Claude Enterprise-managed auth 설정: 커넥터를 파일럿 역할에만 여는 법

TL;DR

핵심 3줄 요약

이 글에서 다룰 내용

왜 중앙 연결만 보고 성공으로 판단하면 안 될까

커넥터는 연결 서비스의 데이터를 가져오고 허용된 작업을 실행할 수 있습니다. Claude는 각 사용자가 원래 연결 서비스에서 가진 권한을 이어받습니다. 사용자가 원본 서비스의 특정 파일이나 채널, 레코드를 열 수 없다면 커넥터도 Claude에서 그 항목에 접근할 수 없습니다.

실제 접근 범위는 세 갈래에서 정해집니다. 누가 관리형 인증을 상속받는지, Claude가 어떤 scope를 요청할 수 있는지, 원본 서비스에서 해당 사용자가 무엇을 볼 수 있는지가 서로 다릅니다. Run test 성공은 IdP 연결의 기본 동작을 확인할 뿐 이 세 범위를 모두 증명하지 않습니다.

Enterprise-managed auth란

이 흐름이 맞는 상황

한 부서가 새 커넥터를 시험하지만 전사 역할에는 아직 배포하고 싶지 않을 때 적합합니다. 예를 들어 승인된 비민감 fixture 하나를 읽는 작업으로 연결, 역할, scope와 회수를 먼저 검증할 수 있습니다.

개인 커넥터를 조직 전체에서 막거나 특정 도메인의 커넥터만 허용하려는 작업과는 다릅니다. 공식 문서에 따르면 구성원은 조직이 프로비저닝한 커넥터 외에 개인 커넥터를 추가할 수 있습니다. 이번 설정의 완료 기준은 파일럿 역할이 관리형 인증을 상속받는지이지 모든 개인 연결 경로의 차단이 아닙니다.

시작 전에 기록할 것

대상 커넥터와 승인된 custom role부터 적습니다. 이어서 연결 서비스의 테스트 계정, 허용할 scope, 비민감 fixture의 위치와 기대값을 기록합니다. 파일럿 사용자 한 명과 관리형 인증을 상속받지 않아야 할 비대상 사용자 한 명도 정합니다.

변경 승인자와 회수 승인자를 따로 기록하세요. Browser sign-in을 함께 유지할지, IdP 장애 시 개별 로그인을 허용할지도 결정해야 합니다. 둘을 동시에 켜면 Managed authorization이 실패할 때 Claude가 사용자에게 개별 로그인을 요청할 수 있습니다.

1단계: Organization settings > Connectors에서 커넥터를 엽니다

현재 베타 설정 권한이 있는 관리자가 Organization settings > Connectors 로 이동해 대상 커넥터를 선택합니다. Configuration 탭에서 Managed authorization 옆 Set up 을 누릅니다.

공식 목록에 없는 IdP나 커넥터를 지원된다고 가정하지 마세요. 이 글을 작성한 시점의 공식 도움말은 Okta와 Asana, Atlassian, Canva, Figma, Granola, Linear, Supabase를 현재 지원 대상으로 적고 Slack은 제공 예정이라고 안내합니다. 목록은 바뀔 수 있으므로 저장 전 현재 도움말과 계정 화면을 다시 대조합니다.

2단계: Connect에서 IdP 연결을 확인하고 Run test를 실행합니다

Connect 단계에서 IdP 연결을 확인합니다. 공식 설정 안내에 따라 IdP와 커넥터 자체 관리자 화면에도 Enterprise-managed auth를 구성한 뒤 Run test를 실행합니다.

테스트 결과와 실행 시각을 기록하되 비밀값이나 access token은 검토 문서에 옮기지 않습니다. IdP와 커넥터는 제3자가 운영합니다. Claude는 IdP가 발급한 인가를 전달하며 접근 판단, scope와 데이터 범위는 IdP 정책과 연결 서비스 권한이 정합니다.

3단계: Roles에서 파일럿 custom role만 선택합니다

Roles 단계에는 두 종류의 선택지가 나옵니다. User, Admin, Owner, Primary owner 는 기본 역할을 하나의 묶음으로 선택하며 custom role은 각각 고를 수 있습니다.

파일럿에서는 한 팀의 custom role만 선택하고 기본 역할 묶음은 체크하지 않습니다. 공식 도움말은 이 구성을 조직 전체 확대 전 특정 팀에 시험하는 방법으로 설명합니다. 비대상 구성원은 관리형 인증을 자동 상속받지 않아야 합니다.

4단계: Scopes를 고르고 역할별 축소 경로를 확인합니다

Scopes 에서 선택한 모든 역할에 Claude가 요청할 수 있는 권한을 고릅니다. 연결 서비스가 제공하는 scope 이름과 실제 권한을 대조하고, 파일럿 작업에 필요하지 않은 쓰기·변경 권한은 승인 근거가 생길 때까지 제외합니다.

특정 custom role만 더 좁혀야 한다면 Organization settings > Roles 에서 해당 역할의 Connectors 탭을 확인합니다. 공식 문서는 이 화면의 How members connect 에서 Individually , Managed authorization , Set per connector 를 선택할 수 있다고 설명합니다. 한 역할의 권한을 좁히는 작업과 전체 선택 역할에 적용되는 scope를 혼동하지 마세요.

5단계: Save & turn on 뒤 Applied roles와 Scopes를 다시 봅니다

저장 승인자가 역할과 scope를 확인한 뒤 Save & turn on을 실행합니다. 설정이 끝나면 커넥터의 Configuration 탭으로 돌아갑니다.

Applied roles 에 파일럿 custom role만 표시되는지, Scopes 가 승인 목록과 같은지 확인합니다. User, Admin, Owner, Primary owner 묶음이나 다른 custom role이 섞였다면 테스트를 계속하지 말고 설정을 바로잡습니다. 파일럿 확대는 이후 Applied roles 의 Edit 에서 진행하는 별도 승인입니다.

6단계: 상속·비상속·회수를 서로 다른 결과로 검증합니다

먼저 파일럿 사용자가 다시 로그인한 뒤 관리형 커넥터를 자동으로 상속받는지 확인합니다. 승인된 비민감 fixture 하나를 읽고 기대값, 원본 위치, 실행 시각을 기록합니다. 결과가 자연스럽다는 이유만으로 통과시키지 말고 원본 fixture와 대조합니다.

비대상 사용자는 관리형 인증을 상속받지 않아야 합니다. 다만 개인 커넥터 또는 Browser sign-in이 허용된 조직에서는 그 사용자가 별도 계정으로 연결할 수 있습니다. 따라서 관리형 인증 비상속과 모든 커넥터 접근 차단을 같은 결과로 기록하면 안 됩니다.

회수 테스트는 승인된 테스트 사용자로만 진행합니다. IdP에서 deprovision한 뒤 커넥터 접근이 끝나는지 확인합니다. 기존 세션은 연결된 authorization server와 IdP가 access token을 만료하거나 회수할 때 종료되므로, 즉시 로그아웃을 보장한다고 쓰지 말고 실제 종료 시각을 남깁니다.

그대로 복사해 쓸 관리형 인증 검토 프롬프트

아래 프롬프트는 설정값을 바꾸는 명령이 아니라 사람의 저장 승인 전에 증거를 정리하는 용도입니다.

실전 인사이트: 연결 성공보다 경로 분리가 중요합니다

주의할 점

자주 묻는 질문

출처

마무리

Claude Enterprise-managed auth 파일럿은 커넥터가 연결됐다는 화면으로 끝나지 않습니다. custom role 한 개, 승인된 Scopes, Applied roles , 허용 사용자와 비대상 사용자의 서로 다른 결과, IdP 회수 시점을 모두 확인해야 합니다.

첫 배포의 완료 지점을 전사 확대가 아닌 근거가 남은 작은 파일럿으로 잡으세요. 그 기록이 있어야 다음 역할과 scope를 추가할지, 설정을 유지할지, 회수할지를 사람이 결정할 수 있습니다.