組織がサブスクリプションアクセスを無効化 — Claude Codeのエラー対処

Your organization has disabled Claude subscription access for Claude Codeは、claude.aiアカウントでの/login自体を組織のポリシーが拒否しているときに出るエラーです。何度/loginをやり直しても、同じアカウントである限り同じメッセージに戻ります。サーバー側の組織設定なので、ローカルの設定・環境変数・CLIフラグのどれでも上書きできません。

Console組織のAPIキー無効化とは逆方向の設定

Claude Codeをチームで導入する経路には、claude.aiアカウントでログインするClaude for Teams / Enterprise経路と、APIキーで認証するClaude Console経路の2通りがあります。今回のエラーは前者の経路そのものを組織が閉じている状態です。

奇妙なことに、これとちょうど逆方向の設定も存在します。Console組織側でAPIキー認証を止め、claude.aiログインへ寄せる設定です。両者は原因も対処も対称的なので、表示された文面を必ず確認してください。

後者の詳細は組織がAPIキー認証を無効化したときの対処にまとめています。

なぜサブスクリプションログインだけを止めるのか

Claude for Teams / Enterpriseは、メンバーが個人のclaude.aiアカウントでログインしてシートを消費する課金モデルです。組織によっては、Claude Codeの利用だけはConsole経由のAPIキーに一本化し、既存のAPI課金・使用量監視・ゲートウェイ設定に載せたいという要件を持つと考えられます。個人アカウントでのログインを許すと、その利用がConsole側の監視や請求の枠から外れる可能性があるため、Claude Code向けのサブスクリプションログインだけを無効化する運用があるようです。

もう1つ考えられる動機はシャドーIT対策です。開発者が自分のPro / Maxアカウントで/loginし、会社のガバナンスが及ばない状態でClaude Codeを使い始めてしまうケースを防ぐために、組織単位でこの経路自体を閉じておく運用も考えられます。

Claude for EnterpriseはSSO・ドメインキャプチャ・ロールベースの権限管理・コンプライアンスAPI・組織全体へのmanaged policy配布を備えています。これらの統制をAPIキー経由の利用に対しても及ぼしたい組織が、サブスクリプションログインという別経路をあえて塞いでいると考えられます。経路を1本化すれば、監査ログやアクセス制御の設計を二重に持つ必要がなくなります。

このエラーはCLI・Desktop app・Claude Code on the webのどこから/loginしても同じ文面で出ます。3つとも同じClaude Code CLIをラップしているため、片方の面だけ回避する方法はありません。

Agent SDKや-pではエラーコードで表れる

対話画面のメッセージ文言は、Agent SDKや非対話モード(-p)ではoauth_org_not_allowedというエラーコードとして返ります。スクリプトやCI上でこのコードを見た場合も、原因は同じ組織によるサブスクリプションアクセスの無効化です。文言をパースして分岐しているスクリプトがあるなら、この機会にエラーコード側も拾うようにしておくと、対話・非対話どちらの経路でも同じハンドリングにできます。

利用者が取れる対処

このメッセージが出た場合、利用者側でできることは限られています。

• Anthropic APIキーで認証し直す。Claude Console経由でAPIキーを発行し、ANTHROPIC_API_KEY環境変数に設定するか、apiKeyHelperでキーを供給する方法に切り替えます。設定方法はClaude Codeログイン方法3種の使い分けで扱っています
• 管理者にアクセスの有効化を依頼する。組織の運用ポリシーとして意図的に無効化されている場合、個人の設定変更では解除できません
• 自分がAdmin/Ownerロールで、有効化する選択肢が管理画面に見当たらない場合は、Anthropicサポート(support.claude.com)に問い合わせます

Console経由のAPIキー発行は、既存のConsoleアカウントを使うか新規作成し、Settings > Members > Inviteでの一括招待かSSO連携でメンバーを追加します。招待時にはClaude Codeロール(Claude Code用のキーしか発行できない)とDeveloperロール(任意のキーを発行できる)のどちらかを割り当てる形になり、招待されたメンバーはConsoleアカウントの資格情報で改めてclaudeにログインします。

管理者側が確認・変更する場所

組織のOwnerであれば、claude.aiの管理画面(admin-settings/claude-code)でClaude Code関連のアクセス設定を確認できます。意図せずこの制限がかかっている場合は、設定変更の履歴やSSO/IdP側のグループ割り当てが影響していないか確認してください。

意図してこの制限を敷いている組織では、Console経由のAPIキー発行フローをメンバーに案内し、managed settingsによる組織管理ガイドにあるforceLoginMethodやforceLoginOrgUUIDと組み合わせて、認証経路を1本化しておくと運用が安定します。片方の経路だけを閉じるのではなく、案内するAPIキー発行手順とセットで展開するのが実務上の要点です。

切り替え後は/statusで確認する

APIキーへの切り替え作業を終えたら、/statusを実行して実際に使われている認証方式を確認します。Loginの行が消え、API keyの行が新しく表示されていれば切り替えは完了です。逆にLoginの行が残ったままExpired等の表示も無い場合は、ANTHROPIC_API_KEYが正しく読み込まれていない可能性があるので、環境変数がシェルの起動ファイルに書かれているか、あるいはapiKeyHelperが正しくキーを返しているかを確認してください。

切り替えたのに別のエラーへ変わる場合もあります。ANTHROPIC_API_KEYは認証情報の優先順位のなかでサブスクリプションより上位に扱われるため、キー自体は読み込まれていても、そのキーが所属するConsole組織側にも制限がかかっていると別種のエラーになります。unset ANTHROPIC_API_KEYでいったんサブスクリプション認証に戻し、/statusのLogin method行の表示が変わるかどうかで切り分けられます。切り分けの結果、Console組織側にも制限がかかっていると分かった場合は、そのConsole組織の管理者へ別途確認が必要になります。

よくある質問

個人のPro / Maxアカウントなら通りますか

通りません。組織のSSO・ドメインに紐づくアカウントである限り、個人契約のPro / Maxプランであっても同じ制限を受けます。

APIキーに切り替えると料金体系は変わりますか

変わります。サブスクリプションはプランの月額に含まれる使用量枠での利用ですが、APIキー経由はConsoleの従量課金になります。切り替え前に、想定する利用量でどちらが妥当かをConsoleの料金ページで確認しておくと安心です。

forceLoginOrgUUIDとはどう違いますか

forceLoginOrgUUIDは「どの組織のclaude.aiアカウントでログインできるか」を制限する設定です。managed settingsで組織IDを指定しておくと、指定外の組織のclaude.aiアカウントでログインしようとしたときにClaude Codeがエラーを出し、起動時に終了します。とはいえ、指定した組織のアカウントであればログイン自体は許可されます。今回のエラーは、その組織のアカウントであってもサブスクリプションでのログイン経路自体を閉じている点が異なります。組織IDはclaude.aiの管理画面(admin-settings/organization)で確認でき、両方の設定が同時に敷かれている組織もあります。

/loginを実行すると毎回このエラーになりますか

はい。組織側の設定が解除されない限り、同じアカウントでの/loginは何度実行しても常に同じ結果になります。時間を置いて再試行しても状況は変わらないので、まずAPIキーへの切り替えか管理者への依頼に進んでください。

Web版やDesktopアプリでは違いますか

違いません。CLI・Desktop app・Claude Code on the webはいずれも同じClaude Code CLIをラップしているため、利用者から見える画面が違っても、どの面から/loginしてもサーバー側の組織設定がそのまま適用され、結局は同じエラーになります。

まとめ

このエラーは、Claude for Teams / Enterprise組織がサブスクリプションログインという経路そのものを閉じている状態を示します。サーバー側の設定なのでローカルでは回避できず、利用者側の対処はAnthropic APIキーへの切り替えか、管理者への有効化依頼のいずれかに限られます。似た文面で逆方向の制限である「APIキー認証の無効化」と混同しないよう、表示された文面を必ず確認してください。Agent SDKや-pではエラーコードoauth_org_not_allowedとして同じ原因が返ってくるため、自動化スクリプトのエラーハンドリングにも組み込んでおくと切り分けが速くなります。