JIT/SCIMプロビジョニングの設定手順
ClaudeのJIT・SCIMプロビジョニングの設定手順です。モードの選び方、グループマッピング、Primary Ownerの扱いまで解説します。
JIT/SCIMプロビジョニングとは、SSOでログインしたユーザーをClaude・Console組織へどう追加・削除するかを自動化する仕組みです。JITはTeam・Enterprise・Console組織のすべてで使え、SCIMはEnterpriseプランと(独自の親組織を持つか、Enterpriseの親組織に統合された)Console組織だけで使えます。本記事は、SSOの設定が完了していることを前提に、プロビジョニングモードの選び方から実際の設定手順、Primary Ownerがからむ落とし穴までを扱います。SSO自体の設定手順はClaudeのSSO設定手順、プランごとに使える方式の違いはSSO・SCIM導入前に確認すべきことにまとめています。
はじめに — 前提条件
作業を始める前に、SSOの設定(ドメイン検証・IdP接続)がすでに完了している必要があります。権限はTeam・EnterpriseならOwner、ConsoleならAdminです。これから選ぶプロビジョニングモードは、Organization settings > Organization and access(またはIdentity and access)の「User provisioning」セクションで設定します。
ステップ1: プロビジョニングモードを選ぶ
モードは5パターンあり、それぞれ「誰がどう追加されるか」「ロール・シートタイプの変更がどう反映されるか」「退会したユーザーがどう扱われるか」が異なります。
| モード | 追加のされ方 | ロール・シートタイプの変更 | 削除のされ方 |
|---|---|---|---|
| Invite only | 追加のされ方手動で追加 | ロール・シートタイプの変更手動で変更 | 削除のされ方手動で削除 |
| JIT | 追加のされ方IdPアプリに割り当てられたユーザーが初回ログイン時にUserロールで追加 | ロール・シートタイプの変更手動で変更 | 削除のされ方自動削除なし。IdPアプリから外してもログインできなくなるだけで、組織のメンバー一覧には残り続け、管理者が手動削除するまでシートを消費する |
| JIT + グループマッピング | 追加のされ方マッピング済みグループに1つでも所属していれば、そのグループの中で最も権限の高いロールでログイン時に追加 | ロール・シートタイプの変更次回ログイン時にグループ所属を基準に更新 | 削除のされ方ほぼ手動。マッピング済みグループすべてから外れた(でもアプリへの割り当ては残っている)ユーザーは、次回ログイン時に組織から削除される。アプリの割り当て自体を外された場合はログイン不可になるが、メンバー一覧には残る |
| SCIM directory sync | 追加のされ方IdPアプリに割り当てられたユーザーが、親組織に紐づく全組織へ自動でプロビジョニング | ロール・シートタイプの変更手動で変更 | 削除のされ方IdPアプリから外れたユーザーは自動的に削除される |
| SCIM + グループマッピング | 追加のされ方マッピング済みグループに所属するユーザーが、そのグループが紐づく組織へ適切なロールで自動プロビジョニング | ロール・シートタイプの変更ロール・シートタイプの変更がグループ所属の変化に応じて自動反映 | 削除のされ方グループへのアクセスが取り消されると自動的に削除される |
この表で押さえておきたいのは、JITは退会処理を自動化しないという点です。退職者がIdPから外されても、Claude・Console側のメンバー一覧には残ったままシートを消費し続けます。退職者のアカウントを確実かつ迅速に消したいなら、SCIM directory syncを選ぶ必要があります。JITのユーザーを完全に削除したい場合は、Claude側で削除し、かつIdP側でも割り当てを解除する両方の操作が必要です。Claude側だけで削除しても、次にSSOでログインした時点で再度追加されてしまいます。
利用できるロール・シートタイプは製品・プランで異なります。
| 製品 | ロール | シートタイプ |
|---|---|---|
| Teamプラン | ロールOwner、Admin、User | シートタイプPremium、Standard |
| シート制Enterpriseプラン | ロールOwner、Admin、User、Custom | シートタイプPremium、Standard |
| 従量制Enterprise(シートタイプ2種) | ロールOwner、Admin、User、Custom | シートタイプChat、Chat + Claude Code |
| 従量制Enterprise(シートタイプ1種) | ロールOwner、Admin、User、Custom | シートタイプEnterprise |
| Console | ロールAdmin、Developer、Limited Developer、Billing、Claude Code User、User | シートタイプ― |
Consoleにはシートタイプの概念がなく、Customロールが使えるのはEnterpriseプランだけという違いがあります。座席の購入・追加についてはTeam・Enterpriseそれぞれのプランガイドを参照してください。
ステップ2: SCIMディレクトリ同期を設定する(SCIMを選ぶ場合)
Invite onlyまたはJITだけを使うなら、このステップは不要です。SCIMを選ぶ場合は、IdPとAnthropic側の接続を先に確立します。
- Organization and access(またはIdentity and access)設定を開きます。
- User provisioningセクションで、SCIM directory syncの横にある「Setup SCIM」(または「Manage SCIM」)をクリックします。
- WorkOSのセットアップガイドに従い、IdP側でSCIMを設定します。WorkOSに表示された値を、IdP側のAnthropicアプリケーション設定へコピーする作業が発生します。
公式に個別のIdP向けガイドが用意されているのは、Okta SCIM、Entra ID SCIM、Google Directory Sync、OneLogin SCIM、JumpCloud SCIMです。それ以外のIdPについても対応ガイドが別途用意されています。
ステップ3: プロビジョニングモードを確定してグループマッピングを有効にする
User provisioningセクションで、Invite only・Just-in-time(JIT)・SCIM directory syncのいずれかを選びます。
全員の割り当てを確認できたら、そのまま「Save changes」をクリックして初回プロビジョニングを実行するか、「Enable group mappings」をオンにしてステップ4に進みます。
ステップ4: IdP側でグループを作成してロール・シートタイプにマッピングする
- 割り当てたいロールごとにIdP側でグループを作成します。単一シートタイプのEnterpriseプランでない限り、シートタイプごとのグループも作成します。命名規則の制約は現在ありませんが、
anthropic-claude-やanthropic-console-のような接頭辞を付けておくと識別しやすくなります。 - 作成したグループにユーザーを追加します。自分自身を含め、少なくとも1人はAdmin(Console)またはOwner(Claude)ロールにマッピングされる予定のグループへ入れておいてください。これを忘れると、次のステップで自分がAdmin・Ownerの権限を失うことになります。
- Organization and access(またはIdentity and access)設定に戻り、User provisioningセクションを開きます。
- 「Enable group mappings」をオンにします。
- 各ロールの横にある「Add」をクリックし、対応するIdPグループをドロップダウンから選びます。役割ベースのグループへ全ユーザーを割り当てないと、そのユーザーはプロビジョニングされません。シートタイプ側のグループ割り当ては任意です。
- 単一シートタイプのEnterpriseプランを除く全プランでは、「Assign seat tiers to IdP groups」セクションでシートタイプごとのグループも同様に対応付けます。割り当てが無いユーザーには、利用可能な最上位のシートタイプが既定で割り当てられます。単一シートタイプのEnterpriseプランでは、シートタイプのマッピング自体が不要で、プロビジョニングされた全員に(空きがあれば)Enterpriseシートが割り当てられます。
- すべてのマッピングを確認し、「Save changes」をクリックします。
Microsoft Entra IDを使っている場合、SCIMの変更が反映されるまで最大40分かかります。同期状況は「Manage SCIM」からDirectoryを確認すると、どのユーザーが同期済みかを見られます。
「Custom」ロールをIdPグループにマッピングすることもできます。ただしCustomロールのユーザーが実際に持つ権限は、Claude側のカスタムロールとグループの紐付けから決まり、その紐付けはSCIM directory syncのときしかIdPから自動同期されません。JITを使っている場合、IdP側でCustomロールにグループをマッピングしても、Organization settings > Groupsで手動でユーザーをグループへ追加しない限り、そのユーザーはログイン後に何の権限も持てません。
Primary Ownerロールとの関係で見落としやすい点
SCIMを運用するうえで見落としやすいのが、Primary Ownerロールの扱いです。
Primary Ownerは、SCIMの整合処理(reconciliation)から除外されます。IdPのディレクトリに存在しない、あるいはロールにマッピングされたどのグループにも所属していない場合でも、SCIM同期でスキップされ、メンバーシップとロールはそのまま維持されます。
ただし、この除外はPrimary Ownerロール1人だけに適用される特例です。OwnerやAdminロールは除外対象ではないため、ロールにマッピングされたグループへ所属していないと、グループマッピング有効化時に削除されます。
Primary OwnerロールをSCIMのグループマッピング経由で割り当てることはできません。割り当てられるのはOrganization settings > Membersからの手動移譲だけです。SCIMを有効化する前に、意図したメンバーをPrimary Ownerに設定しておく必要があります。
なお、Primary OwnerであってもSSOのサインイン強制からは除外されません。SSO強制はメールドメイン単位で適用されるため、Primary Ownerのメールアドレスが強制対象ドメインに含まれていれば、そのユーザーもSSO経由での認証が必須になります。
よくあるつまずき
IdPのディレクトリには表示されているのにClaudeのメンバーに追加されない場合、まず購入済みシート数を確認してください。空きシートが無いと自動プロビジョニングは失敗します。空きを確保したら、Organization and accessページの「Directory sync(SCIM)」横にある「Sync now」で再同期を促します。
正しいロールでプロビジョニングされない場合は、IdP側でユーザーが正しいグループに入っているか、そのグループがOrganization and access側で正しいロールにマッピングされているかを確認します。JITの場合はロール変更を反映させるのに一度ログアウト・再ログインが必要です。SCIMの場合は「Sync」を押すか、自動同期サイクルを待ちます。
Customロールにマッピングされたユーザーがログイン後に何もできない場合、プロビジョニングモードがJITであることが原因である可能性が高いです。JITはグループ所属をIdPから同期しないため、Organization settings > Groupsで手動追加するか、SCIM directory syncへ切り替えてグループ同期を有効にします。
グループマッピングを有効化した後にAdmin・Ownerの権限を失った場合は、設定した本人がAdmin・Ownerにマッピングされたグループへ入っていなかったことが原因です。復旧方法は2つあります。1つは、別のAdmin・Ownerに依頼してOrganization settings(Claudeは「Organization」、Consoleは「Members」)からロールを戻してもらう方法です。もう1つは、IdP側で正しい接頭辞のグループへ自分を追加し、JITならログアウト・再ログイン、SCIMなら別のAdmin・Ownerに「Sync」を依頼するか自動同期を待つ方法です。
まとめ
JIT/SCIMプロビジョニングの設定は、まずどのモードを使うかの選択から始まります。ロール・シートタイプの自動更新や退会時の自動削除まで必要ならSCIM、ログイン時の自動追加だけで十分ならJIT、という切り分けが基本線です。SCIMはEnterpriseプランとConsole組織限定で、Teamプランでは使えません。グループマッピングを有効化する前に、Primary Ownerの設定と、自分自身がAdmin・Ownerにマッピングされたグループへ入っているかの2点を必ず確認してから保存してください。SSOの基本設定がまだの場合はClaudeのSSO設定手順、導入前の全体像はSSO・SCIM導入前に確認すべきことを参照してください。