Claude JumpCloud SSO設定 — SAMLとSCIM同期の手順

JumpCloudをIDプロバイダー(IdP)にしてClaudeのSSOを設定するには、JumpCloud側でSAMLアプリを作ります。作成したアプリでメタデータファイルをエクスポートし、Claude側のセットアップ画面にアップロードします。ACS URLとEntity IDはJumpCloudの画面に入力し、IdP側の情報はXMLファイル1つで渡すのが、JumpCloud固有の流れです。

SCIMによる自動プロビジョニングも使えますが、対象はEnterpriseプランと、条件を満たすConsole組織だけです。Teamプランで使えるのはJIT(初回ログイン時の自動追加)までです。

Claudeのヘルプでは、JumpCloudはSAML・SCIMともIdP別の設定ガイドが用意されたIdPの1つとして挙がっています。ドメイン検証とSSO設定の画面は、WorkOS(Anthropicのドメイン検証・SSO設定の提供元)のフローです。JumpCloud側の操作は、WorkOSのJumpCloud向けガイドがそのまま手順になります。

前提条件

• Claude側でOwnerまたはPrimary Owner権限(Team・Enterprise)、またはAdmin権限(Console)
• JumpCloud管理者権限
• 自社ドメインがClaudeの管理設定でドメイン検証済みであること
• 会社ドメインのDNS設定を変更できること

1つの組織で複数のドメインを検証できますが、すべてのドメインを単一のIdPで管理する必要があります。

ドメイン検証や共通のSSO設定フロー自体はClaudeのSSO設定手順で扱っています。検証が済んでいない場合は先にそちらを済ませます。

設定値を確認する画面

ACS URL・SP Entity IDは、Claude側の管理画面が発行する値です。

• TeamプランとEnterpriseプランは claude.ai/admin-settings/organization を開きます
• Console組織は platform.claude.com/settings/identity を開きます

Authenticationセクションの「Setup SSO」(設定済みなら「Manage SSO」)からセットアップフローを開始すると、ACS URLとEntity IDが表示されます。この画面をJumpCloud管理コンソールと並行して開いたまま、以降の手順を進めます。

JumpCloudのSAMLアプリをClaudeにつなぐ

操作はJumpCloud側の4工程で終わります。順序が結果を左右するのは3番目です。

手順

SAML接続の4工程

1. 1

   アプリを開いてURLを入力する

   JumpCloud管理コンソールで「SSO」を選び、対象のアプリケーションを開きます。未作成ならカスタムSAMLアプリケーションを作ります。「Single Sign-On Configuration」で、Claude側のACS URLを「ACS URL」に入れます。同じEntity IDを「IdP Entity ID」と「SP Entity ID」の両方に入れます。

2. 2

   属性マッピングと署名を設定する

   「User Attributes」に下表の4組を追加し、「Sign Assertion」にチェックを入れます。

3. 3

   Declare Redirect Endpointを先に有効にする

   「Declare Redirect Endpoint」にチェックを入れてから、「Export Metadata」でXMLをダウンロードします。

4. 4

   Claudeにメタデータを登録する

   Claude側のセットアップ画面で「Edit Metadata Configuration」を開き、XMLをアップロードして保存します。最後の「Test Single Sign-on」でエラーなくログインできれば完了です。

属性マッピングの値

グループで役割を割り当てるときの設定

役割をグループ単位で割り当てたい場合は、JumpCloudの「Group Attributes」で「include group attribute」にチェックを入れ、属性名を groups にします。そのうえでClaude側のOrganization and access設定を開き、IdPのグループを参照して役割にひも付けます。ClaudeのSSOグループ作成からロール割り当てまでの流れはJIT/SCIMプロビジョニングの設定手順でも扱っています。

グループマッピングには、設定してから気づきやすい制約があります。

• マッピングで決まるのは役割(ロール)と席の種類だけです
• 全員をいずれかの役割グループに入れる必要があります。席の種類のグループは任意です
• 自分自身がAdminまたはOwnerにマップされたグループにいないと、設定を保存した時点で権限がUserに下がります
• Primary OwnerだけはSCIMの突き合わせから除外され、IdPのディレクトリにいなくても残ります。OwnerとAdminは除外されません

SSOの強制はメールドメイン単位で適用され、Primary Ownerも例外ではありません。SCIMの突き合わせから除外されるのと、SSOでのサインインが免除されるのは別の話です。

Primary Ownerの役割はグループマッピングでは割り当てられません。SCIMを有効にする前に、Organization settingsのMembersで手動で移しておきます。

JITとSCIMの違い

SSOが通ったあとは、利用者をどう組織に入れるかを選びます。JumpCloudでの設定量はほぼ同じで、違いは「外すとき」に出ます。

くらべる

JITとSCIMの動き方

TeamでもEnterpriseでも可

JIT

初回ログイン時にUserロールで追加されます。JumpCloudのアプリから割り当てを外すとログインはできなくなりますが、メンバー一覧には残り、席も使われたままです。管理者が手動で削除するまで続きます。

Enterpriseと対象のConsole組織

SCIM

ログインを待たずにディレクトリ側の割り当てどおり追加・削除されます。グループマッピングと組み合わせると、ロールの変更も自動で反映されます。新しく追加されたメンバーには、既定でウェルカムメールが届きます。

JITで追加した利用者を完全に外すには、Claudeで削除したうえで、JumpCloudでも割り当てを解除します。Claudeだけで削除しても、次にSSOでログインすれば再び追加されます。グループマッピングと併用していれば、話は変わります。マップされたグループからすべて外れた利用者は、アプリに割り当てられたままでも、次のログイン時に組織から外されます。

SCIMのウェルカムメールは止められます。設定場所は「User provisioning」の「SCIM directory sync」です。OwnerまたはPrimary Ownerが「Send a welcome email to new members」をオフにします。CMEK(顧客管理の暗号鍵)・HIPAA・FERPAなどの要件がある組織にはメールが送られず、この設定も表示されません。

SCIMを有効にする

TeamプランはここをスキップしてJITで進めます。JumpCloudはSCIMプロビジョニングを既存のSAMLアプリ内でしか設定できないため、SAML接続が先に完了している必要があります。

手順

JumpCloud側のSCIM設定

1. 1

   Claude側で接続情報を出す

   「Organization and access」のUser provisioningを開きます。SCIM directory syncの「Setup SCIM」(設定済みなら「Manage SCIM」)を押します。WorkOSのセットアップ画面に、エンドポイントとBearerトークンが出ます。

2. 2

   Identity Managementで入力する

   JumpCloudでSAMLアプリを開いたまま「Identity Management」タブに進みます。「Configuration settings」でSCIMバージョンを「SCIM 2.0」にします。エンドポイントを「Base URL」に、Bearerトークンを「Token Key」に貼ります。

3. 3

   疎通を試して有効化する

   「Test connection」で成功メッセージを確認し、「Group Management」トグルをオンにします。設定をアクティブ化し、保存します。

4. 4

   同期するグループを割り当てる

   「User Groups」タブで、同期したい利用者が入ったグループを選んで保存します。

JumpCloudのSCIMは、利用者を1人ずつアプリに割り当てる方式に対応していません。割り当ては必ずグループ単位で、対象が1人でも、その人だけが入るグループを作って割り当てます。

同期の挙動と運用上の注意

グループを前提にした設計のため、個人の追加・削除の感覚で操作すると意図しない結果になります。

グループを切断しても利用者は残り続ける

グループをSCIMアプリから切断しても、切断前にそのグループにいた利用者はClaude側に残り続けます。利用者を個別にアプリへ割り当てる方法がないためです。利用者を外したいときは、グループがSCIMアプリに接続されたままの状態で、その利用者をグループから外します。グループごと消すときも、接続されたままJumpCloudのUser Management側で削除します。

グループIDはexternalIdが引き継がれる

JumpCloudはSCIMの externalId フィールドでグループごとの一意のIDを渡します。これがWorkOS側でディレクトリグループの idp_id として保持されます。どのJumpCloudグループがどのSSOグループに対応しているかを照らし合わせるときに使う値です。

動作確認と手動同期

SCIMを有効にしたら、「Manage SCIM」画面のDirectory、または組織のメンバー一覧で、利用者が追加されているかを見ます。Directoryに出ているのにメンバーにならないときは、購入済みの空き席が足りていません。席を買い足してから、Organization and accessの「Sync now」(Directory sync(SCIM)の横)で同期を促します。

ロールが想定と違うときは、次の順に見ます。

• 利用者がJumpCloudで正しいグループに入っているか
• そのグループがClaude側で正しいロールにひも付いているか
• JITなら、いったんログアウトして入り直す。SCIMなら「Sync」で即時同期する

テスト用アカウントでSSOログインを完了し、正しい組織に入れることも見ておきます。

つまずいたときの切り分け

SSOのテストでエラーが出る

最初に疑うのは、メタデータのエクスポート順序です。有効にしてから再エクスポートし、Claudeにアップロードし直します。

ACS URLとEntity IDは入れる欄が異なります。ACS URLは「ACS URL」へ、Entity IDは「IdP Entity ID」と「SP Entity ID」の2か所へ入れます。

ドメインがPendingのまま進まない

ドメイン検証のTXTレコードは、Claudeの画面に出る anthropic-domain-verification- で始まる長い値をそのまま貼ります。値は大文字小文字を区別し、既存のTXTレコードを置き換えずに並べます。ホストは前の手順で入力したドメインと完全に一致させます。サブドメインを入力したなら、サブドメインも含めます。

注意したいのは、保留中になった後は値が再表示されない点です。ドメインを削除して追加し直すと新しい値が発行されるため、先に貼ったレコードとは一致しなくなります。

Customロールのユーザーが何も使えない

IdPのグループをCustomロールにマップしてJITを使うと、ロールの種類だけが割り当てられ、グループの所属は同期されません。ログインしても権限が空になります。Organization settingsのGroupsでユーザーを手動でグループに入れるか、グループを同期するSCIMに切り替えます。

管理者権限を失った

グループマッピングを保存した人が、AdminやOwnerにマップされたグループにいなかったときに起きます。別のAdminまたはOwnerにロールを戻してもらうか、JumpCloudで自分を該当グループに入れます。JITならログインし直し、SCIMなら別の管理者が「Sync」を押して反映します。

運用開始後に効く設定

署名証明書の期限

JumpCloudのX.509署名証明書が期限切れになるか更新されたら、Claude側にも反映します。「Manage SSO」の「Metadata configuration」で「Edit」を押し、証明書情報を更新します。最後に「Test sign-in」で通ることを見ます。

「Require SSO」をオンにした状態で証明書が期限切れになると、サインイン手段がすべてSSO経由になるため、誰も更新できません。その場合はOwnerまたはPrimary OwnerのメールアドレスからSupportに連絡して、権限を回復してもらいます。JumpCloud側で期限日を控えておき、先に更新するのが避ける手段です。

SSOを止める・接続を切る

「Require SSO」はいつでもオフにでき、全員が使うログイン方法の1つになります。接続そのものを切る「Reset connection」は、全員のセッションを終了し、メールのログインリンクでの再ログインを求めます。

ConsoleへのIdP起点ログイン

Team・Enterpriseの組織とSSO設定を共有しているConsole組織は、IdP起点のログインに対応していません。JumpCloudのポータルから開くと、claude.aiへ飛ばされます。IdP側にブックマークを作れる場合は、platform.claude.com/login?sso=true へのリンクにすると、Console側から始まるSP起点のログインに回せます。

まとめ

Teamプランで進めるなら、使えるのはJITまでです。利用者を外す運用は、JumpCloudの割り当て解除とClaudeでの手動削除の二段で回すことになります。SCIMが使えるEnterpriseなら、外す操作も同期に任せられます。IdPの選び方で迷っている場合はClaudeのSSO設定、IdPはOkta・Google Workspace・Entra IDのどれかが判断材料になります。大手IdPの設定例はClaude Okta SSO設定にあります。