Une organisation ou plusieurs
Sur cette page
Première décision, et celle dont tout dépend : comment votre entreprise est-elle représentée dans Claude, et comment les personnes s’y connectent-elles ? Cette leçon couvre la structure (une organisation ou plusieurs) et l’identité (authentification unique, arrivée des comptes, comptes personnels existants).
Votre décision
Combien d’organisations Claude, reliées comment, et par quel chemin chaque personne y entre-t-elle ?
Les choix possibles
La structure. Le centre d’aide décrit la notion d’organisation parente : une entité qui stocke les réglages d’identité — vérification de domaine, configuration du SSO, provisionnement des utilisateurs — et peut les partager entre plusieurs organisations Claude ou Console. Sur Enterprise, elle est créée automatiquement. Ce qu’il faut savoir :
- plusieurs organisations peuvent être reliées à la même organisation parente pour partager le domaine vérifié et le SSO, par exemple une organisation Claude Enterprise et une organisation Console (l’API) ;
- une organisation parente ne peut être reliée qu’à un seul fournisseur d’identité ;
- la facturation, les factures et le suivi d’usage restent propres à chaque organisation : séparer en plusieurs organisations, c’est aussi séparer budgets et tableaux de bord.
Pour la plupart des entreprises, une organisation suffit : une seule politique, une seule analytique, et des groupes pour distinguer les équipes. Plusieurs organisations se justifient surtout quand la facturation ou le périmètre doivent être réellement séparés.
L’authentification unique (SSO). Une fois le domaine vérifié, vous configurez le SSO avec votre IdP, puis vous l’imposez : tant qu’il n’est pas imposé, les accès existants ne changent pas.
L’arrivée des comptes (provisionnement). Trois modes :
| Mode | Arrivée | Changements de rôle | Départ |
|---|---|---|---|
| Sur invitation (par défaut) | Ajout manuel | Manuels | Retrait manuel |
| JIT (just-in-time) | Création à la première connexion, avec le rôle User | Manuels, ou selon les groupes de l’IdP si vous mappez des groupes | Manuel : un compte retiré de l’IdP ne peut plus se connecter mais garde son siège jusqu’à son retrait |
| SCIM (synchronisation d’annuaire) | Création automatique selon les attributions dans l’IdP, sans attendre la connexion | Synchronisés | Retrait automatique |
Le SCIM, réservé à Enterprise (et Console), est le plus robuste pour une organisation de taille moyenne ou grande : les arrivées et surtout les départs suivent l’annuaire.
Les comptes personnels existants. Beaucoup de collègues utilisent peut-être déjà Claude à titre personnel avec leur adresse professionnelle. La revendication de domaine, réservée à Enterprise, permet de les rapatrier. Prérequis : domaine vérifié, création d’organisations restreinte sur ce domaine, SSO imposé et JIT ou SCIM actif. Chaque personne dispose alors de 30 jours pour fusionner son compte (conversations, projets, fichiers et mémoire suivent) ou repartir de zéro ; à l’échéance, les comptes restants sont désactivés et les abonnements personnels annulés avec remboursement au prorata.
Si vous changez d’avis plus tard
- Fusionner des organisations reste possible par invitation à rejoindre l’organisation parente, sous conditions (domaines vérifiés, adresses des membres sur ces domaines).
- Changer d’IdP est possible, mais demande une migration à préparer.
- La capture de domaine est une porte à sens unique : une fois activée, elle ne peut pas être annulée, et plus aucun compte non Enterprise ne peut exister sur votre domaine. Ne l’activez qu’après avoir vérifié la liste des comptes concernés (exportable) et leur présence dans l’IdP.
Le cas d’Atelier Nova
Une seule organisation, reliée à l’organisation parente avec l’organisation Console de l’équipe produit. SSO Okta imposé, SCIM activé. Le relevé montre 85 comptes personnels sur le domaine : Inès attend la fin du pilote, vérifie qu’ils sont tous dans Okta, puis lance la revendication avec un message d’accompagnement.
À reporter dans votre carnet : nombre d’organisations, IdP, mode de provisionnement, décision sur la revendication de domaine (et sa date).
À vous de jouer
Votre structure. Notez dans le carnet : une organisation ou plusieurs, et pourquoi ; le mode d’arrivée des comptes ; la date à laquelle vous imposerez le SSO. Si des comptes personnels existent sur votre domaine, fixez la date de lancement de leur migration, qui ouvre une fenêtre de 30 jours, et prévenez les personnes concernées.
Sources officielles : One organization or many (Claude Academy) · Important considerations before enabling SSO and JIT/SCIM provisioning · Set up JIT or SCIM provisioning · Claim and migrate accounts on your domain
Points clés à retenir
- L’organisation parente porte le domaine, le SSO et le provisionnement ; facturation et usage restent par organisation
- Une seule organisation suffit le plus souvent ; les groupes distinguent les équipes
- SCIM pour que les arrivées et les départs suivent l’annuaire ; le JIT ne retire jamais personne seul
- La revendication de domaine rapatrie les comptes personnels en 30 jours ; la capture de domaine est irréversible