Claude Entra ID SSO設定 — SAMLとSCIM自動プロビジョニングの手順
Microsoft Entra ID(旧Azure AD)をIdPにしたClaudeのSSO設定を、エンタープライズアプリケーションの追加からSCIM連携まで手順で解説します。
Microsoft Entra ID(旧Azure Active Directory)をIDプロバイダー(IdP)にしてClaudeのSSOを設定します。まずEntra管理センターでエンタープライズアプリケーションを追加します。追加したアプリに、ClaudeのWorkOSセットアップ画面が発行する値を相互に登録します。対象はTeamプラン・Enterpriseプラン・親組織を持つConsole組織です。設定範囲はプランで変わります。SAMLによるSSO自体はどのプランでも設定できます。ただしSCIM自動プロビジョニングにはEntra ID P1またはP2ライセンスが必要で、利用できるプランもEnterpriseと対象のConsole組織に限られます。
前提条件
- Claude側でOwnerまたはPrimary Owner権限(Team・Enterprise)、またはAdmin権限(Console)
- Entra側でGlobal AdministratorまたはApplication Administratorロール
- SCIMプロビジョニングを使う場合、Microsoft Entra ID P1またはP2ライセンス
- 自社ドメインがClaudeの管理設定でドメイン検証済みであること
- Console組織の場合、親組織が存在すること(単独のConsole組織は営業チームへ親組織作成を依頼します)
設定値を確認する画面
Entity ID・Reply URL(ACS URL)・SCIMの認証情報は、いずれもClaude側の管理画面が発行する値です。サポートに問い合わせて入手する情報ではありません。
- TeamプランとEnterpriseプランは
claude.ai/admin-settings/identityを開きます - Console組織は
platform.claude.com/settings/identityを開きます
この画面でSSOセットアップフローを開始し、Entra管理センターと並行して開いたまま以下の手順を進めます。
ステップ1 — Entraにエンタープライズアプリケーションとして追加する
- Entra管理センターで「エンタープライズアプリケーション」→「新しいアプリケーション」に進みます
- ギャラリーで「Claude」を検索します。見つかればそれを選び、無ければ「独自のアプリケーションを作成する」を選んでアプリ名を「Claude」にします
- 「ギャラリーに見つからない他のアプリケーションを統合する」を選択し、「作成」をクリックします
ステップ2 — SAML SSOを設定する
- 作成したアプリケーションで「シングルサインオン」→「SAML」をクリックします
- 「基本的なSAML構成」に、Claude側のセットアップフローに表示されるIdentifier(Entity ID)とReply URL(ACS URL)を入力し、サインオンURLに
https://claude.ai/loginを設定します - 「属性とクレーム」で、メールクレームが
user.mail(またはSCIMで使うのと同じ属性)を送るように設定されているか確認します - フェデレーションメタデータXMLをダウンロードし、Claude側のセットアップフローにアップロードします
ステップ3 — SCIMプロビジョニングを設定する
SCIMによる自動プロビジョニングはEnterpriseプランと対象のConsole組織のみが利用できます。Teamプランの場合はこのステップをスキップし、JIT(Just-in-Time)プロビジョニングを使います。
- アプリケーションで「プロビジョニング」→「開始する」に進みます
- プロビジョニングモードを「自動」に設定します
- Claude側のセットアップフローに表示されるテナントURLとシークレットトークンを入力します
- 「テスト接続」をクリックして疎通を確認します
- 「マッピング」で、メール属性のマッピング先がSSOのメールクレームと同じフィールド(通常は
user.mail)を指しているか確認します - プロビジョニングステータスを「オン」にして保存します
ステップ4 — 対象の利用者・グループを割り当てる
- 「ユーザーとグループ」で、Claudeへのアクセスを許可する利用者またはグループを割り当てます
- 割り当てられた利用者・グループだけがプロビジョニングされ、SSOでのログインを許可されます
ステップ5 — 動作確認する
- SCIMを有効にした場合、プロビジョニングサイクルを実行し、Claudeの管理設定に利用者が反映されているか確認します
- テスト用のアカウントでSSOログインを完了し、正しく組織のワークスペースに入れるか確認します
Entra側の管理画面が2箇所に分かれている点に注意する
SAMLのSSO設定は「エンタープライズアプリケーション」配下の「シングルサインオン」で、SCIMプロビジョニングは同じアプリケーションの「プロビジョニング」タブで行います。画面名が紛らわしいのが原因です。OIDCアプリとして構成している場合は、SSOのトークン設定が「アプリの登録(App registrations)」という別の管理画面にあり、IT管理者が誤った画面を探して迷うケースが典型です。SCIMとSSOのメール属性を突き合わせるときは、この2つの画面を両方確認する必要があります。
My Appsポータルから直接起動する場合の注意
同じ親組織にTeam・EnterpriseプランのClaude組織とConsole組織の両方が連携している場合、Console組織向けのIdP起動ログインには制約があります。利用者のMy Appsポータルからアプリタイルを直接クリックして始める方式には対応しておらず、開くと利用者は常に claude.ai 側にリダイレクトされます。Console組織へ直接ログインさせたい場合は、Entra側に platform.claude.com/login?sso=true へのブックマークアプリケーションを別途作成します。これをConsole用の入口として案内する回避策があります。
提供方式の違い早見表
| 項目 | Team | Enterprise / Console(対象組織) |
|---|---|---|
| SAML SSO | Team○ | Enterprise / Console(対象組織)○ |
| JITプロビジョニング | Team○ | Enterprise / Console(対象組織)○ |
| SCIMプロビジョニング | Team× | Enterprise / Console(対象組織)○(Entra ID P1/P2ライセンスが必要) |
| グループマッピングによるロール自動割り当て | TeamJIT + グループマッピングで可 | Enterprise / Console(対象組織)SCIM + グループマッピングで可(組織ごとの自動反映) |
JIT + グループマッピングでは、初回ログイン時点でグループ所属に応じた最も権限の高いロールが割り当てられ、以後のロール変更もログインのたびに再評価されます。SCIM + グループマッピングでは、グループ割り当ての変更がログインを待たずに自動反映される点が異なります。どちらを選ぶかは、ロール変更の即時性がどこまで必要かで判断します。
よくあるつまずき
Entra ID特有のつまずきは、管理画面が複数に分かれていることに起因するものがほとんどです。
SCIMとSAMLで異なるユーザー属性からメールを送っている。Entra IDのユーザーアカウントには userPrincipalName(既定のSCIM userName マッピング。従業員ID形式のこともある)、mail(OIDC/SAMLのメールクレームで一般的)、proxyAddresses、otherMails など複数のメール類似属性があります。SCIM側が userPrincipalName を送り、SSO側が mail を送っているようなケースがそのまま不一致につながります。Claude CodeのCLIで認証すると、ここでメール不一致エラーが出ます。原因は属性の食い違いです。修正はSCIM側のプロビジョニングアプリで「属性マッピング」を開き、emails[type eq "work"].value の参照元をSSO側と同じ属性(多くは mail)に揃えます。属性マッピングを直しただけでは既存の登録は更新されないため、プロビジョニングの完全な再実行(Restart provisioning)が必須です。
「エンタープライズアプリケーション」と「アプリの登録」を取り違える。SCIMのプロビジョニング設定は「エンタープライズアプリケーション」配下にありますが、OIDCのトークンクレーム設定は「アプリの登録」という別の管理画面です。片方だけを見て「設定は合っている」と判断すると、もう片方のずれを見落とします。
P1/P2ライセンスがないままSCIM設定を試みる。SCIMプロビジョニングを有効にするにはMicrosoft Entra ID P1またはP2ライセンスが必要です。ライセンスが不足していると、プロビジョニング機能自体が利用できません。Teamプランと同様、ライセンス要件を満たせない場合はJITプロビジョニングで運用します。
メール不一致のまま組織作成を制限せずに運用してしまう。SSOとSCIMのメールが一致しない状態を放置すると、不一致でログインに失敗した利用者が個人の無料アカウントを作ってしまうことがあります。誤ったメールで登録された座席はゴーストとして残り、座席数を消費し続けます。いずれのケースもサポート依頼による削除が必要になり、自己解決はできません。ドメイン検証が済んだ後に管理設定で「組織作成を制限」を有効にしておくと、この事態を予防できます。
まとめ
Microsoft Entra IDでのClaude SSO設定は、エンタープライズアプリケーションの追加からグループ割り当て・動作確認まで5ステップです。つまずきの中心は、SCIMとSSOが異なるEntra属性からメールを取得してしまうことと、SCIM設定とSSO設定の管理画面がEntra内で分かれていることの2点に集約されます。
TeamとEnterpriseのどちらでSCIMまで統制するかはClaude法人プランの契約ガイドが判断材料になります。制度の詳細はClaude Enterpriseプランガイドにまとまっています。IdPがGoogle Workspaceの組織はGoogle Workspace SSO設定を参照してください。Oktaの組織はOkta SSO設定が手順を扱います。
よくある質問
SAML方式とOIDC方式、Entra IDとの接続にはどちらが向いていますか
公式手順ではSAMLを使う構成を前提にしています。OIDCで構成する場合は、SSOのトークン設定が「アプリの登録」という別画面になる点だけ把握しておけば、以降の流れは同じです。
Entra IDのグループを使ってClaude側のロールを自動で割り当てられますか
できます。JITまたはSCIMのいずれかにグループマッピングを組み合わせることで、Entra側のグループ所属に応じたロールと座席タイプを自動で割り当てられます。SCIMの場合はグループの変更が即座に反映され、JITの場合は次回ログイン時に反映されます。
既存のオンプレミスActive Directoryと連携している場合、追加の設定は必要ですか
オンプレミスADとEntra IDが同期済み(Entra Connect等)であれば、Entra ID側のアプリ設定は本記事の手順と変わりません。同期の対象になっている属性(mail 等)がSAML・SCIMの双方で一致していることを確認してください。
Entra側の署名証明書(X.509)を更新したときは、Claude側でも作業が必要ですか
必要です。証明書が更新・失効した場合は、Claude側の管理設定で「Manage SSO」から「Metadata configuration」を開き、証明書情報を更新して保存します。保存後は「Test sign-in」で疎通を確認してから利用者に周知します。