Claude Consoleの組織ディスカバリー設定 — Discoverableと承認モード
会社のメールでConsoleにサインアップした人が既存の組織に参加できるようにする設定です。Discoverableの切り替え、自動承認と管理者承認の違い、使えない条件をまとめます。
Claude Consoleの組織ディスカバリーは、会社のメールアドレスでサインアップした人に、既存のConsole組織への参加を提案する仕組みです。個人アカウントを別に作る代わりに、参加リクエストを送るか、承認設定によってはそのまま追加されます。
使うには、管理者がドメインごとにDiscoverableをオンにしておく必要があります。対象はConsoleの組織アカウントだけで、SSO(シングルサインオン)を有効にしている組織では使えません。
設定の全体像
管理者側の作業は、画面1か所での2つの操作に集約されます。
ディスカバリーを有効にする流れ
- 1
Organization settings > Identity and accessを開く
Adminとしてログインして開きます。ページ上部に、組織のドメインが一覧で並んでいます。
- 2
対象ドメインのDiscoverableをオンにする
検索で見つけさせたいドメインの行にあるトグルを切り替えます。
- 3
Authenticationで承認モードを選ぶ
New member approvalの項目で「Approve automatically」か「Require admin approval」を選びます。
組織の所有者のドメインは、最初からドメイン一覧に入っています。一覧に載っているだけでは検索対象にならず、Discoverableのトグルを入れたドメインだけが対象になります。
有効にする前に、確認しておきたい点が3つあります。
- 組織のSSOが無効であること。有効のままだと、トグルを探す以前にこの機能が使えません
- 自動承認と管理者承認のどちらで始めるか。迷うときは、管理者承認で始めて参加リクエストの様子を見る選択肢があります
- 承認モードの選択場所は、Identity and accessのAuthenticationにあるNew member approvalであること
参加を受け付けるドメインを足す
所有者のドメイン以外からの参加も受けたいときは、同じ画面のDomainsの下にある「Add domain」から追加します。手順は追加、検証、Discoverableのオンの順です。
追加できないドメインが2種類あります。
- Gmailのような個人向けメールのドメイン
- .eduドメイン
グループ会社や子会社が別ドメインを使っている場合は、このドメインを足せば同じ組織への参加導線に載せられます。一方、取引先や学生アカウントのように個人向け・教育機関のドメインでは使えないので、その人たちには招待を使います。
同じドメインを複数の組織が使う場合
同じメールドメインを複数の組織がDiscoverableにしていると、参加を希望する人には該当する組織がすべて表示されます。どれに参加するかは本人が選びます。部署ごとに別のConsole組織を持っている会社では、この動きを前提にしておくと混乱が減ります。
承認モードは何が違うか
承認モードは、参加リクエストが届いたあとの扱いを決めます。
| 観点 | Approve automatically | Require admin approval |
|---|---|---|
| 追加のタイミング | Approve automaticallyリクエストと同時 | Require admin approval管理者が承認したあと |
| 管理者の作業 | Approve automaticallyなし | Require admin approvalリクエストごとに個別に審査 |
| 承認前の本人の状態 | Approve automatically該当なし(すぐ入れる) | Require admin approval個人アカウントで続けられる |
自動承認では、ドメインのメールを持つ人なら誰でも組織に入れます。入ったあとに何に触れるかはロール次第です。手動の招待では追加時にロールを選べますが、ディスカバリー経由で参加した人の初期ロールは、ヘルプ記事「Find and join a Console organization」に載っていません。自動承認を選ぶ前に、テスト用のアドレスで一度参加し、Members一覧でロールを確かめておくと安心です。
管理者承認は、誰が入るかを人の目で確かめられるモードです。リクエストが届いた本人は、承認されるか拒否されるまで個人アカウントで続けられます。審査画面の場所と承認待ちの通知先も、同じヘルプ記事には載っていません。通知に頼れるとは限らないので、Membersの画面を定期的に見る担当を管理者の中で決めておくと、リクエストが放置されません。
自動承認で入った人はロール次第で何に触れるか
Consoleのロールは6種類で、組織に入った人に何が見えるかは、ほぼここで決まります。自動承認を選ぶなら、初期ロールがどれになっても許容できるかを先に見ておく必要があります。
| ロール | 触れるもの | 触れないもの |
|---|---|---|
| User | 触れるものプレイグラウンド、MCPトンネルの閲覧 | 触れないものAPIキー、使用ログ、請求 |
| Claude Code User | 触れるものプレイグラウンド、Claude Codeのワークスペース | 触れないものAPIキー、請求 |
| Limited Developer | 触れるものAPIキーとWebhookの管理、使用量とコスト、ボールトと認証情報 | 触れないもの請求の管理、ユーザー管理 |
| Developer | 触れるものLimited Developerの範囲に加え、セッショントレースの閲覧、ファイルのダウンロード | 触れないもの請求の管理、ユーザー管理 |
| Billing | 触れるもの請求の管理、使用量とコスト | 触れないものClaude Codeのワークスペース |
| Admin | 触れるもの上記すべてとユーザー・ロールの管理 | 触れないものなし |
UserとClaude Code Userは、APIキーに触れません。この2つが初期ロールなら、ドメインを持つ人が誰でも入れる状態でも、鍵の漏えい面は広がりにくい設計です。Limited Developer以上になると、APIキーやボールトの認証情報を管理できるようになり、自動承認の重みが一気に増します。Adminが初期ロールなら、入った人がほかのメンバーのロールまで変えられます。
ワークスペースにも権限があり、組織のロールは土台として働きます。組織でUserの人が、特定のワークスペースだけAdminになることもできます。逆に、組織のAdminは全ワークスペースでWorkspace Adminの権限を自動で持ち、Billingの人は全ワークスペースのコスト・使用量・上限値を見られます。
BillingかAdminのロールを外しても、決済側の請求先メールは自動では更新されません。請求先の変更や追加はサポートへの依頼が必要なので、担当者が入れ替わる会社では覚えておきたい点です。
参加する側の動き
参加する側は、会社のメールアドレスでConsoleのサインアップを始めます。メールドメインがDiscoverableな組織と一致すると、サインアップの途中で参加の選択肢が表示されます。ここで参加するか、そのまま個人アカウントで進むかを選べます。
サインアップ後の分かれ道
- Q参加を選んだ組織は「Require admin approval」か?答えがいいえ答えがはい
その場で組織に追加されます。ロールで許可されたワークスペースとリソースにすぐ入れます。
はいの場合(管理者承認)
リクエストが管理者に送られます。承認されるまでは個人アカウントで作業を続けられ、承認か拒否かの結果を待ちます。
参加の選択肢が表示されないとき
会社のメールでサインアップしたのに参加の画面が出ないときは、次の順に切り分けます。
組織が表示されない原因の切り分け
- Qサインアップに使ったのは会社のドメインのメールか?答えがいいえ答えがはい
GmailなどのドメインはDiscoverableにできない対象です。管理者に招待を依頼します。
- Q組織のSSOは無効か?答えがいいえ答えがはい
SSOを有効にしている組織ではディスカバリーが使えません。既存のプロビジョニング設定のまま動きます。
- QIdentity and accessで、そのドメインのDiscoverableがオンか?答えがいいえ答えがはい
管理者に、ドメインの検証とトグルのオンを依頼します。
どれも当てはまらないとき
管理者に、招待メールかOrganization settings > Membersからの直接追加を依頼します。
SSOとの関係
SSOを有効にした組織では、ディスカバリーは使えません。SSO組織ではディスカバリーが適用されず、既存のプロビジョニング設定はそのまま動きます。JIT(ログイン時に自動でユーザーを作る設定)も含めて変わりません。
ディスカバリーを使いたい組織がすでにSSOを入れている場合は、先にSSOをオフにする必要があります。SSOをオフにすると認証の仕組みごと変わるため、ディスカバリーのためだけに切り替える判断にはなりにくいはずです。SSOのIdPを選ぶ段階にある組織は、ClaudeのSSO対応IdP比較で認証基盤の違いを先に確認すると、後から切り替える手間を避けられます。
招待との使い分け
Consoleの組織に入る方法は、ディスカバリーのほかにもあります。
- メール招待: 管理者または既存メンバーが招待メールを送る
- 管理者による直接追加: Organization settings > Membersから追加する
管理者がメールで招待する場合、1回に最大50件のアドレスを入力でき、招待には3週間の有効期限があります。手順はClaude Consoleにメンバーを招待する手順で扱っています。
選び分けは、誰を入れたいかで決まります。
- 相手が全員決まっている: 招待のほうが確実で、ロールも付与時に選べる
- 社内の誰が来るか分からない: ディスカバリーで本人に申請させる
- 取引先や学生: 個人向け・.eduドメインは追加できないので、招待しかない
ディスカバリーは、管理者が1人ずつ招待する手間を省く代わりに、ドメインを持つ人なら誰でも申請できる状態を作ります。自動承認で開けるか、管理者承認で絞るかが、運用上の判断になります。
claude.ai側の組織検索との違い
ClaudeのTeamやEnterpriseにも、ドメイン検索で組織に入る機能があります。こちらはclaude.aiの組織の話で、Consoleのものとは設定する場所が別です。claude.ai側の経路はClaude組織への参加方法にまとめています。名前は同じOrganization discoveryですが、設定画面もSSOの扱いも別々に確認することになります。