Claude Codeのチーム認証をどう設定するか

Claude Codeをチームに配るとき、開発者が個々にログイン方式を選ぶ運用と、管理者が最初に経路を決めて配布する運用は別物です。設定できる経路は大きく3系統(Claude for Teams / Enterprise、Claude Console、クラウドプロバイダー経由)で、それぞれ招待の手順とサインイン後に残る認証情報の形が違います。

Claude Codeのチーム認証、3系統の選び方

チームで使う認証の土台は、契約形態によって決まります。claude.aiベースの月額課金で使うか、API従量課金で使うか、Amazon Bedrock・Google CloudのAgent Platform・Microsoft Foundryのようなクラウド契約に相乗りするかの3択です。

この3つとは別に、自前のIdPでサインインさせて推論だけAnthropicや各クラウドへ流すClaude apps gatewayという選択肢もあります。社内IDプロバイダーを認証の唯一の入口にしたい組織向けの経路で、セルフホストが前提です。

Claude for TeamsまたはEnterpriseでチーム認証を設定する

Claude for TeamsとEnterpriseは、Claude on the webとClaude Codeを同じ請求・管理画面の下にまとめる経路です。手順は3ステップで完結します。

1. Claude for Teams(小規模チーム向けのセルフサービスプラン)か、Claude for Enterprise(要問い合わせ)を契約する
2. 管理者ダッシュボードからメンバーを招待する
3. 招待されたメンバーはClaude Codeをインストールし、claude.aiアカウントでログインする

EnterpriseはTeamsに対してSSO・ドメインキャプチャ・ロールベースの権限・コンプライアンスAPI・組織全体へのmanaged policy配布が加わります。SSOの実際のIdP設定は、Okta・Google Workspace・Entra IDのどれを使うかで画面もSCIMの項目も変わります。プラン間の料金・最低人数の違いはClaude Enterpriseとはにまとめています。

Claude Consoleでチーム認証を設定する

API従量課金での請求を選ぶ組織は、Claude Console(platform.claude.com)側でユーザーを管理します。既存のConsoleアカウントを使うか新規作成したうえで、Settings → Members → Inviteから一括招待するか、SSOを設定して招待を省略します。招待時に割り当てるロールは2種類だけです。Claude CodeロールはClaude Code用のAPIキーしか作成できず、Developerロールは任意の種類のAPIキーを作成できます。招待を受けたメンバーは、招待の承認・システム要件の確認・Claude Codeのインストール・Consoleアカウントでのログインという4ステップを踏みます。

APIキーなしでサインインする — キーレスConsoleサインイン

/loginプロンプトでAnthropic Consoleアカウントを選ぶと、Claude Codeはサインイン方法を尋ねてきます。両方ともブラウザーでConsoleにサインインする点は同じですが、その後に何を保存するかが違います。

• Consoleアカウントでサインイン(推奨): そのサインインで得たOAuthトークンをAnthropicプロファイルとして保存し、APIキーは一切作成しない
• APIキーを作成(レガシー): Console APIキーを発行し、他の認証情報と同じ場所に保存する

プロファイルはOAuthログインで、APIキーは静的な資格情報です。Claude Codeはプロファイルのログインを自動更新し、更新に失敗した場合はリクエストが失敗してAnthropicプロファイルのログイン期限切れエラーになります。この選択肢自体はすべてのマシンで出るわけではありません。次のいずれかに該当するセッションでは、確認なしにAPIキーが自動作成されます。

• Amazon Bedrock・Google CloudのAgent Platform・Microsoft Foundryなどクラウドプロバイダー経由で実行している
• いずれかの設定ファイルでforceLoginOrgUUIDが設定されている、またはforceLoginMethodが"claudeai"か"console"になっている
• managed settingsファイル・MDMプロファイル・キャッシュ済みのサーバー管理設定のいずれかは存在するのに、Claude Codeがそれを読み込めず、かつ他に有効な管理ソースが無い

キーなしサインインを試す前に、シェルにANTHROPIC_API_KEYが残っていないか確認してください。残っていると優先されてしまいます。

unset ANTHROPIC_API_KEY
claude

サインイン後は、APIキーの代わりにプロファイルが1つできる状態になります。書き込み先はANTHROPIC_PROFILEで指定したプロファイル、なければアクティブなプロファイル、それも無ければdefaultです。対象がfederationプロファイルの場合、Claude Codeは上書きを拒否してサインインを中止します。このサインインはマシンに保存済みのclaude.aiログインをサインアウトさせる副作用もあるため、既にclaude.aiでログイン済みの端末で試すときは注意してください。取り消したい場合は/logoutを実行すれば、このサインインが書き込んだ認証情報が削除・失効されます。

クラウドプロバイダー経由でチーム認証を設定する

Amazon Bedrock・Google CloudのAgent Platform・Microsoft Foundryをすでに契約しているチームは、Claude Codeの認証をそのクラウドのIAM基盤に乗せられます。手順は各プロバイダーのセットアップドキュメントに従い、生成された環境変数と認証情報の取得手順をメンバーに配布し、それぞれがClaude Codeをインストールするという3段階です。プロバイダー間で使える機能に差があるため、選ぶ前にClaude Codeの機能比較 — Bedrock・Vertex・Foundry別対応表で確認しておくと導入後の手戻りを減らせます。

クラウドプロバイダー経由のセッションは、Consoleが発行するAPIキーとは扱いが根本的に違います。組織の所属チェックはクラウド側のIAMポリシーが担うため、Claude Code自身は関与しません。claude.aiアカウントの所属組織をforceLoginOrgUUIDで絞る設定は、Claude Codeで組織限定ログインを強制する方法にまとめています。

認証情報はどこに、どう保存されるか

サインインが終わると、Claude Codeは認証情報をOSごとに違う方法で保存します。

CLAUDE_CONFIG_DIR環境変数を設定している場合は、macOSのフォールバック分も含めて.credentials.jsonはそのディレクトリ配下に置かれ、Keychainのエントリもそのディレクトリ名でキー付けされます。対応する認証タイプはclaude.ai認証情報・Claude API認証情報・Microsoft Foundry認証・Bedrock認証・Vertex認証・Anthropicプロファイル・Workload Identity Federation認証情報・Claude apps gatewayのセッショントークンです。

apiKeyHelperでスクリプトからAPIキーを動的発行している場合、挙動は次の通りです。

• 既定では5分ごとにヘルパーを再実行する。間隔はCLAUDE_CODE_API_KEY_HELPER_TTL_MS環境変数で調整できる
• ヘルパーの応答が10秒を超えると、プロンプトバーに経過時間つきの警告が出る。頻繁に出る場合はスクリプトの高速化を検討する
• ヘルパーがエラー終了・タイムアウト・無出力のいずれかになると、3回の試行以内に「apiKeyHelperスクリプトが失敗しています」というエラーで止まる

よくあるつまずき

Consoleのキーなしサインインの選択肢が出ない。クラウドプロバイダー経由か、forceLoginOrgUUID/forceLoginMethodが設定された環境で実行しています。この場合はAPIキーが自動作成される仕様なので、選択肢が出ないこと自体は異常ではありません。

サインインし直したらclaude.aiログインが消えた。キーなしサインインは、その端末に保存済みのclaude.aiログインをサインアウトさせる副作用があります。両方の認証情報を切り替えながら使いたい場合は、プロファイルを分けて管理するか、都度/loginでどちらを使うか選び直す運用にします。

招待したのにYou haven't been added to your organization yetと出る。管理者側でシートにClaude Codeアクセスが含まれていない状態です。管理コンソールでシートの割り当てを見直してもらいます。

Bedrock・Vertex・Foundry経由でCould not load credentialsになる。Claude Code側の設定ではなく、クラウドプロバイダーのCLI認証が切れているケースがほとんどです。プロバイダー別の確認コマンドは「Could not load credentials」の直し方にまとめています。

まとめ

チーム認証は、claude.aiベースのTeams/Enterprise・API従量課金のConsole・クラウド契約に乗せるBedrock/Vertex/Foundryの3系統から選びます。Consoleを選ぶ場合はv2.1.242以降、APIキーを一切発行せずプロファイルだけでサインインする経路があり、監査対象を減らしたいチームには推奨の選択肢です。認証情報の保存先はOSごとに異なり、macOSのKeychainが使えない環境では自動的にファイルへフォールバックする点も覚えておくと、トラブル時の切り分けが早くなります。開発者個人が普段どのログイン方式を選ぶべきかはClaude Codeログイン方法3種の使い分けを参照してください。