的做法無法擴展。群組讓您能夠一次為多位成員設定功能，而不必逐一進行。
-
單一群組結構涵蓋您合約所涵蓋的每一個介面。
您建立的是單一群組結構，而不是每個介面各建立一套（例如 Cowork 或 Claude Code）。您附加到群組的角色會套用於 Claude 的每一個介面，因此該角色在一個產品中授予的權限，不需要在下一個產品中重新建立。
-
接下來四項決策中幾乎每一項設定都會附加於群組：
您所設定的幾乎所有內容，都是針對群組進行設定；只有少數設定屬於組織層級的上限，課程會在出現這些設定時加以標示。
如果您之後發現自己想將某項控制措施限定於特定子集（「僅限這三位成員」、「除承包商以外的所有人」），這很可能是結構在告訴您，您的組織需要另一個群組。
RBAC 的運作方式：成員、群組、角色
Claude Enterprise 使用基於角色的存取控制（RBAC）。這包含三個部分：
- 成員：您的人員。
- 群組：具名的成員集合，透過 SCIM 從您的身分提供者（IdP）同步而來，若您未進行同步，則可在組織設定中手動建立。
- 角色：您附加到群組的一組權限。每位採用自訂角色的成員，都會獲得其所屬群組角色所授予的權限。
您是依角色設定存取權限，而非逐一針對成員設定。若要查看某位成員能做什麼，請檢視其所屬群組的角色。變更一個角色，該群組的每位成員都會同時改變。
角色共有三種：
- 管理員角色（Primary Owner、Owner、Admin）：決定誰可以變更設定，例如邀請成員、編輯上限，以及查看帳單（後兩項需 Owner 以上層級）。Admin 可以管理成員但無法管理帳單；Owner 可以執行大多數管理員操作，但無法執行少數保留給 Primary Owner 的操作，例如匯出您組織的資料，以及將 Primary Owner 角色移交給其他人；在決定由誰擔任 Primary Owner 角色之前，請查看角色與權限（在新分頁中開啟）以取得完整清單。
- 使用者角色（User）：決定成員在 Claude 中能做什麼，包括功能、模型存取權，以及 Claude 可代表他們使用哪些工具。本課程大部分內容是透過自訂角色來界定這些範圍（見下文）。
- 自訂角色：當內建角色不符合需求時，由您自行定義的一組權限。它可以承載管理員或使用者權限。
自訂角色設定四種存取權限，每一種都可以與組織層級的預設值不同：
- 功能：啟用哪些功能，例如 Claude Code 和 Cowork。
- 模型存取權：該群組可以使用哪些 Claude 模型。
- 連接器權限：該群組可以存取哪些連接器，以及是否可以透過這些連接器進行寫入。
- 管理員權限：對於自訂管理員角色，它可以執行哪些管理員操作。
這些設定僅對採用自訂角色的成員生效；採用內建角色的成員則會保留組織層級啟用的每一個介面、模型與連接器。將角色設定為 Custom（無論是手動設定或透過您的 IdP 角色對應），是本課程交接事項的一部分。
當一位成員屬於多個群組時，其權限是所有群組角色的聯集。只要任何一個群組授予某項功能，該成員就擁有該功能，而範圍較窄的群組無法移除範圍較廣的群組所授予的權限。若要維持較嚴格的邊界，請將這些成員放入擁有自己角色的獨立群組中，並讓他們不屬於承載敏感權限的廣泛群組。
Pluto 的群組
Pluto 的群組結構採用混合模式：它反映了組織架構圖，每個業務單位各有一個群組，再加上一個跨單位的 Engineering 群組，除了 Payments & Trust 之外，因為該部門的工程師若不這樣處理，就會透過聯集繼承 Engineering 廣泛的連接器存取權限。因此 Pluto 新增了一個專屬的 payments-eng 群組，並賦予其自己的角色，其付款工程師歸屬於此，而非廣泛的 Engineering 群組，以確保他們只取得所需的權限。
下方的互動小工具將一位成員放入 Pluto 的兩個群組中，並顯示在聯集規則下她實際獲得的權限。
1 · 您的決策
您的控制措施附加於哪種群組模式：您的群組是什麼，以及每個群組承載哪些後續控制措施（介面、連接器、治理、上限）？
2 · 您可以做出的選擇
| 選擇 | 何時選擇此方案 | 其意義與影響 |
|---|---|---|
| 反映公司的組織架構圖 | 控制措施只需依部門而非依風險而有所不同。這種結構通常已存在於您的身分提供者中。 | 每個部門或團隊各有一個 Claude 群組。之後所有的控制措施都落在部門界線上。若有跨部門的風險邊界，在您新增群組之前，將沒有群組可供附加。 |
| 依風險分層 | 某個受監管的職能需要至少一項比其上層部門更嚴格的控制措施（通常是連接器、治理或可見性）——這是單靠部門群組無法表達的邊界。 | 少數幾個依工作敏感度跨部門劃分的群組。控制措施依敏感度而非部門附加，因此依部門而異的日常控制措施將沒有適合的群組。 |
| 混合方式 | 日常控制措施符合部門結構，但有一個邊界無法放入任何部門之內。需要風險邊界的公司通常會採用此方式。 | 日常控制措施使用部門群組，再加上在邊界所在位置劃分出的專屬群組。每項控制措施都落在適合它的群組上——只要讓劃分出來的成員不屬於廣泛的群組即可，因為聯集規則無法移除權限。 |
3 · 若您之後變更此項
群組結構本身的變更風險較低。您可以新增群組、重新命名群組，或變更附加於群組的角色。需要謹慎處理的是對應關係：即 IdP 群組成員資格授予 Claude 中角色的規則。一旦對應關係生效，變更它會改變其涵蓋的每位成員的存取權限，而要還原它則意味著進行第二次大規模變更，而不是簡單的復原。
設定資源
當您做出決定後，群組及其角色指派會存放在組織設定中，而成員資格本身則會從您的身分提供者同步而來。
- 在 Enterprise 方案中管理群組與群組支出限制（在新分頁中開啟）：建立群組並附加角色。
- 在 Enterprise 方案中管理自訂角色（在新分頁中開啟）：當內建角色不符合需求時定義角色。
- 角色與權限（在新分頁中開啟）：每個內建角色授予的權限，以便群組持有符合您預期範圍的角色。
- 在 Enterprise 方案中設定基於角色的權限（在新分頁中開啟）：將角色的權限附加到群組。
- Enterprise 組織的 SCIM 同步運作方式（在新分頁中開啟）：同步的目錄群組如何在無需人工維護的情況下保持成員資格最新。
課程活動
依照聯集規則勾勒您的群組：列出每個群組以及其角色授予的權限，然後指出必須嚴格限制的成員或職能，以及限制他們的專屬群組。若您有受監管的職能，請確認其成員受到正確的限制。
需要帶給您身分團隊的內容：您選擇的模式、將您的 IdP 群組轉換為 Claude 群組的規則（以及任何例外情況）、任何角色與您標準自訂角色不同的群組，以及哪個 IdP 群組對應到 Custom 角色。若佈建工作不是由您負責執行，這就是您要交給他們的簡報內容。
→ 請將此記錄在隨堂練習手冊的「第 5 課」章節中。
下載項目
接下來
下一課將說明您要授予每個群組哪些 Claude 介面，以及如何分階段開放該存取權限，還有組織層級與各角色的模型預設值如何決定每個群組所使用的模型。