ConsoleからEnterpriseへの移行 — Claude Codeの認証切り替え手順
Claude CodeをConsole APIからEnterpriseプランへ移行する手順を、SCIM・支出上限・開発者の再認証・レポーティングの変化まで実務目線でまとめます。
Claude CodeをClaude Console(API課金)で使ってきたチームがClaude Enterpriseへ移行するとき、変わるのは請求主体と統制の仕組みです。個々のCLIセッションが持つ会話履歴はローカル保存のため移行の必要がなく、やることはEnterpriseアカウントの発行とログイン方法の切り替えの2つに集約されます。この記事はその手順を、公式移行ガイドに沿って実務の順番でまとめます。Enterpriseへのログインは、/loginで「Claude account with subscription」を選びます。入るのは、管理者が座席を割り当てたclaude.aiアカウント(招待またはSCIM/JIT)です。Consoleとの入口の違いは「EnterpriseのログインとConsoleのログインは何が違うか」の節にまとめています。
なぜConsoleからEnterpriseへ移行するのか
Claude Code on Console APIは開発者をすぐに使い始められる反面、統制はAPIキーを配った端末それぞれに委ねられます。Claude Enterpriseは同じClaude Codeを、セキュリティ・IT・経理チームが必要とする管理機能の内側で動かせるようにするプランです。既存のIdP(IDプロバイダー)による一元的なアイデンティティ管理、MDMなしで全クライアントに強制できるサーバー管理設定、組織からユーザーまで階層的にかかる支出上限が使えるようになります。
レポーティングと監査の面でも差が付きます。EnterpriseはPRやコミット行数のような貢献度指標を含む分析・監査ログ、カスタムデータ保持設定に加えて、Web版・モバイルアプリ・Slack連携(Claude Tag)・Code ReviewといったConsoleには無い利用面が追加されます。調達もAWS Marketplace経由で進められるため、既存の購買チャネルをそのまま使えます。
| できること | Claude Console/API | Claude Enterprise |
|---|---|---|
| Claude Codeのweb版・モバイルアプリ | Claude Console/API不可 | Claude Enterprise可 |
| Slack連携(Claude Tag) | Claude Console/API不可 | Claude Enterprise可 |
| Code Review | Claude Console/API不可 | Claude Enterprise可 |
| ツール利用の制御 | Claude Console/APIネイティブUIなし(MDM/構成管理で配布) | Claude Enterprisemanaged-settings.jsonの許可・拒否ルールを管理画面から設定 |
| 特定のbashコマンドを禁止 | Claude Console/APIネイティブUIなし | Claude EnterpriseBash(curl:*) 等のルールで可能 |
| 機密ファイルへのアクセス制限 | Claude Console/APIネイティブUIなし | Claude EnterpriseRead(.env) 等のルールで可能 |
| MCPサーバーの許可制御 | Claude Console/APIネイティブUIなし | Claude EnterpriseallowedMcpServers / deniedMcpServers |
| サンドボックスモードの強制 | Claude Console/APIネイティブUIなし | Claude Enterprisesandbox.enabled で強制可能 |
managed settingsの各キーの意味やファイルの優先順位はClaude Code組織管理ガイドに譲り、この記事では移行そのものの手順に絞ります。
EnterpriseのログインとConsoleのログインは何が違うか
Claude Codeの/loginには、入口が2つあります。Claude Enterpriseは管理者が座席を割り当てたclaude.aiアカウントでログインし、Claude ConsoleはConsoleの認証情報でログインします。
| 項目 | Claude Enterprise | Claude Console |
|---|---|---|
/loginの選択肢 | Claude EnterpriseClaude account with subscription | Claude ConsoleAnthropic Console account |
| 入るための前提 | Claude Enterprise管理者の招待、またはSCIM/JITによる自動付与で座席が割り当たったclaude.aiアカウント | Claude ConsoleConsoleの組織に所属するアカウント |
| 課金 | Claude Enterprise座席に加え、組織・グループ・個人の支出上限 | Claude ConsoleAPI従量課金 |
Consoleのログインでは、APIキーを作らずにブラウザーでサインインする方法もあります(Claude Code v2.1.242以降)。ただしforceLoginOrgUUIDかforceLoginMethod("claudeai"か"console")を設定ファイルに入れると、キーレスのサインインは出なくなり、APIキーが作られます。forceLoginMethodを"claudeai"にした場合は、/login画面でclaude.aiの入口があらかじめ選ばれるだけで、Consoleでのログインも完了できます。
移行前に確認すること
個々の開発者はCLIセッションの移行作業をする必要がありません。セッション履歴はローカルに保存されているため、Consoleでの利用分がEnterpriseに引き継がれるわけではなく、単に新しい認証情報で使い始めるだけです。移行前に確認しておく点は2つあります。CI・自動化のパイプラインをConsole組織に残すか、Enterpriseの認証情報へ切り替えるか。そしてEnterprise側の座席数が、移行対象の人数分きちんと購入済みかどうかです。座席が不足したままSCIM同期を走らせると、対象ユーザーは「Unassigned」状態になり、Enterprise側でClaude Codeを使えません。
ステップ1: SCIMプロビジョニングでユーザーを移す
IdPでグループを使って一括管理している組織は、次の順で進めます。
SCIMで移す6ステップ
- 1
グループマッピングを更新する
IdPのグループマッピングを更新し、Claude Enterprise組織にユーザーをひも付けます。
- 2
座席数を確認する
同期を走らせる前に、Enterprise組織の座席が移行人数分あるかを見ます。
- 3
Claude Codeのアクセス権を確認する
管理画面でClaude Codeが有効か、カスタムロール・グループを使っているなら対象の開発者グループにアクセス権があるかを見ます。
- 4
同期を実行する
「Organization settings > Organization and access」の「Directory sync (SCIM)」から実行します。ユーザー数が多いと時間がかかります。
- 5
座席の割り当てを確認する
同期後に、全員に座席が割り当たったかを見ます。
- 6
Console側を残す人を決める
Console APIアクセスを残したいユーザーは、そのグループのマッピングをConsole組織側に残します。1人が両方の組織に所属することも可能です。
SCIMを使わない組織は、「Organization settings > Members」から「Add member」または複数人まとめての「Bulk add」でメールアドレスを直接招待し、ロール(User・Admin・Owner)を割り当てます。SCIMでプロビジョニングされたユーザーは、グループマッピングに基づいて座席が自動割り当てされ、マッピングが無ければ利用可能な最上位の座席種別が既定で割り当てられます。
ステップ2: 支出上限を階層で設定する
Claude Enterpriseの支出上限は階層構造で、下位の上限は上位の上限を超えられません。
| 階層 | 対象範囲 | 設定できる人 | 何を制御するか |
|---|---|---|---|
| 組織 | 対象範囲Enterprise組織全体 | 設定できる人Primary Owner / Owner | 何を制御するか全座席・全利用を通じた月間上限 |
| グループ | 対象範囲RBACのグループ単位 | 設定できる人Primary Owner / Owner | 何を制御するかグループの支出上限 |
| 個人 | 対象範囲特定のユーザー | 設定できる人Primary Owner / Owner | 何を制御するか個々のメンバーの支出上限 |
設定手順は「Organization settings > Usage」から、組織レベルの上限(全体の上限)、「By group」タブでのグループ上限、「By member」タブの「Spending defaults」での個人上限、の順に進めます。上限は「unlimited」に設定できますが、消費量そのものは引き続き課金対象です。従量課金の座席で上限に達したユーザーは、次の請求期間になるか管理者が上限を引き上げるまでClaudeとClaude Codeを使えなくなります。旧Teamプランからの移行で支出上限の運用を引き継ぐ場合は、Claude Team/Enterprise移行ガイドもあわせて確認してください。
ステップ3: 開発者を再認証させる
Console組織で認証していた開発者は、Claude Enterprise組織に対して再認証が必要です。
/loginで得られる認証は、複数の認証情報が共存するときの優先順位で下の方に置かれます。次の順で上から採用されるため、上位が残っていると、原則として/loginの結果は使われません(例外は下の3段目と5段目です)。
認証情報の優先順位(上が優先)
- 1
クラウドプロバイダーの認証
CLAUDE_CODE_USE_BEDROCK/_VERTEX/_FOUNDRYのいずれかが設定されているとき。 - 2
ANTHROPIC_AUTH_TOKEN
Authorization: Bearerヘッダーで送られます。LLMゲートウェイ向けの変数です。 - 3
ANTHROPIC_API_KEY
Consoleのキーです。対話モードでは一度だけ使用の承認を求められ、選択が記憶されます。
-pでは存在すれば常に使われます。 - 4
apiKeyHelperの出力
スクリプトが返すキーです。
- 5
CLAUDE_CODE_OAUTH_TOKEN
claude setup-tokenで発行した長期トークンです。/loginを実行すると現在のセッションだけ切り替わり、次のセッションではまた変数が読まれます。 - 6
Anthropicプロファイル・フェデレーション認証
ANTHROPIC_PROFILEで名指ししたプロファイルと、フェデレーション認証情報(WIF)です。ant auth loginが書いたプロファイルは、名指ししなければ/loginより下になります。 - 7
/loginのサブスクリプション認証
Pro・Max・Team・Enterpriseの既定です。
# 残存認証情報の有無を確認する例
env | grep -E "ANTHROPIC_API_KEY|ANTHROPIC_AUTH_TOKEN|ANTHROPIC_BASE_URL|CLAUDE_CODE_OAUTH_TOKEN|CLAUDE_CODE_USE_BEDROCK|CLAUDE_CODE_USE_VERTEX|CLAUDE_CODE_USE_FOUNDRY"削除できたら、ターミナルでclaudeを起動し、ログイン方法を切り替えます。
/login「Claude account with subscription」を選び、Console組織でも個人アカウントでもなくClaude Enterprise組織を選択します。認可が終わったらターミナルに戻り、/statusでEnterprise組織が表示されていることを確認します。ログインとAPIキーが併存しているときは、使われていない側に印が付くので、旧キーが生きているかの確認にもなります。
/statusCI・自動化のパイプラインは/loginを使いません。どちらの手段も整うまでは、CIの既存認証情報を削除しないでください。
CIの認証をどちらに寄せるか
Consoleキーを残す
CIのトラフィックはConsole側のレポーティングにだけ残ります。--bareで動かすスクリプトは、キーかapiKeyHelperで認証する必要があります。
setup-tokenで発行する
Enterprise組織にサインインした状態でclaude setup-tokenを実行すると、1年有効のトークンが画面に出ます。保存はされないので、自分でコピーしてCLAUDE_CODE_OAUTH_TOKENに設定します。
claude setup-tokenはforceLoginMethodは強制しますがforceLoginOrgUUIDは検証しないため、別の組織のトークンも発行できてしまいます。このトークンはモデルへのリクエストしか送れず、Remote Controlセッションの確立や、claude.aiのコネクタの取得はできません。ローカルで設定したMCPサーバーは使えます。--bareモードはこの変数を読まない点にも注意が必要です。実機(v2.1.287)のclaude setup-token --helpはオプションが-hだけで、サブスクリプションが必要と表示します。
移行を確認できたら、開発者をConsole組織から削除するか、そのAPIキーをローテーションします。削除するとConsoleのログイントークンが失効し、Claude CodeのワークスペースキーによるConsole側の課金が止まります。ただし本人が他のConsoleワークスペースで作成したAPIキーまでは自動的には無効化されないため、それらは別途確認します。自動化されたロールバック手段は無いため、Enterprise側でのアクセスを確認するまではConsole組織のメンバーを削除しないでください。
レポーティングはどう変わるか
Console APIからClaude Enterpriseへの移行は、レポーティングの中身も変えます。
| 指標 | Console API | Claude Enterprise |
|---|---|---|
| トークン消費量 | Console API取得可能 | Claude Enterprise取得可能 |
| 受け入れられたコード行数 | Console API取得可能 | Claude Enterprise取得可能 |
| PRの作成数・コミット行数 | Console APIClaude Code Analytics API経由で取得 | Claude Enterprise管理画面にネイティブ表示 |
| メンバー別のmonth-to-date支出 | Console API不可 | Claude Enterprise「Admin settings > Usage」で確認可能 |
| コンプライアンス監査証跡 | Console API不可 | Claude EnterpriseCompliance API(ログインイベント含む)で取得可能 |
すべてのレポーティングは管理画面の「Analytics」から確認できます。プログラムから取得したい場合はEnterprise専用のAnalytics APIが使え、ユーザー別のエンゲージメント指標・Claude Codeの活動(コミット・PR・コード行数)・利用量とコストのデータを返します。ここで注意したいのは、アナリティクスの履歴はそのまま引き継がれないという点です。Enterprise組織はレポーティング履歴をゼロから開始し、Analytics/Admin APIを使うにはEnterprise組織で新しく発行したAPIキーが必要です。Console組織のAPIキーは使えません。過去のダッシュボード用にConsole側の分析データが必要なら、切り替え前に手元へエクスポートしておきます。CI等でConsole APIキーが使われ続ける限り、そのトラフィックはConsole側のレポーティングにしか表示されません。Enterprise移行後のコスト可視化の実務はClaude Codeのコスト管理、組織全体のAnalytics画面の詳しい見方はClaude Team/Enterpriseの利用状況分析ダッシュボードの使い方にまとめています。
よくあるつまずき
/loginは成功したのに、利用がConsole組織に課金され続ける
残存したANTHROPIC_API_KEY・ANTHROPIC_AUTH_TOKEN・apiKeyHelper・CLAUDE_CODE_OAUTH_TOKEN・ANTHROPIC_BASE_URL・CLAUDE_CODE_USE_*のいずれかが/loginの結果を裏で上書きしています。シェルのプロファイル、dotfiles、CI設定、~/.claude/settings.jsonとプロジェクトの.claude/settings*.jsonのenvブロックを順に確認してください。
SCIM同期後にユーザーが「Unassigned」になっている
同期を実行する前に座席数が不足していたケースです。座席を追加購入するか、グループマッピングを見直してから再同期します。
CI用のAPIキーを消したらパイプラインが落ちた
CIは/loginを使わないため、Enterprise移行の対象から見落とされがちです。Console組織のキーを残すか、claude setup-tokenで発行したEnterprise組織のトークンをCLAUDE_CODE_OAUTH_TOKENとして設定してから、Console側のキーを削除してください。
Console組織のメンバーを削除したのに、別のAPIキーがまだ動いている
メンバー削除で無効になるのは、そのメンバーのログイントークンとClaude Codeワークスペースキーだけです。本人が他のConsoleワークスペースで個別に作成したAPIキーは残るため、削除・ローテーションは別途行います。
まとめ
Console APIからClaude Enterpriseへの移行は、開発者ごとのCLI移行ではなく、Enterprise組織へのアカウント発行とログイン方法の切り替えです。SCIMまたは手動招待でユーザーを移し、支出上限を組織・グループ・個人の3階層で設定し、残存認証情報を消してから/loginで切り替え、CIはclaude setup-tokenかConsoleキー継続のどちらかで別途手当てします。レポーティングは引き継がれず新規に積み上がる点と、自動化されたロールバックが無い点の2つは、移行日を決める前に関係者と共有しておく価値があります。TeamプランからEnterpriseへの契約変更を検討している段階であれば、Claude法人プランの契約ガイドで判断材料を先に整理してください。