custom roles (カスタムロール)

請求やユーザー管理といった特定の管理者権限を、全員に同じ権限を与えずに委任することもできます。管理者はユーザーを手動または ID プロバイダーからの SCIM でグループに整理し、各グループにカスタムロールを割り当てます。カスタムロールの管理は Enterprise プランで提供されています。

カスタムロールの権限は、組織の設定やほかのロールと組み合わさって決まります。

• カスタムロールの機能が効くのは、ロールが「Custom」に設定されたメンバーだけです。User・Admin・Owner のロールのメンバーは、それぞれのロールから直接権限を得ます。
• カスタムロールのメンバーは、組織で有効になっている機能を自動では引き継ぎません。必要な機能は、所属グループに割り当てたカスタムロールで明示的に付与します。
• RBAC で管理される設定は、組織の設定とロールの設定の両方がオンのときだけ利用できます。組織レベルでオフの機能は、どのカスタムロールでも付与できません。
• 権限はロール間で足し合わされます。あるロールで付与された権限を、別のロールで取り消すことはできません。
• カスタムロールはシート単位の制限を上書きしません。Chat のみのシートのメンバーは、カスタムロールで付与されていても Claude Code を使えません。
• Owner と Primary Owner は常にすべての機能を使え、カスタムロールの権限の影響を受けません。

Permissions (権限) タブには、Identity & Access・Billing・Analytics・Privacy・User Management・Libraries・Directory の管理領域が並びます。各領域を No access・Can view・Can manage のいずれかに設定します。

• Can view は読み取り専用です。管理できる人と同じページと設定が表示されますが、操作はすべて無効または読み取り専用の表示になります。
• 領域の中では View 全体か Manage 全体のどちらかを付与します。個々のページや設定だけを付与・制限することはできません。
• Identity & Access を Manage にしたロールは、自分のロール定義を含むグループとロールを作成・編集でき、Owner access もオンにできます。
• Owner access (ベータ) は、ロールに Owner のすべての管理者権限を与える設定です。オンにできるのは Owner、Primary Owner、Identity & Access が Manage のカスタムロールだけです。

管理者権限を持つロールにユーザー向けの機能は不要で、その逆も同様です。管理者権限はカスタムロールのメンバーにだけ適用され、User・Admin・Owner・Primary Owner のロールのメンバーには適用されません。

コネクタ権限の対象は、Owner または Primary Owner が Organization settings > Connectors で追加し、管理者の認証情報で接続済みのコネクタだけです。Web 検索やコード実行のような組み込みのツールは対象外で、Capabilities (機能) タブで管理します。

• 各コネクタの行で Always allow・Needs approval・Blocked・Custom の 4 つから選びます。新しく作ったロールは、すべてのコネクタで Needs approval が初期値です。
• All connectors の行は、後から追加するコネクタも含めた全コネクタの基準を決めます。個々のコネクタはこの基準を上書きできます。
• Custom にすると、そのコネクタのツールが行ごとに表示され、ツールごとに Always allow・Needs approval・Blocked を選べます。
• How members connect のドロップダウンで、メンバーが自分のアカウントでコネクタにサインインするか、ID プロバイダー経由で自動接続するかを決めます。
• ほかのロールが同じコネクタを別のレベルで付与している場合は警告が表示され、最も許可の広い設定が適用されます。
• 組織全体のツールポリシーが上限です。そこでブロックしたツールは、ロールの付与に関係なく全員にブロックされます。組織で Claude Code を使っている場合、コネクタ権限を有効にすると組織全体のツールポリシーが Claude Code にも適用され、ツールの利用範囲は狭まるだけで広がることはなく、全メンバーに影響します。

Models (モデル) タブでは、Model access で各モデルをオン・オフし、モデル横の歯車アイコンから effort レベルの上限を選びます。Default model で新しい会話の開始モデルも選べます。Haiku のモデルは常にオンで、無効にできません。

• グループは Claude で手動作成することも、ID プロバイダーから SCIM で同期することもでき、両方を同時に使えます。Organization settings > Groups で Add group (グループを追加) からグループを作り、カスタムロールを割り当ててメンバーを追加します。
• SCIM と組み合わせる場合は、Enable group mappings をオフにして SCIM のディレクトリ同期を保存し、初回の同期を終えます。その後 Groups で Check for updates をクリックしてグループだけを同期し、同期したグループをカスタムロールに割り当ててから、Enable group mappings をオンにしてグループを「Custom」に対応付けます。
• 既存メンバーの移行は、Organization settings > Members で Role と Group のフィルターで対象を選び、Update # selected をクリックし、Action で Change role、Role で Custom を選んで Update members をクリックします。
• 機能は組織レベルでも有効にします。Organization settings > Cowork のような各機能の設定ページで、組織レベルの有効化を行います。
• Members の各メンバーの行にある「⋮」メニューから View effective role を選ぶと、そのメンバーがすべてのロールから得ている機能・管理者権限・コネクタが、付与元のロール名を示す Granted by の表示とともに確認できます。

カスタムロールの管理は Enterprise プランで提供されています。以下はカスタムロールを作成する流れです。

1. Organization settings (組織設定) > Roles (ロール) を開きます。
2. Add role (ロールを追加) をクリックします。
3. ロールに名前を付け、Capabilities (機能) タブで必要な機能をオンにします。All capabilities (すべての機能) または All generally available (一般提供のものすべて) を選ぶと、まとめて付与できます。
4. Permissions (権限) タブで、ロールの管理者権限を設定します。
5. Connectors (コネクタ) タブで、ロールのコネクタ権限を設定します。
6. Models (モデル) タブで、ロールのモデルアクセスとデフォルトのモデルを設定します。
7. Save (保存) をクリックします。計画したロールごとに同じ操作を繰り返します。