JIT/SCIMプロビジョニングの設定手順
ClaudeのJIT・SCIMプロビジョニングの設定手順です。モードの選び方、グループマッピング、Primary Ownerの扱いまで解説します。
JIT/SCIMプロビジョニングとは、SSOでログインしたユーザーをClaude・Console組織へどう追加・削除するかを自動化する仕組みです。JITはTeam・Enterprise・Console組織のすべてで使え、SCIMはEnterpriseプランと(独自の親組織を持つか、Enterpriseの親組織に統合された)Console組織だけで使えます。本記事は、SSOの設定が完了していることを前提に、プロビジョニングモードの選び方から実際の設定手順、Primary Ownerがからむ落とし穴までを扱います。SSO自体の設定手順はClaudeのSSO設定手順、プランごとに使える方式の違いはSSO・SCIM導入前に確認すべきことにまとめています。
はじめに — 前提条件
作業を始める前に、SSOの設定(ドメイン検証・IdP接続)がすでに完了している必要があります。権限はTeam・EnterpriseならOwner、ConsoleならAdminです。これから選ぶプロビジョニングモードは、Organization settings > Organization and access(ConsoleではIdentity and access)の「User provisioning」セクションで設定します。
ステップ1: プロビジョニングモードを選ぶ
モードは5パターンあり、それぞれ「誰がどう追加されるか」「ロール・シートタイプの変更がどう反映されるか」「退会したユーザーがどう扱われるか」が異なります。
| モード | 追加のされ方 | ロール・シートタイプの変更 | 削除のされ方 |
|---|---|---|---|
| Invite only | 追加のされ方手動で追加 | ロール・シートタイプの変更手動で変更 | 削除のされ方手動で削除 |
| JIT | 追加のされ方IdPアプリに割り当てられたユーザーが初回ログイン時にUserロールで追加 | ロール・シートタイプの変更手動で変更 | 削除のされ方自動削除なし。IdPアプリから外してもログインできなくなるだけで、組織のメンバー一覧には残り続け、管理者が手動削除するまでシートを消費する |
| JIT + グループマッピング | 追加のされ方マッピング済みグループに1つでも所属していれば、そのグループの中で最も権限の高いロールでログイン時に追加 | ロール・シートタイプの変更次回ログイン時にグループ所属を基準に更新 | 削除のされ方ほぼ手動。マッピング済みグループすべてから外れた(でもアプリへの割り当ては残っている)ユーザーは、次回ログイン時に組織から削除される。アプリの割り当て自体を外された場合はログイン不可になるが、メンバー一覧には残る |
| SCIM directory sync | 追加のされ方IdPアプリに割り当てられたユーザーが、親組織に紐づく全組織へ自動でプロビジョニング | ロール・シートタイプの変更手動で変更 | 削除のされ方IdPアプリから外れたユーザーは自動的に削除される |
| SCIM + グループマッピング | 追加のされ方マッピング済みグループに所属するユーザーが、そのグループが紐づく組織へ適切なロールで自動プロビジョニング | ロール・シートタイプの変更ロール・シートタイプの変更がグループ所属の変化に応じて自動反映 | 削除のされ方グループへのアクセスが取り消されると自動的に削除される |
この表で押さえておきたいのは、JITは退会処理を自動化しないという点です。退職者がIdPから外されても、Claude・Console側のメンバー一覧には残ったままシートを消費し続けます。退職者のアカウントを確実かつ迅速に消したいなら、SCIM directory syncを選ぶ必要があります。
JITのユーザーを完全に削除するには、Claude側で削除し、IdP側でも割り当てを解除する両方の操作が必要です。Claude側だけで削除しても、次にSSOでログインした時点で再度追加されてしまいます。
JITは、「JIT」を選ぶだけで動く自動化です。ロールやシートタイプをIdPのグループで振り分けたい場合や、SCIMで自動削除したい場合、Team/Enterpriseの組織とConsole組織を同じ親組織につないで追加先を分けたい場合に、グループマッピングとSCIMを検討します。
利用できるロール・シートタイプは製品・プランで異なります。
| 製品 | ロール | シートタイプ |
|---|---|---|
| Teamプラン | ロールOwner、Admin、User | シートタイプPremium、Standard |
| シート制Enterpriseプラン | ロールOwner、Admin、User、Custom | シートタイプPremium、Standard |
| 従量制Enterprise(シートタイプ2種) | ロールOwner、Admin、User、Custom | シートタイプChat、Chat + Claude Code |
| 従量制Enterprise(シートタイプ1種) | ロールOwner、Admin、User、Custom | シートタイプEnterprise |
| Console | ロールAdmin、Developer、Limited Developer、Billing、Claude Code User、User | シートタイプ― |
Consoleにはシートタイプの概念がなく、Customロールが使えるのはEnterpriseプランだけという違いがあります。座席の購入・追加についてはTeam・Enterpriseそれぞれのプランガイドを参照してください。
ステップ2: SCIMディレクトリ同期を設定する(SCIMを選ぶ場合)
Invite onlyまたはJITだけを使うなら、このステップは不要です。SCIMを選ぶ場合は、IdPとAnthropic側の接続を先に確立します。
- Organization and access設定(
claude.ai/admin-settings/organization)、またはConsoleのIdentity and access設定(platform.claude.com/settings/identity)を開きます。 - User provisioningセクションで、SCIM directory syncの横にある「Setup SCIM」(または「Manage SCIM」)をクリックします。
- WorkOSのセットアップガイドに従い、IdP側でSCIMを設定します。WorkOSに表示された値を、IdP側のAnthropicアプリケーション設定へコピーする作業が発生します。
IdP別のガイドが用意されているのは、Okta SCIM、Entra ID SCIM、Google Directory Sync、OneLogin SCIM、JumpCloud SCIMです。その他のIdPは、セットアップガイドの一覧から探します。
ステップ3: プロビジョニングモードを確定する
User provisioningセクションで、Invite only・Just-in-time(JIT)・SCIM directory syncのいずれかを選びます。Invite onlyではSSOアクセスがあるだけでは組織に入れず、既存メンバーの招待が必要です。JITでは、新しく入ったメンバーが1人ごとに空きシートを1つ使います。
全員の割り当てを確認できたら、そのまま「Save changes」をクリックして初回プロビジョニングを実行するか、「Enable group mappings」をオンにしてステップ4に進みます。
SCIM directory syncをオンにしている間、新しくプロビジョニングされたメンバーには歓迎メールが届きます。止めたい場合は、OwnerまたはPrimary OwnerがUser provisioningのSCIM directory syncで「Send a welcome email to new members」をオフにします。変更は保存後にプロビジョニングされるメンバーから適用され、送信済みのメールは取り消されません。顧客管理の暗号鍵(CMEK)、HIPAA、FERPAのような追加のデータ取り扱い要件がある組織には歓迎メール自体が送られず、この設定も表示されません。
ステップ4: IdPのグループをロールとシートタイプにマッピングする
グループマッピングは、ユーザーのロールとシートタイプだけを決めます。流れは次の7つです。
グループマッピングの手順
- 1
IdPでロールごとのグループを作る
単一シートタイプのEnterpriseプランでない限り、シートタイプごとのグループも作ります。命名規則の制約はありませんが、
anthropic-claude-やanthropic-console-のような接頭辞を付けると見分けやすくなります。 - 2
グループにユーザーを入れる
自分自身を含め、少なくとも1人はAdmin(Console)またはOwner(Claude)にマッピングするグループへ入れます。入れ忘れると、保存した時点で自分の権限がUserに下がります。
- 3
Enable group mappingsをオンにする
Organization and access(ConsoleではIdentity and access)に戻り、User provisioningセクションでオンにします。
- 4
ロールごとにIdPグループを選ぶ
各ロールの横の「Add」から、対応するIdPグループをドロップダウンで選びます。全ユーザーをロール側のグループに入れないと、そのユーザーはプロビジョニングされません。
- 5
シートタイプにもグループを割り当てる(任意)
単一シートタイプのEnterprise以外のプランでは、「Assign seat tiers to IdP groups」で「Add」を押し、シートタイプごとのグループを選びます。単一シートタイプのEnterpriseではマッピング自体が不要で、プロビジョニングされた全員に、空きがあればEnterpriseシートが付きます。
- 6
マッピングを見直す
必要なグループがすべて、意図したロールとシートタイプに対応しているか確かめます。
- 7
保存する
保存の前に、アクセスが必要なユーザー全員がグループに入っていることを確かめます。これらのユーザーは、SSO有効化のときにIdPのAnthropicアプリケーションへ割り当て済みのはずです。
シートタイプのグループに入っていないユーザーは、削除されません。既存ユーザーは今のシートタイプのままです。新規ユーザーには、空きがある最上位のシートタイプ(Premiumの空きがある間はPremium、次にStandard)が付き、空きシートが1つも無ければシートなしで追加されます。
Microsoft Entra IDは、SCIMの変更を40分ごとにしか送りません。変更が画面に出るまで時間がかかるので、「Manage SCIM」でDirectoryを開き、同期済みのユーザーを見ておきます。Directoryにいるユーザーが、Claude・Consoleへプロビジョニングされます。
JITでCustomロールを使うと、権限はどこから来るか
「Custom」ロールはIdPグループにマッピングできますが、権限そのものは付きません。Customロールのユーザーの権限は、Claude側のグループに付けたカスタムロールで決まります。そのグループがIdPと同期するかどうかは、モードで分かれます。
Customロールのグループ同期
SCIM directory sync
IdPのグループとメンバーがClaudeのグループへ同期されます。そのグループに付けたカスタムロールが、ユーザーの権限になります。
JIT
グループ所属を同期しません。Organization settings > Groupsでグループを作り、ユーザーをログイン前に手動で追加します。しないと、ログイン後に何の権限も持てません。
Primary Ownerロールとの関係で見落としやすい点
SCIMを運用するうえで見落としやすいのが、Primary Ownerロールの扱いです。除外されるのは1人だけで、割り当て方にも制限があります。
Primary Ownerの扱い
SCIMの整合処理から外れる
IdPのディレクトリに存在しない、あるいはロールにマッピングされたどのグループにも所属していない場合でも、SCIM同期でスキップされます。メンバーシップとロールはそのまま維持されます。
OwnerとAdminは外れない
この除外はPrimary Ownerロール1人だけに適用されます。OwnerやAdminは、ロールにマッピングされたグループへ所属していないと、グループマッピング有効化時に削除されます。
グループでは割り当てられない
割り当てられるのはOrganization settings > Membersからの手動移譲だけです。SCIMを有効化する前に、意図したメンバーをPrimary Ownerに設定しておく必要があります。
なお、Primary OwnerであってもSSOのサインイン強制からは除外されません。SSO強制はメールドメイン単位で適用されるため、Primary Ownerのメールアドレスが強制対象ドメインに含まれていれば、そのユーザーもSSO経由での認証が必須になります。
複数の組織をつなぐときの注意
SCIM directory syncは、親組織に紐づく全組織へユーザーを送ります。Team/Enterpriseの組織とConsole組織を同じ親組織につないでいて、誰をどちらに入れるか分けたい場合は、組織ごとにIdPグループを1つずつ作り、グループマッピングで追加先を決めます。グループマッピング付きのSCIMでは、グループが追加された組織だけにプロビジョニングされます。
Team/Enterpriseの組織とSSO設定を共有するConsole組織では、IdP起点のログインに対応していません。IdPから入ったユーザーはclaude.aiへ移動します。IdPで設定できるなら、「Claude Console」というブックマークを作り、リンク先を platform.claude.com/login?sso=true にしておくと、SP起点のログインでConsoleへ入れます。
よくあるつまずき
IdPのディレクトリには表示されているのにClaudeのメンバーに追加されない場合、まず購入済みシート数を確認してください。空きシートが足りないと、メンバーとして追加されないことがあります。空きを確保したら、Organization and accessページの「Directory sync(SCIM)」横にある「Sync now」で再同期を促します。
正しいロールでプロビジョニングされない場合は、IdP側でユーザーが正しいグループに入っているか、そのグループがOrganization and access側で正しいロールにマッピングされているかを確認します。JITの場合はロール変更を反映させるのに一度ログアウト・再ログインが必要です。SCIMの場合は「Sync」を押すか、自動同期サイクルを待ちます。
Customロールにマッピングされたユーザーがログイン後に何もできない場合は、プロビジョニングモードがJITであることが原因です。Organization settings > Groupsで手動追加するか、SCIM directory syncへ切り替えてグループ同期を有効にします。
グループマッピングを有効化した後にAdmin・Ownerの権限を失った場合は、設定した本人がAdmin・Ownerにマッピングされたグループへ入っていなかったことが原因で、権限がUserに下がっています。復旧方法は2つあります。1つは、別のAdmin・Ownerに依頼してOrganization settings(Claudeは「Organization」、Consoleは「Settings > Members」)からロールを戻してもらう方法です。もう1つは、IdP側で正しい接頭辞のグループへ自分を追加し、JITならログアウト・再ログイン、SCIMなら別のAdmin・Ownerに「Sync」を依頼するか自動同期を待つ方法です。
Owner・Adminの全員がサインインできなくなった場合は、OwnerまたはPrimary Ownerのメールアドレスからサポートに連絡します。組織の所有者であることの確認を経て、設定を直せる状態に戻してもらえます。証明書の期限切れやIdPの変更、グループマッピングで管理者が外れた場合などが該当します。
まとめ
自動削除まで任せたいならSCIM、ログイン時の自動追加で足りるならJITです。どちらを選んでも、保存の前にIdPアプリへの割り当てと、自分自身がAdmin・Ownerのグループにいることを先に確かめてください。SSOの基本設定がまだの場合はClaudeのSSO設定手順、導入前の全体像はSSO・SCIM導入前に確認すべきことを参照してください。