用户管理

本页介绍如何使用 Admin API 以编程方式管理您的 Claude Enterprise（claude.ai）组织中的人员：列出成员并通过电子邮件地址查找成员、更改成员的角色、移除成员、发送和撤回邀请、管理您企业的群组及其成员资格，以及读取您组织的自定义角色。对于 Claude Console（Claude Platform）组织，请参阅 Claude Console 的 Admin API 指南。



您的组织可以使用哪些端点？

Admin API 是 https://api.anthropic.com/v1/organizations/ 下的一组端点。Claude Console 和 Claude Enterprise 组织使用不同的密钥进行身份验证，并且各自可以访问不同的端点子集：

成员和邀请对两种组织类型来说是相同的端点；本页记录它们在 Claude Enterprise 中的行为，包括 Claude Enterprise 的组织角色。群组和自定义角色端点仅适用于 Claude Enterprise。



概述

本页涵盖五种资源：

自定义角色及其群组附加关系在 claude.ai 组织设置中管理；API 可以读取它们但无法更改它们。



快速开始

列出组织的成员，最新的排在最前面：

curl "https://api.anthropic.com/v1/organizations/users?limit=20" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "type": "user",
      "id": "user_01AbCdEfGhIjKlMnOpQrSt",
      "email": "[email protected]",
      "name": "Jane Smith",
      "role": "user",
      "added_at": "2026-06-12T09:14:03Z"
    }
  ],
  "has_more": false,
  "first_id": "user_01AbCdEfGhIjKlMnOpQrSt",
  "last_id": "user_01AbCdEfGhIjKlMnOpQrSt"
}



关键概念



组织角色

每个成员都恰好有一个组织角色。读取操作会将成员的角色返回为以下五个值之一：

API 只能在创建邀请和更新角色时分配 user 和 managed 角色。管理角色（owner、membership_admin 和 primary_owner）在 claude.ai 组织设置中分配，持有这些角色的成员无法通过此 API 修改或移除。



成员和邀请

一个人通过接受邀请（或通过您组织的单点登录，如果已配置）成为成员。创建邀请会发送一封邀请电子邮件；该邀请随后显示为 pending，直到收件人接受（accepted）或其服务器分配的 expires_at 过期（expired）。只有 pending 状态的邀请可以被撤回。要更改待处理邀请的电子邮件地址或角色，请撤回它并创建一个新的邀请。

如果您组织的计划从有限的已购席位池中分配成员，则待处理的邀请会占用一个席位。创建邀请的端点不接受席位或层级参数：席位会自动从有可用席位的最低层级中分配。当没有空闲席位时创建邀请会失败并返回 400 错误，而不是购买席位。撤回邀请、让其过期或稍后移除该成员会将席位返回到池中。



群组和角色

群组将成员与自定义角色连接起来（基于角色的访问控制，即端点路径和作用域名称中的 rbac）。群组由您的整个企业（父组织及其下的每个组织）拥有，而不是由单个组织拥有，因此群组作用域（read:rbac_groups 和 write:rbac_groups）需要为所有关联组织创建的密钥。每个群组都带有一个 source_type：direct 表示在 claude.ai 中创建的群组，scim 表示由您的身份提供商配置的群组。群组的 roles 字段列出了附加到它的自定义角色的 ID；使用自定义角色端点将它们解析为名称和权限，请注意角色目录是按组织划分的，而群组是企业范围的，因此获取属于您企业中另一个组织的角色时，您的密钥会收到 404。当角色数据暂时不可用时，该字段为 null（而不是 []），因此请重试以区分降级读取和没有角色的群组。



速率限制

Admin API 端点共享每个组织每分钟 100 个请求的限制；邀请创建则有自己的限制，为每小时 1,200 个请求。超过限制的请求会返回 429 Too Many Requests。



分页

成员和邀请列表使用基于 ID 的分页：传递 limit（默认 20，最大 1000）以及最多一个 before_id 或 after_id，并使用每个响应的 first_id 和 last_id 字段进行翻页，直到 has_more 为 false。群组和自定义角色列表则使用不透明游标：将响应的 next_page 值原样作为下一个请求的 page 参数传递，直到 next_page 为 null。



错误响应

错误响应遵循错误中记录的标准格式。



成员



列出成员

GET /v1/organizations/users 返回组织的成员，最近添加的排在最前面。通过 email 过滤以查找特定成员；匹配不区分大小写，并容忍同一地址的常见变体（例如，[email protected] 匹配 [email protected]）。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出用户。

curl "https://api.anthropic.com/v1/organizations/[email protected]" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"



获取成员

GET /v1/organizations/users/{user_id} 通过 ID 返回一个成员。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的获取用户。

curl "https://api.anthropic.com/v1/organizations/users/user_01AbCdEfGhIjKlMnOpQrSt" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"



更改成员的角色

POST /v1/organizations/users/{user_id} 将成员的角色设置为 user 或 managed。持有管理角色（owner、membership_admin 或 primary_owner）的成员无法通过此端点更改，并且无法分配管理角色；两者都会返回 400，并在 claude.ai 组织设置中管理。如果您组织的身份提供商管理角色（高级 SSO 或高级 SCIM 配置），角色更新会返回 400。需要 write:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的更新用户。

curl -X POST "https://api.anthropic.com/v1/organizations/users/user_01AbCdEfGhIjKlMnOpQrSt" \
  -H "content-type: application/json" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01" \
  -d '{"role": "managed"}'



移除成员

DELETE /v1/organizations/users/{user_id} 将成员从组织中移除，并将其占用的任何已购席位返回到组织的席位池中。持有管理角色的成员无法通过此端点移除，并且如果您的身份提供商管理成员资格（SCIM），移除操作会返回 400。需要 write:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的移除用户。

curl -X DELETE "https://api.anthropic.com/v1/organizations/users/user_01AbCdEfGhIjKlMnOpQrSt" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "type": "user_deleted",
  "id": "user_01AbCdEfGhIjKlMnOpQrSt"
}



邀请



创建邀请

POST /v1/organizations/invites 发送一封邀请电子邮件并返回带有服务器分配的 expires_at 的邀请。role 必须是 user 或 managed。如果该电子邮件地址已存在待处理的邀请，或者该地址已属于某个成员，请求会返回 400 并指明现有资源。身份提供商自动配置用户（JIT 或 SCIM）的组织无法通过 API 创建邀请。需要 write:members 作用域。

在从有限席位池中分配成员的计划中，邀请会自动从有可用席位的最低层级中占用一个席位；API 不接受层级参数。如果没有空闲席位，请求会失败并返回 400 错误，而不是购买席位。请通过组织的计划管理添加席位并重试。

可选的 rbac_group_ids 字段列出了在成员接受邀请时要分配给他们的群组（通过带 rbac_group_ 前缀的 ID）。传递非空的 rbac_group_ids 还要求密钥携带 write:rbac_groups 作用域，因为群组分配可以授予附加到该群组角色的权限。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的创建邀请。

curl -X POST "https://api.anthropic.com/v1/organizations/invites" \
  -H "content-type: application/json" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01" \
  -d '{
    "email": "[email protected]",
    "role": "managed",
    "rbac_group_ids": ["rbac_group_01UvWxYzAbCdEfGhIjKlMn"]
  }'

{
  "type": "invite",
  "id": "invite_01QrStUvWxYzAbCdEfGhIj",
  "email": "[email protected]",
  "role": "managed",
  "invited_at": "2026-07-06T16:20:11Z",
  "expires_at": "2026-07-27T16:20:11Z",
  "accepted_at": null,
  "status": "pending",
  "rbac_group_ids": ["rbac_group_01UvWxYzAbCdEfGhIjKlMn"]
}



列出邀请

GET /v1/organizations/invites 返回组织的邀请，最新的排在最前面，涵盖 pending、accepted 和 expired 状态；没有状态过滤器。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出邀请。

curl "https://api.anthropic.com/v1/organizations/invites?limit=20" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"



获取邀请

GET /v1/organizations/invites/{invite_id} 通过 ID 返回一个邀请。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的获取邀请。

curl "https://api.anthropic.com/v1/organizations/invites/invite_01QrStUvWxYzAbCdEfGhIj" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"



撤回邀请

DELETE /v1/organizations/invites/{invite_id} 撤回一个 pending 状态的邀请，使邀请电子邮件中的链接失效。撤回 accepted 状态的邀请会返回 400（请改为移除该成员）；撤回 expired 状态的邀请会返回 400。需要 write:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的删除邀请。

curl -X DELETE "https://api.anthropic.com/v1/organizations/invites/invite_01QrStUvWxYzAbCdEfGhIj" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-version: 2023-06-01"



群组

您的企业直接创建的群组（在 claude.ai 组织设置中或通过此 API 创建，source_type: "direct"）支持本节中的每个端点。由您的身份提供商配置的群组（source_type: "scim"）可以读取但不能修改：重命名或删除 SCIM 群组，或更改其成员资格，会返回 400，因为您的身份提供商拥有它。每个群组请求都必须包含 anthropic-beta: ce-user-management-2026-07-13 标头，如示例所示；不包含该标头的请求会返回 404。与成员和邀请请求不同，群组请求不需要 anthropic-version 标头。



列出群组

GET /v1/organizations/rbac_groups 返回您企业的群组，包括由身份提供商管理的（scim）群组。需要 read:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出群组。

curl "https://api.anthropic.com/v1/organizations/rbac_groups?limit=20" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "data": [
    {
      "type": "rbac_group",
      "id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
      "name": "Engineering",
      "source_type": "direct",
      "roles": ["rbac_role_01CdEfGhIjKlMnOpQrStUv"],
      "created_at": "2026-03-18T10:01:42Z",
      "updated_at": "2026-05-02T08:55:09Z"
    }
  ],
  "has_more": false,
  "next_page": null
}



获取群组

GET /v1/organizations/rbac_groups/{group_id} 通过 ID 返回一个群组。需要 read:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的获取群组。

curl "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"



创建群组

POST /v1/organizations/rbac_groups 使用给定的 name（1–255 个字符）创建一个没有角色或成员的群组。需要 write:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的创建群组。

curl -X POST "https://api.anthropic.com/v1/organizations/rbac_groups" \
  -H "content-type: application/json" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13" \
  -d '{"name": "Engineering"}'

{
  "type": "rbac_group",
  "id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
  "name": "Engineering",
  "source_type": "direct",
  "roles": [],
  "created_at": "2026-07-09T18:00:00Z",
  "updated_at": "2026-07-09T18:00:00Z"
}



重命名群组

POST /v1/organizations/rbac_groups/{group_id} 更新群组。name 是此端点唯一可以更改的字段。需要 write:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的更新群组。

curl -X POST "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn" \
  -H "content-type: application/json" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13" \
  -d '{"name": "Platform Engineering"}'



删除群组

DELETE /v1/organizations/rbac_groups/{group_id} 删除群组。其成员仍然是其组织的成员，但他们会失去其附加角色的权限，并且群组支出限额（如果存在）将不再适用于他们。需要 write:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的删除群组。

curl -X DELETE "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
  "type": "rbac_group_deleted"
}



列出群组的成员

GET /v1/organizations/rbac_groups/{group_id}/members 返回群组的成员（每个成员都带有其 user_id 和电子邮件），最早的排在最前面。只返回您企业组织的当前成员，因此在 has_more 为 true 时，一页可能包含少于 limit 的条目。需要 read:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出群组成员。

curl "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn/members?limit=100" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "data": [
    {
      "type": "rbac_group_member",
      "group_id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
      "user_id": "user_01AbCdEfGhIjKlMnOpQrSt",
      "email": "[email protected]",
      "created_at": "2026-04-07T12:30:00Z"
    }
  ],
  "has_more": false,
  "next_page": null
}



向群组添加成员

POST /v1/organizations/rbac_groups/{group_id}/members 通过 user_id 将组织成员添加到群组。该用户必须已经是您企业某个组织的成员（否则请求返回 404），添加已在群组中的人会返回 400。对于 scim 群组，成员资格在您的身份提供商中管理，此请求会返回 400。要将群组分配给尚未加入的人，请改为在创建邀请时使用 rbac_group_ids。需要 write:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的添加群组成员。

curl -X POST "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn/members" \
  -H "content-type: application/json" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13" \
  -d '{"user_id": "user_01AbCdEfGhIjKlMnOpQrSt"}'

{
  "type": "rbac_group_member",
  "group_id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
  "user_id": "user_01AbCdEfGhIjKlMnOpQrSt",
  "email": "[email protected]",
  "created_at": "2026-07-09T18:00:00Z"
}



从群组中移除成员

DELETE /v1/organizations/rbac_groups/{group_id}/members/{user_id} 将成员从群组中移除；他们仍然是其组织的成员。如果该用户不是群组的成员，请求会返回 404；对于 scim 群组（其成员资格在您的身份提供商中管理），请求会返回 400。需要 write:rbac_groups 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的移除群组成员。

curl -X DELETE "https://api.anthropic.com/v1/organizations/rbac_groups/rbac_group_01UvWxYzAbCdEfGhIjKlMn/members/user_01AbCdEfGhIjKlMnOpQrSt" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "group_id": "rbac_group_01UvWxYzAbCdEfGhIjKlMn",
  "user_id": "user_01AbCdEfGhIjKlMnOpQrSt",
  "type": "rbac_group_member_deleted"
}



自定义角色

自定义角色通过 API 是只读的：这些端点列出您组织的自定义角色（在 claude.ai 组织设置中定义或由 Anthropic 配置）以及每个角色授予的权限。自定义角色读取使用 read:members 作用域（没有单独的角色作用域），并且可以使用组织级密钥：与群组端点不同，它们不需要为所有关联组织创建的密钥，返回的目录是您组织自己的。自定义角色请求与群组请求一样，必须包含 anthropic-beta: ce-user-management-2026-07-13 标头；不包含该标头的请求会返回 404。



列出角色

GET /v1/organizations/rbac_roles 返回您组织的自定义角色。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出角色。

curl "https://api.anthropic.com/v1/organizations/rbac_roles?limit=20" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "data": [
    {
      "type": "rbac_role",
      "id": "rbac_role_01CdEfGhIjKlMnOpQrStUv",
      "name": "Engineering base",
      "created_at": "2026-03-18T10:01:42Z",
      "updated_at": "2026-05-02T08:55:09Z"
    }
  ],
  "has_more": false,
  "next_page": null
}



获取角色

GET /v1/organizations/rbac_roles/{role_id} 通过 ID 返回一个角色。需要 read:members 作用域。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的获取角色。

curl "https://api.anthropic.com/v1/organizations/rbac_roles/rbac_role_01CdEfGhIjKlMnOpQrStUv" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"



列出角色的权限

GET /v1/organizations/rbac_roles/{role_id}/permissions 返回角色的权限。每个权限将一个 resource（它适用的对象：组织的产品功能、连接器工具、连接器 OAuth 作用域、一个连接器或所有连接器）与一个 action（它在该资源上授予的内容）配对。未为您的组织启用的功能对应的行会被省略，因此在 has_more 为 true 时，一页可能包含少于 limit 的行。需要 read:members 作用域。

有两个 action 值需要特别注意：organization 权限的 action 为 capability_access_all（所有产品功能）或 capability_access_all_ga（所有正式发布的产品功能）时，是一个全面授权（既不涵盖模型访问，也不涵盖带 permission_ 前缀的管理面板权限），并且会作为单独一行列出而不是展开。当您统计某个角色授予的内容时，请将全面授权行视为涵盖其变体所描述的所有内容，而不仅仅是其他行中列出的功能。

有关完整的参数详细信息和响应架构，请参阅 API 参考中的列出角色权限。

curl "https://api.anthropic.com/v1/organizations/rbac_roles/rbac_role_01CdEfGhIjKlMnOpQrStUv/permissions?limit=20" \
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
  -H "anthropic-beta: ce-user-management-2026-07-13"

{
  "data": [
    {
      "type": "rbac_role_permission",
      "resource": {
        "type": "organization",
        "organization_id": "12345678-1234-5678-1234-567812345678"
      },
      "action": "capability_access_all_ga"
    },
    {
      "type": "rbac_role_permission",
      "resource": {
        "type": "connector_tool",
        "connector_id": "mcpsrv_01WxYzAbCdEfGhIjKlMnOp",
        "tool_name": "search_tickets"
      },
      "action": "use"
    }
  ],
  "has_more": false,
  "next_page": null
}



示例工作流程



为离职员工办理离职手续

1. 通过电子邮件查找成员：

   cURL

   

   curl "https://api.anthropic.com/v1/organizations/[email protected]" \
     -H "x-api-key: $ANTHROPIC_ADMIN_KEY" \
     -H "anthropic-version: 2023-06-01"

2. 使用响应中的 id，通过 DELETE /v1/organizations/users/{user_id} 移除他们。他们的席位（如果有）会返回到席位池中。

3. 如果该人员尚未加入，查找不会返回任何成员；请改为列出邀请并撤回其 pending 状态的邀请。



审计群组成员资格

1. 列出群组并记录每个群组的 id、name 和 roles。

2. 对于每个带有敏感角色的群组，翻页浏览 GET /v1/organizations/rbac_groups/{group_id}/members，并将成员电子邮件与您身份提供商的名册进行比较。

3. 使用 DELETE /v1/organizations/rbac_groups/{group_id}/members/{user_id} 移除不应再在群组中的成员。对于 scim 群组，请改为在您的身份提供商中进行更改。



常见问题



这是与 Admin API 不同的 API 吗？

不是。成员和邀请端点与 Claude Console 组织使用的 /v1/organizations/ 端点相同；本页记录它们在 Claude Enterprise 中的行为。群组和自定义角色端点是同一 API 的一部分，仅适用于 Claude Enterprise 组织。可用性表格显示了每种组织类型可以调用哪些端点。



我可以通过 API 分配所有者或成员管理员角色吗？

不可以。API 仅在创建邀请和更新角色时分配 user 和 managed。管理角色在 claude.ai 组织设置中分配，持有这些角色的成员无法通过 API 修改或移除。



我可以通过 API 创建或修改群组吗？

可以，使用 write:rbac_groups 作用域：创建、重命名和删除群组，以及添加或移除其成员。API 无法更改两样东西：由您的身份提供商配置的群组（source_type: "scim"），其名称和成员资格由身份提供商拥有；以及自定义角色，它们在 claude.ai 组织设置中管理（API 可以读取它们）。



未被接受的邀请会占用席位吗？

在有有限席位池的计划中，会：pending 状态的邀请会占用一个席位。撤回邀请或让其过期会释放席位。在没有席位池的计划中，邀请不占用任何资源。



我的组织使用单点登录。哪些操作可以使用？

如果您的身份提供商自动配置用户（JIT 或 SCIM），创建邀请会返回 400。如果它管理角色（高级 SSO 或高级 SCIM 配置），角色更新会返回 400。如果它管理成员资格（SCIM 配置），移除成员会返回 400。读取操作在任何情况下都可以使用。



另请参阅