Part IV · 14 · 企业

从"个人工具"到"组织能力"

4 月一系列企业级更新让 Claude 真正具备了 "团队 leader 能 govern、CISO 能 audit、IT 能批量管理" 的能力—— 这些是企业把 Claude 放进生产前的硬门槛。

①

RBAC · 角色权限

把用户分组、定义自定义角色、按 feature 粒度授权。 管理员能精确说"这组人不能用 ultrareview"或"那组人只能 read-only"。

②

SCIM · 身份同步

对接 IdP（Okta、Azure AD、OneLogin 等）——员工入职自动开通、离职自动停权、 部门变动自动重分组。HR 系统驱动 IT 不用人工配。

③

Telemetry · 可观测性

OpenTelemetry 标准——Claude 的执行轨迹直接送进 Datadog / Honeycomb / Splunk。CISO/SRE 能看到、能告警、能审计。

14.1 · 架构

企业部署架构 · 一图看懂

👥
HR · IdP

Okta / AAD
员工身份源

🔄
SCIM 同步

自动 provisioning
批量管理用户与组

🛡️
Claude RBAC

角色 / 权限 / 配额
按 feature 粒度

📡
Telemetry

OTel → Datadog
所有执行可审计

配置示例 · SCIM

Okta · SCIM Provisioning
{
  "scim_endpoint": "https://api.anthropic.com/v1/scim/v2",
  "auth": "Bearer $${ANTHROPIC_SCIM_TOKEN}",
  "sync": {
    "users": true,           # 同步所有员工
    "groups": true,          # 同步部门/团队
    "profile_attributes": [
      "email", "name", "department",
      "manager", "costCenter"
    ]
  },
  "role_mapping": {
    "engineering": "developer-full",
    "sales": "chat-only",
    "design": "design-collaborator",
    "finance": "chat-only-restricted"
  }
}

↑ 员工进 Okta engineering 组 → 自动获得 developer-full 角色 → 自动可以用 Claude Code、ultrareview、所有功能。

14.2 · 角色矩阵

典型角色与能力对照

下面是一个真实企业可能配置的 4 类角色——你能看到 RBAC 的颗粒度。

能力
developer-full
chat-only
design-collaborator
Claude.ai 聊天
✓ 完整
✓ 完整
✓ 完整
Claude Code CLI
✓ 完整
✗ 禁用
○ 仅设计相关命令
/ultrareview
✓ 无限制
✗
✗
Claude Design
✓
✓ 限 5 项目/月
✓ 无限制
Cowork 持久线程
✓
✓
✓
外部 MCP 服务器
✓ 自配
○ 仅审批列表
○ 仅设计工具类
Bash 写权限
✓ 配置允许
✗
✗
Token 月配额
无上限
5M
20M
Telemetry export
✓ 全部
✓ 自动
✓ 自动

为什么这种粒度重要？

合规

金融/医疗/政府客户必须能说"销售部门不能用 Bash 写"—— 监管不接受"全员开放"。

成本

不同角色 token 用量差几个数量级——给销售 5M、给工程师无上限，整体成本可控。

风险隔离

实习生 / 试用账号有独立角色——出问题时影响范围天然隔离。

14.3 · 可观测性

OpenTelemetry：把 Claude
"说清楚"它做了什么

OpenTelemetry 集成让 Claude 的每个 tool call、每次 model call、每个 hook 触发 都成为标准 OTel span——可以送进任何兼容平台。

能看到什么

每次 model call：模型 ID、effort、token 数、延迟、成本
每次 tool call：工具名、参数（可选 redact）、返回大小、延迟
每次 hook 触发：matcher、command、退出码
会话级：起止时间、用户、角色、总成本、是否中断
错误：堆栈、上下文、是否重试、最终是否成功

v2.1.122 改进

# 4 月 28 日修复
# OTel 数值属性现在以数字发送，不再以字符串

before: { "latency_ms": "1234" }
after:  { "latency_ms": 1234 }

# 这让 Datadog/Grafana 直接画图，不用先转换

企业典型的"看护面板"

📊 用量与成本

按用户/团队/角色/天聚合 token 消耗——预算超限提前告警。

🔍 异常检测

同一用户突然 100x 成本？某个团队 ultrareview 失败率飙升？AI 第一时间发现。

📜 审计与合规

"上周谁在 prod 数据库执行过写操作？" 一条查询解决——监管要求满足。

🚨 安全告警

检测到 prompt injection 模式、敏感数据外泄、异地登录——自动通知 SOC。

📈 采纳率

"哪些团队在用？哪些功能被反复用？哪些被弃用？" Analytics API 直接给数据。

这些不是炫技——是企业 buyer 的 checklist。Anthropic 在 4 月把它们打齐。

14.4 · 设计哲学映射

把"用户自主权"
从个人扩展到组织

个人用户的"自主权"是"我的电脑、我的 token、我的数据，我说了算"。 企业的"自主权"是"组织规则要能在 Claude 上准确执行"—— 这就是 RBAC + SCIM + Telemetry 在做的事。

能力对应原则体现
RBAC 自定义角色 用户自主（组织级） 组织能精确表达 "什么人能做什么"——Claude 只是执行者。
SCIM 自动同步 Helpful 不让 IT 手工管理几千个账号——把摩擦降到接近零。
OpenTelemetry export Honest "AI 干了什么"必须能看见——给企业可审计性，不当黑箱。
Analytics API Honest + Helpful 采纳率/使用率公开给管理员——帮组织判断 ROI。
Token 月配额 用户自主 组织能给不同角色不同预算——避免"AI 失控烧钱"。
按 feature 粒度授权 Harmless 风险隔离——销售部门不能用 Bash，自然不会出 prod 事故。
Bedrock service tier 选择 用户自主 企业自定义服务层级——SLA / 数据驻留 / 区域选择按需。

下一页：把所有 4 月更新放进一张大表——一图看懂"理念 ↔ 功能"闭环。

Claude · April 2026 · Enterprise
14 / 17