Quyền hạn của một thành viên trên Claude Team hoặc Enterprise phụ thuộc hoàn toàn vào vai trò (role) được gán cho họ.

Bốn vai trò có sẵn (built-in roles):

Bảng phân quyền chi tiết theo từng nhóm chức năng:

Đây là tính năng nâng cao chỉ dành cho gói Enterprise, giúp kiểm soát quyền truy cập tính năng chi tiết hơn 4 vai trò mặc định.

Bốn mẫu (pattern) thiết kế phổ biến:

• Base + additive roles (khuyến nghị cho hầu hết tổ chức): tạo vai trò "Standard Access" nền tảng cho tất cả mọi người, sau đó thêm các vai trò cộng thêm (ví dụ "Cowork Enabled") chỉ bổ sung tính năng riêng cho một số người. Quyền cộng dồn, không xung đột.
• Tier-based roles: chia theo cấp độ — "Full Access", "Standard Access", "Restricted Access". Mỗi người chỉ thuộc đúng một tier.
• Department-based roles: gán theo phòng ban — ví dụ "Engineering" được dùng chat + Cowork + Claude Code + code execution; "Research" được chat + web search + memory + projects; "Business" chỉ chat + web search + projects.
• Admin delegation roles: giao một phần quyền quản trị mà không cần cấp quyền Owner đầy đủ. Ví dụ vai trò "Finance" chỉ có quyền Billing, không có quyền chat; vai trò "Engineering Lead" có Claude Code + xem Analytics.

Nguyên tắc quan trọng: một tính năng phải được bật ở cấp toàn tổ chức trước, sau đó custom role mới có thể gán tính năng đó cho từng nhóm cụ thể. Nếu tính năng bị tắt ở cấp tổ chức, không custom role nào có thể mở nó.

Quy trình triển khai (5 bước):

1. Tạo các custom role với năng lực (capabilities), quyền admin, và quyền connector cụ thể.
2. Tạo nhóm (groups) — thủ công hoặc đồng bộ tự động từ IdP qua SCIM.
3. Thêm thành viên vào nhóm tương ứng.
4. Chuyển vai trò của thành viên sang "Custom".
5. Bật các tính năng cần thiết ở cấp toàn tổ chức.

Việc quản lý được thực hiện tập trung tại Organization settings > Roles, Groups, Members. Nếu tổ chức có cấu trúc parent/child (công ty mẹ — công ty con), nhóm đồng bộ qua SCIM có thể lan tỏa xuống các tổ chức con. Quyền là cộng dồn giữa các nhóm: nếu bất kỳ vai trò nào trong chuỗi của một thành viên cấp một tính năng, họ sẽ có tính năng đó.

Custom role xác định thành viên được truy cập những tính năng nào. Chỉ Owner, Primary Owner, hoặc người có custom role với quyền Identity & Access = "Can manage" mới vào được Organization settings > Roles để quản lý.

Custom role kiểm soát gì? Mỗi custom role chứa một tập quyền cho phép/hạn chế truy cập vào các năng lực cụ thể như chat, Claude Cowork, Claude Code, web search, cùng các connector đã kết nối (Slack, Google Drive...). Custom role còn có thể cấp quyền admin (billing, identity, privacy...) mà không cần biến thành viên đó thành Owner.

Custom role chỉ ảnh hưởng đến thành viên có vai trò "Custom". Thành viên với vai trò User/Admin/Owner lấy quyền trực tiếp từ vai trò đó, không liên quan đến custom role.

Thứ tự ưu tiên khi xác định quyền truy cập một tính năng (mức hạn chế nhất luôn thắng):

1. Platform-level override: một số tính năng có thể bị Anthropic ép bật/tắt theo hợp đồng, không thể thay đổi trong cài đặt tổ chức.
2. Organization-level setting: Owner/Primary Owner bật hoặc tắt một tính năng cho toàn tổ chức. Nếu tắt ở đây, không custom role nào mở được.
3. Custom role permissions: nếu tính năng đã bật ở cấp tổ chức, custom role của thành viên quyết định họ có được dùng hay không.
4. User-level setting: nếu role đã cấp quyền, tính năng khả dụng trừ khi chính thành viên đó tự tắt trong cài đặt cá nhân.

Có hai cơ chế để tự động thêm người dùng vào Claude khi họ đăng nhập qua hệ thống quản lý danh tính (IdP) của công ty:

Thứ tự thiết lập:

1. Hoàn tất cấu hình SSO trước, xác minh domain công ty.
2. Với SCIM: kết nối IdP qua WorkOS (nhà cung cấp hạ tầng SSO/SCIM của Anthropic).
3. Đảm bảo người dùng đã được gán vào ứng dụng Anthropic trong IdP trước khi lưu cấu hình provisioning.
4. (Tùy chọn) Tạo nhóm trong IdP khớp với các vai trò/seat tier mong muốn, rồi ánh xạ (map) trong cài đặt Claude.

Về số lượng seat: cả hai phương thức đều tiêu tốn seat khi người dùng gia nhập — cần đảm bảo đủ seat trống trước khi bật provisioning để tránh trường hợp tài khoản bị xóa ngoài ý muốn.

Single sign-on (SSO) khả dụng cho gói Team, Enterprise, và tổ chức trên Claude Console.

Bước 1 — Điều kiện tiên quyết:

• Với Team/Enterprise: người thực hiện phải có vai trò Owner hoặc Primary Owner.
• Cần quyền truy cập cài đặt DNS của domain email công ty.
• Cần quyền truy cập Identity Provider (IdP) của công ty — ví dụ Okta, Microsoft Entra ID, Google Workspace.

Anthropic sử dụng WorkOS làm nhà cung cấp hạ tầng xác minh domain và SSO/SCIM — trong quá trình thiết lập, hệ thống sẽ dẫn qua luồng cấu hình của WorkOS.

Bước 2 — Xác minh domain: chứng minh quyền sở hữu domain công ty. Có thể xác minh nhiều domain cho cùng một tổ chức, nhưng tất cả phải cùng quản lý qua một IdP duy nhất (không hỗ trợ trộn domain từ nhiều IdP khác nhau trong cùng tổ chức). Việc xác minh domain một mình không ảnh hưởng đến khả năng truy cập của người dùng hiện tại — chỉ khi SSO được thiết lập và bắt buộc (enforced) thì mới có tác động.

Thực hiện tại Organization and access settings trên claude.ai (hoặc Identity and access settings trên Console), vào mục Domains, chọn "Add or edit domains" và nhập domain cần xác minh.

Các bước tiếp theo (kết nối IdP, cấu hình SAML/OIDC, bật enforcement) được thực hiện theo hướng dẫn của WorkOS tương ứng với từng nhà cung cấp IdP cụ thể (Entra ID, Google Workspace, Okta...).

Hướng dẫn thêm, xóa và quản lý thành viên trên gói Team/Enterprise.

Thêm thành viên bằng lời mời (invitation):

1. Vào Organization settings > Members, bấm "Add member."
2. Nhập email (phải thuộc domain đã được tổ chức cho phép).
3. Chọn loại seat và gán vai trò/quyền.
4. Với Enterprise, có thể chọn vai trò "Custom" — quyền của người này sẽ do nhóm và custom role quyết định (xem mục 3).
5. Bấm "Add members." Email mời sẽ được gửi, hết hạn sau 21 ngày nếu không được chấp nhận.

Có thể mời nhiều người cùng lúc bằng "Bulk add" (dán danh sách email cách nhau bằng dấu phẩy hoặc xuống dòng), hoặc tạo link mời chia sẻ được để gửi trực tiếp cho đồng nghiệp. Ngoài ra còn có "organization discovery": đồng nghiệp có email cùng domain có thể tự tìm thấy và xin gia nhập tổ chức khi đăng ký, admin có thể chọn tự động duyệt hoặc yêu cầu phê duyệt thủ công.