Claude SCIM同期の仕組み — 入社・退社はいつ反映されるか

Claude EnterpriseのSCIM同期は、IDプロバイダー(IdP)側の入社・異動・退社を組織のメンバー一覧とグループへ反映する仕組みです。反映は「自動」と「手動」の2系統で動き、どちらが動くかで反映までの速さが変わります。入社直後にアクセスできない、退社したはずのメンバーがまだ見えている、といった状況は、まずこの2系統のどちらが働いているかで切り分けられます。

SCIM同期が提供されるのはEnterpriseプランです。Claude for Governmentには、SCIMの設定用に別のヘルプ記事があります。この記事で扱っているのはEnterprise組織の同期です。

SCIM同期は何を同期しているのか

IdPをWorkOS経由でEnterprise組織に接続すると、同期されるのは2種類です。メンバー(SCIMディレクトリの人物一覧)と、IdPからWorkOSへプッシュされたSCIMグループです。

グループへの所属は、カスタムロールを持つメンバーがどの機能を使えるか、グループごとの支出上限がいくらかを決める土台になります。同期が遅れたり誤ったりすると、権限と予算の両方に影響が及ぶのはこのためです。グループの可視性設定やネストしたグループの扱いといったグループ機能そのものの詳細は、Claude Enterpriseのグループ支出上限を設定する手順にまとめています。

入社したのにアクセスできない: 自動同期の遅れ

IdP側でメンバーやグループの追加・削除・編集が行われると、その変更はWorkOSへプッシュされます。Claude組織はこのWorkOSを1分おきにポーリングし、更新イベントをキューに積んで順番に処理します。

この方式は結果整合性(eventually consistent)です。通常は数分以内に反映が終わりますが、システムの負荷が高い時間帯には数時間かかることがあります。入社日当日にアクセスできないとき、まず疑うのはこの遅れです。IdP側でユーザーを作成済みなら、反映待ちか、次に述べる手動同期で先に進められるかのどちらかになります。

くらべる

自動同期と手動同期の違い

常時バックグラウンド

自動同期

IdPがWorkOSへ変更をプッシュし、組織が1分おきに取りに行きます。通常は数分、混雑時は数時間かかります。管理者は何もしなくても動き続けます。

待たずに揃えたいとき

手動同期

WorkOS上のメンバーとグループの全リストを再スキャンして基準を作り直します。管理画面のボタンから実行するほか、プロビジョニングモードの変更やグループマッピングの有効化でも自動的に走ります。

手動同期は、自動同期の代わりではなく追加の操作です。背景で自動同期の処理が進んでいるときに手動同期を走らせると、メンバーまたはグループごとに最新の変更が優先されます。同じ対象に複数の変更がキューにあるときは、すべてが正しく反映されるまでもう一度同期が必要になることがあります。

手動同期を走らせる手順とプレビュー

手動同期の入口は管理画面に2か所あります。

手順

管理画面から手動で同期する

1. 1

   入口を選ぶ

   入口は2つあります。「Organization settings > Groups」のSCIM sync欄にある「Check for updates」と、「Organization settings > Organization and access」の「User provisioning」にある「Sync」です。

2. 2

   同期する対象を選ぶ

   メンバー、グループ、両方のいずれかを選びます。入社・退社の反映ならメンバー、グループ所属の変更ならグループが対象です。

3. 3

   プレビューを読んで確定する

   実際に適用される前に、追加・削除・変更されるメンバー数と、ディレクトリデータの新しさが表示されます。数字が想定と合わなければキャンセルして、IdPディレクトリとグループマッピングを見直します。

プレビューは、手動で同期するときだけでなく、グループマッピングの変更を保存するときにも出ます。削除される割合が異常に大きいと警告が付くので、誤ったマッピングが多数のメンバーのアクセスを奪う前に止められます。警告が出たら、意図した変更かどうかを確かめてから進みます。

同期にかかる時間は、メンバー100人あたり約1分が目安です。1,000人規模の組織なら、フル再同期に約10分かかります。

メンバー同期とグループ同期は何を更新するのか

くらべる

同期の対象ごとに変わるもの

席とロール

メンバー同期

どのメンバーが、どの席種別・シートロール(Custom / User / Admin / Owner)に割り当てられているかの記録を更新します。ログインアクセスに影響することがある側です。

所属と権限

グループ同期

どのSCIMグループが存在し、誰が所属するかの記録を更新します。カスタムロールのメンバーが使える機能と、グループ支出上限に関わります。

グループマッピングを切り替えたとき何が起きるか

一部の操作は、自動同期を待たずにその場で手動同期を発生させます。

プロビジョニングモードをSCIMに切り替えたときは、IdPディレクトリにいないメンバーが削除され、いるメンバーが追加されます。この初回の再同期が終わるまで、グループマッピングの設定には進めません。

グループマッピングを有効化すると、メンバーとグループの全リストが更新されます。新規・既存を問わずロールと席種別はマッピングによって強制され、手動での上書きはできなくなります。マッピングを保存した後は「Sync」を押して、既存メンバーのロールと席種別を再計算します。席のプロビジョニングやシートロールをグループマッピング経由で変えた場合も、既存メンバーは自動では再同期されません。手動同期を走らせて初めて反映されます。

グループマッピングを無効化すると、ロールと席種別を再び手動で割り当てられます。既存メンバーは現在のロールを維持しますが、新規メンバーは「User」ロールで追加されます。カスタムロールの権限を使わせたいメンバーは、個別に「Custom」へ変更します。

退社したメンバーはいつ、どこまで見えなくなるか

退社の反映も、入社と同じ自動同期の経路を通ります。IdP側で退社処理を終えても、Claude組織への反映は数分から数時間の結果整合性に従います。反映が済むまでの間は、組織側の状態がIdPに追いついていません。手動同期はWorkOSの全リストを再スキャンして基準を作り直すので、反映を待たずに状態を揃えたいときに使えます。Cowork側のロール設計とSCIM運用の組み合わせ方はClaude CoworkのRBAC運用にまとめています。

組織から外れたメンバーのデータの扱いは、対象によって分かれます。

• プロジェクト: 公開範囲で決まります。非公開のプロジェクトは、メンバーが外れると他のメンバーはアクセスできなくなります。引き継ぎたい内容があるなら、外れる前にプロジェクトの権限を「組織の全員が編集可」にするか、特定のユーザーに「Can edit」を付与しておく必要があります。組織全体に共有していたプロジェクトは「Team」タブに残り、特定ユーザーにだけ共有していたプロジェクトは、そのユーザーの「Shared with me」タブに表示されます。
• チャット: 公開範囲に関わらず、残るメンバーは見られなくなります。組織に共有していたチャットのスナップショットも同様で、リンクを開くと「Conversation not found」から始まるメッセージが表示されます。
• スキル: メンバーが自分のアカウントにアップロードしたスキルは削除されません。共有していないスキルはアカウントに残り、復元できます。
• データエクスポートと保持設定: 外れたメンバーのデータも、Primary Ownerが実行するデータエクスポートに含まれます。Enterpriseでは、設定済みのカスタムデータ保持設定も引き続き適用されます。

組織内のアカウントを個別に削除する場合、Owner以外のメンバーは、Ownerに削除を依頼する必要があります。組織そのもの(TeamまたはEnterpriseプラン)の削除はサポートへの依頼になり、依頼できるのはPrimary Ownerです。

同じメールアドレスで同じ組織に追加し直すと、以前のチャット・プロジェクト・スキルが復元されます。メールアドレスの表記が変わると別のメンバーとして扱われる点は、再同期の節の条件と対になります。メンバー削除後のデータ全般はClaudeで組織メンバーを削除したときのデータの扱いで扱っています。

再同期で人が消える条件

再同期の事故は、条件がはっきりしています。実行前に次の点を見ておくと防げます。

• プロビジョニングモードをSCIMに切り替える: IdPディレクトリにいないメンバーが削除されます。切り替え前に、既存メンバー全員がIdPディレクトリにいることを確かめます。
• メールアドレスの更新: メンバーのメールアドレスを変えると新しいメンバーレコードが作られ、古いメールアドレスのメンバーは削除、新しいメールアドレスのメンバーが新規作成されます。
• 子組織への連鎖: 同じ親組織の配下にSCIM対応の組織が複数ある場合、1つを再同期すると、他の組織の再同期も走ります。親組織を共有するサンドボックス組織も含みます。
• ロールのグループマッピングが未完了: SCIM用にグループマッピングを有効化するときは、すべてのグループの割り当てを終えてから保存します。ロールのグループマッピングに含まれないメンバーは、組織から削除されます。

最後の条件は、席種別マッピングと扱いが違います。席種別のグループに入っていないメンバーは、削除されません。既存メンバーは現在の席種別を維持し、新しく作られたメンバーには、未割り当ての購入済み席が残っている中で最も上位の席種別が付きます。上位が埋まっていれば次の席種別へ下がり、空きの席がなければ席なしで追加されます。グループマッピングを使った権限設計はClaude Enterpriseでカスタムロールを作成する手順にまとめています。

症状から原因を切り分ける

見えている症状ごとに、同期の仕組みから疑う順番を並べると次のようになります。

同期状況を確認する方法

組織のメンバーとグループが最新かどうかは、2通りの方法で見られます。

メンバー一覧のエクスポートは、「Organization settings > Members」から「Export CSV」で、現在のメンバーシップをダウンロードします。WorkOS連携の記録は、「Organization settings > Organization and access」の「Manage SCIM」から開き、WorkOSが保持している最新の組織データをそのまま表示します。

IdPそのものを乗り換えるときの手順はClaude IdPの切り替え手順にまとめています。

まとめ

自動同期は何もしなくても動き続けます。手動同期が要るのは、マッピングを変えた後と、反映を待たずに状態を揃えたいときです。