Claude Code Enterprise: Setup SSO/SCIM và Team Governance cho doanh nghiệp VN

Triển khai Claude Code doanh nghiệp: SSO/SCIM tự động provisioning, Managed Settings qua MDM, kiểm soát token cost và team memory cho 50+ devs.

Định nghĩa

Claude Code Enterprise biến công cụ lập trình AI cá nhân thành hạ tầng có governance thông qua xác thực tập trung (SSO/SCIM) và cấu hình bắt buộc ở cấp OS (Managed Settings). Thay vì để dev mang API key cá nhân chạy code công ty—tạo ra "shadow AI" không kiểm soát—doanh nghiệp triển khai identity lifecycle tự động, audit log đầy đủ, và team memory chia sẻ để AI trở thành "nhân viên ảo" có quy trình, có kiểm soát, và có thể xóa sạch dữ liệu khi nhân viên nghỉ việc.

Giải thích chi tiết

SSO và SCIM: Vòng đời nhân viên đồng bộ với AI access

SSO (SAML 2.0/OIDC) thay thế API key cá nhân, cho phép đăng nhập Claude Code qua Azure AD, Google Workspace, hoặc Okta—những hệ thống phổ biến ở doanh nghiệp Việt Nam. Điểm then chốt không chỉ là tiện lợi—mà là data retention lifecycle. Khi một developer nghỉ việc vào thứ Sáu chiều, SCIM (System for Cross-domain Identity Management) tự động deprovision tài khoản trước khi nhân viên rời văn phòng, đảm bảo session Claude chứa context về codebase, API schema, và logic nghiệp vụ bị xóa sạch khỏi hệ thống. Không có SCIM, bạn thu hồi quyền truy cập GitHub nhưng Claude vẫn nhớ codebase trong memory cache—rủi ro lộ dữ liệu nghiêm trọng.

Managed Settings: An ninh ở cấp OS, không phải "preference"

Thay vì dựa vào developers tự bật chế độ an toàn, Managed Settings đẩy cấu hình xuống cấp hệ điều hành qua macOS plist files hoặc Windows Registry keys. CTO ép buộc toàn team:

Dùng permission-mode plan trên production repos (buộc review trước khi sửa file)
Chỉ cho phép MCP servers từ whitelist công ty (chặn tool không rõ nguồn gốc)
Bật audit logging mọi lệnh Bash và file edit

Đây là security boundary, không phải "recommendation". Giống như enterprise browser bắt buộc extension do IT duyệt, Claude Code Enterprise kế thừa trust boundary từ MDM/GPO hiện có.

Team Memory: Tổ chức là thực thể persistent

Trong bản cá nhân, CLAUDE.md nằm ở ~/.claude/ (cá nhân) và ./.claude/ (dự án). Ở Enterprise, team là entity persistent, cá nhân là accessor tạm thời. Shared slash commands trong .claude/commands/ trở thành SOPs (Standard Operating Procedures) mã hóa: "Mọi PR phải chạy qua /security-audit trước khi commit", hay "Dùng /api-docs để đảm bảo format tài liệu nhất quán". Memory files được version control qua Git, đảm bảo onboard developer mới chỉ cần clone repo là có ngay "trí nhớ tập thể" về tiêu chuẩn code, quy trình review, và kiến trúc hệ thống.

Audit và Cost Governance

Enterprise cung cấp centralized billing và session logging đáp ứng SOC 2/ISO 27001. Mọi lệnh gọi API, file edit, và MCP invocation được ghi lại—không còn tình trạng developers dùng API key cá nhân trên laptop rồi "quên" không báo cáo. Tính năng /cost giúp team lead giám sát token consumption theo user, phát hiện ai đang dùng Opus để refactor biến tên (nên dùng Sonnet) hay gửi cả thư viện node_modules vào context window.

Ví dụ thực tế

Công ty Fintech xử lý thanh toán VietQR tại TP.HCM

Team 50 devs triển khai Claude Code Enterprise với Azure AD SSO. Khi dev nào nghỉ việc, SCIM tự động vô hiệu hóa session trong vòng 5 phút. File CLAUDE.md tập trung lưu trong repo engineering-handbook, quy định rõ: "Không bao giờ hardcode MoMo secret", "Luôn dùng prepared statements cho SQL liên quan đến giao dịch tài chính". Managed Settings qua Jamf (macOS MDM) bắt buộc mọi máy dev phải chạy ở plan mode khi vào repo chứa PCI-DSS data. Chi phí token giảm 40% sau khi áp dụng policy: Haiku cho filtering log, Sonnet cho coding, Opus chỉ cho database architecture review.

Công ty phần mềm đối tác ngân hàng Nhật Bản tại Hà Nội

Team 30 developers chuẩn bị ISO 27001, làm việc với nhiều client khác nhau. Dùng Managed Settings để tạo profiles phân quyền: Junior devs chỉ được acceptEdits (xác nhận từng thay đổi), Senior devs được auto mode nhưng với MCP server giới hạn (không được truy cập production DB). Mọi session được log vào SIEM, giúp auditor kiểm tra "AI có đề xuất code fix lỗi SQL injection không" hay "Có ai paste secret vào prompt không".

Tập đoàn bán lẻ triển khai Decision Tree phân loại model

Team Lead ở doanh nghiệp có 100 devs xây dựng internal policy phân loại task ngay từ khâu setup:

Haiku (claude --model haiku): Phân loại ticket Jira, tìm kiếm log đơn giản, đọc error message để route đến đúng team. Chi phí thấp, tốc độ cao.
Sonnet (mặc định): Viết code thường ngày, refactor, debug. Tỷ lệ 90% workload.
Opus (chỉ /fork session riêng): Thiết kế kiến trúc hệ thống, phân tích race condition phức tạp. Chỉ dùng khi Sonnet thất bại 3 lần.

Kết hợp với Context Caching, team giảm 60% chi phí API so với dùng Opus cho mọi việc.

Ứng dụng

CTO và Engineering Managers

Thiết lập AI governance framework: Quyết định permission modes theo repo (production vs internal tool), đặt quota token theo team, và đảm bảo mọi code do AI tạo ra đều đi qua CI/CD pipeline với automated test.

DevOps và Security Engineers

Triển khai Policy-as-Code: Dùng PreToolUse hooks để chặn rm -rf / hay DROP TABLE ở cấp doanh nghiệp, tích hợp audit log vào Splunk/ELK, và quản lý MCP server như một software supply chain (chỉ cho phép servers từ internal registry).

Developers trong team

Tận hưởng shared cognitive context: Vào dự án mới không cần hỏi "mình dùng tab hay space nữa"—vì CLAUDE.md đã có sẵn. Dùng subagents để chạy song song nhiều task mà không lo context pollution.

Compliance Officers

Thu thập evidence cho SOC 2 Type II: Session logs chứng minh AI không truy cập dữ liệu nhạy cảm ngoài phạm vi cho phép, SCIM provisioning logs chứng minh offboarding đồng bộ, và Managed Settings chứng minh "least privilege" được enforce tự động.

So sánh

Đặc điểm	Claude Code Individual	Claude Code Enterprise
Xác thực	API key cá nhân	SSO (SAML/OIDC) + SCIM
Cấu hình	Tự do chọn mode	Managed Settings (plist/Registry) bắt buộc
Memory	Cá nhân, local	Team-shared, version-controlled
Chi phí	Individual billing	Centralized billing, cost allocation
Audit	Không có log tập trung	Full session logging, SOC 2 ready
Security	Shadow AI risk	Governance, data retention control

Kết luận: Bản Individual phù hợp solo developer và indie hackers. Enterprise là bắt buộc khi team >10 người, xử lý dữ liệu nhạy cảm, hoặc cần compliance với tiêu chuẩn bảo mật quốc tế. Sự chuyển đổi từ "AI assistant" sang "AI infrastructure" yêu cầu governance ngay từ đầu, không phải vá sau.