Claude SCIM同期の仕組み — 入社・退社はいつ反映されるか

Claude EnterpriseのSCIM同期は、IDプロバイダー(IdP)側の入社・異動・退社を組織のメンバー一覧とグループへ反映する仕組みです。反映は「自動」と「手動」の2系統で動き、どちらが動くかで反映までの速さが変わります。入社直後にアクセスできない、退社したはずのメンバーがまだ見えている、といった疑問の多くはこの2系統のどちらが働いているかで説明がつきます。

SCIM同期が提供されるのはEnterpriseプランのみです。

SCIM同期は何を同期しているのか

IdPをWorkOS経由でEnterprise組織に接続すると、同期対象は2種類だけです。メンバー(SCIMディレクトリの人物一覧)と、IdPからWorkOSへプッシュされたSCIMグループです。

グループへの所属は、カスタムロールを持つメンバーがどの機能を使えるか、グループごとの支出上限がいくらかを決める土台になります。同期が遅れたり誤ったりすると、権限と予算の両方に影響が及ぶのはこのためです。グループの可視性設定やネストしたグループの扱いといったグループ機能そのものの詳細は、Claude Enterpriseのグループ支出上限を設定する手順にまとめています。

自動同期はどれくらいの頻度で動くか

IdP側でメンバーやグループの追加・削除・編集が行われると、その変更はWorkOSへプッシュされます。Claude組織はこのWorkOSを1分おきにポーリングし、キューに積まれた更新を順番に処理します。

この方式は「結果整合性(eventually consistent)」です。通常は数分以内に反映が完了しますが、システムの負荷が高い時間帯には数時間かかることもあります。入社日当日にアクセスできないという問い合わせの多くは、この自動同期のラグが原因です。

手動同期が必要になる場面

一部の操作は、自動同期を待たずにその場で同期を発生させます。

プロビジョニングモードをSCIMに切り替えたときは、IdPディレクトリにいないメンバーが削除され、いるメンバーが追加されます。この初回の再同期が終わるまでは、グループマッピングの設定に進めません。

グループマッピングを有効化したときは、メンバーとグループの全リストが更新されます。新規・既存メンバーのロールと席種別(シートティア)はグループマッピングによって強制され、手動での上書きはできなくなります。マッピングを保存した後は「Sync」ボタンをクリックし、既存メンバーのロールと席種別を再計算する必要があります。

逆にグループマッピングを無効化したときは、メンバーのロールと席種別を再び手動で割り当てられるようになります。既存メンバーは現在のロールを維持しますが、新規メンバーは「User」ロールで追加されるため、カスタムロールの権限を使わせたい場合は個別に「Custom」へ変更します。

手動同期は管理画面の2か所から明示的に実行することもできます。「Organization settings > Groups」の「Check for updates」ボタンと、「Organization settings > Organization and access」の「Sync」ボタンです。どちらもメンバー・グループ・両方のどれを同期するかを選べます。バックグラウンドの自動同期が処理中に手動同期を実行すると、メンバーまたはグループごとに最新の変更が優先されます。複数の変更が同じ対象にキューイングされている場合、正しく反映されるまでもう一度同期が必要になることがあります。

同期前にプレビューで何が分かるか

手動で同期を実行するか、マッピングの変更を保存すると、実際に適用される前にプレビューが表示されます。プレビューには、追加・削除・変更されるメンバー数と、ディレクトリデータがどれだけ新しいかが示されます。

数字が想定と合わない場合、たとえば実際に退社した人数よりはるかに多い削除件数が出た場合は、同期をキャンセルしてIdPディレクトリとグループマッピングを確認します。削除される割合が異常に大きいときはプレビュー自体に警告が表示されるため、誤ったマッピングが多数のメンバーのアクセスを奪う前に気づける設計です。

メンバー同期とグループ同期の違い

手動同期を実行するとき、メンバー・グループ・両方のどれを同期するか選べます。それぞれが更新する対象は異なります。

同期にかかる時間の目安

手動同期は、WorkOS上のメンバーとグループの全リストを再スキャンして最新の基準を作り直す処理で、目安はメンバー100人あたり約1分、1,000人規模の組織であればフル再同期に約10分です。

入社・退社はどう反映されるか

入社の場合、IdP側でユーザーを作成するとWorkOSへプッシュされ、最短で1分おきの自動同期で組織に反映されます。ただし高負荷時は数時間かかる余地があるため、初日からのアクセスを保証したい運用では、事前にIdP側でユーザーを作成して同期を先に済ませておくほうが確実です。

退社の場合も同じ自動同期の経路を通りますが、設計上のポイントは即座に遮断されるとは限らないことです。SCIM同期は数分から数時間の結果整合性を前提にしており、退社処理がIdP側で完了してから実際にClaude組織からアクセスが失われるまでの間、短いながらも猶予が生まれます。緊急に権限を切りたい場合は、自動同期を待たずに手動同期を実行するか、管理者がメンバーを直接組織から削除する方が確実です。Cowork側のロール設計とSCIM運用の組み合わせ方はClaude CoworkのRBAC運用にまとめています。

なお、組織から削除されたメンバーが作成したプロジェクトへの他メンバーのアクセスは、各プロジェクトの可視性設定(組織全体に共有済みか、個別共有か)によって決まります。一方でチャットは可視性設定に関わらず、削除されたメンバーのものである時点で他メンバーは一律アクセスできなくなり、共有していたチャットのリンクを開いても「Conversation not found」と表示されます。

再同期のリスク

再同期を実行する前に、次の4点を確認します。

1つ目は、プロビジョニングモードをSCIMに切り替えるとIdPディレクトリにいないメンバーが削除される点です。切り替え前に、既存メンバー全員がIdPディレクトリに登録済みであることを確認します。

2つ目はメールアドレスの更新です。メンバーのメールアドレスを変えると新しいメンバーレコードが作られ、古いメールアドレスのメンバーは削除、新しいメールアドレスのメンバーが新規作成される扱いになります。

3つ目は連鎖範囲です。同じ親組織の配下に複数のSCIM対応組織がある場合、1つを再同期すると子組織へ連鎖します。これは親組織を共有するサンドボックス組織も含みます。

最後に、グループマッピングを未完了のまま保存すると対象外のメンバーが削除されるリスクがあります。SCIM用にグループマッピングを有効化するときは、すべてのグループの割り当てを終えてから保存してください。ロールのグループマッピングに含まれないメンバーは組織から削除され、席種別マッピングを有効にしている場合は席種別マッピングに含まれないメンバーも同様に削除されます。グループマッピングを使った権限設計そのものはClaude Enterpriseでカスタムロールを作成する手順にまとめています。

同期状況を確認する方法

組織のメンバーとグループが最新かどうかを確認する方法は2つあります。メンバー一覧のエクスポート(「Organization settings > Members」から「Export CSV」)で現在のメンバーシップを確認する方法と、WorkOS連携の記録を直接見る方法(「Organization settings > Organization and access」から「Manage SCIM」)です。後者はWorkOSが保持している最新の組織データをそのまま表示します。

よくある質問

自動同期と手動同期はどちらか一方を選ぶものですか

いいえ。自動同期は常にバックグラウンドで動き続け、手動同期はそれとは別に「今すぐ確定させたい」場面で追加で走らせる操作です。プロビジョニングモードの変更やグループマッピングの有効化のように、特定の操作は手動同期を自動的に発生させます。

IdP側でメールアドレスの表記が旧IdPと少しでも違うとどうなりますか

新しいメンバーレコードとして扱われ、既存のメンバーとは別人として作成されます。SCIMディレクトリを切り替える、あるいはメールアドレスの表記ルールを変更するときは、事前に新旧の表記が完全に一致しているかを確認する必要があります。

手動同期を実行すると既存のグループ設定は消えますか

グループそのものの定義やカスタムロールへの割り当ては維持されます。変わるのはメンバーとグループの所属関係で、グループマッピングが未完了のまま設定を保存した場合にのみ、マッピングに含まれないメンバーが組織から削除されます。

まとめ

Claude SCIM同期は、1分おきにポーリングする自動同期(結果整合性、通常数分〜高負荷時は数時間)と、プロビジョニングモード変更やグループマッピング設定変更で即座に走る手動同期の2系統で動きます。入社時のアクセス確保を急ぐなら手動同期、退社時に即座に遮断したいなら自動同期を待たず手動でメンバーを削除するのが確実です。再同期の前には必ずプレビューで削除件数を確認し、想定外の大量削除がないかをチェックしてから確定します。IdPそのものを乗り換える手順はClaude IdPの切り替え手順を参照してください。