行业参考 · 互联网 · IT · 证据 E1

freee 用 SCIM × IaC 向全公司安全铺开 Claude Enterprise

这是公开报道的其他企业案例，不是 Alan 交付的项目。内容由 AI 收集整理，以原文为准。

企业遇到的问题

公司需要从工程师 AI 使用扩展到全公司，同时保障权限管理、预算和安全，防止“不知情升权”和暴走。

概要

freee 以 OneLogin 为唯一 source of truth，用 SCIM 目录同步 + Custom Roles + 组映射 + Spend controls + 审计日志，把 Claude Enterprise 全公司铺开；设计“利用层（default/ai-sandbox）× Claude Code 有无”两轴分组，避免一刀切和不知情升权。

原文写明的事实

• freee 开发组织已有 97% 工程师日常使用 AI 编码代理（剩余 3% 为管理层或 EM）
• 团队从 AI-Driven Development 更名为 AI Platform Engineering
• 使用 OneLogin 作为唯一 source of truth，通过 SCIM 用户/组同步、Custom Roles、Group mappings、Spend controls、审计日志
• 不使用 User 角色默认映射，全部用 Custom Roles，分离 Claude Code 有无
• 设计 default / ai-sandbox 两个利用层，ai-sandbox 对应 AI 特区制度
• 配套 Jamf 端侧配置、managed-settings.json 控制 Claude Code 行为、OpenTelemetry 收集日志传 SIEM
• 目的是让权限分配可 IaC 化，避免人工点击控制台

怎么做的

• 输入：员工身份与组信息
• 处理：SCIM 同步、组映射、自定义角色分配
• 数据：IdP 用户/组数据
• 动作：自动同步权限、应用角色、审计
• 输出：安全的 Claude Enterprise 访问环境

如果你也想做：复制评估

AI 初评，供参考。具体能不能做，要看你企业的数据、流程和人。

• 难度：中（需要配置 Skill / Connector）
• 需要的能力：权限配置 Skill、审计日志 Skill
• 需要接的数据/系统：OneLogin/SCIM、SIEM
• 仍需人工的环节：角色审批；预算调整
• 风险：权限配置错误导致越权
• 原文没披露的：无业务收益数字；未披露发布日期

权限组同步和护栏配置可借助 SCIM/IaC 实现，但需企业有成熟 IdP 和运维能力，WorkBuddy 复刻需实测。

来源

• developers.freee.co.jp

证据说明：freee 官方开发者博客，未找到独立第二来源。；模型自称 E2，按来源结构下调为 E1。