Claudeセッションセキュリティ設定 — 有効期限と強制ログアウトの条件
EnterpriseとConsoleの管理者が組織全体のログイン期限を短く固定する設定の手順を解説します。既存セッションへの影響、変更と無効化の違い、複数組織所属時の優先順位も扱います。
個人のログイン状態を整理したいのか、組織全体のログイン期限を管理者が決めたいのか。後者を実現するのがセッションセキュリティ設定(Shortened session length)で、対象はEnterpriseプランのAdmin・OwnerとConsoleのAdminだけです。個人アカウントやTeamプランには存在しません。
端末ごとの確認と削除はClaudeのアクティブセッション確認と不審な端末の削除手順、自分のアカウントの全端末一括ログアウトはClaudeセッション管理と全デバイス一括ログアウトの手順が扱っています。ここでは、管理者が組織単位で期限を強制する設定の手順と、有効化・変更・無効化での既存セッションの動きを扱います。
自分の状況に合う操作はどれか
同じ「ログアウト」でも、範囲と実行者で使う機能が変わります。管理者が期限を組織に強制したいときだけ、この記事の設定が該当します。
| やりたいこと | 使う機能 | 実行できる人 |
|---|---|---|
| 覚えのない端末だけ終了する | 使う機能アクティブセッションの個別終了 | 実行できる人本人 |
| 自分の全端末から一括で出る | 使う機能Settings > Accountの「Log Out」(Web版のみ) | 実行できる人本人 |
| 全メンバーのログイン期限を短く固定する | 使う機能セッションセキュリティ設定 | 実行できる人EnterpriseのAdmin・Owner、ConsoleのAdmin |
| 特定メンバーの全セッションを即時に切る | 使う機能管理コンソールの「Sign out everywhere」 | 実行できる人組織の管理者 |
「Log Out」は、モバイルアプリからは使えません。実行すると、Webブラウザー・モバイル・デスクトップアプリのすべてから即座にサインアウトされます。これに対しセッションセキュリティ設定は、いま誰かを切る操作ではありません。期限を超えたセッションを、今後自動的に失効させ続ける仕組みです。
短縮設定が変えるもの — 通常のセッションとの違い
claude.aiにログインすると、28日間のセッションが作られます。ページの再読み込みなどの操作があれば、1時間ごとに「その時点から28日後」へ更新されます。使い続ける限り、ログインは切れません。
セッションセキュリティ設定は、この延長を止めて組織単位で上限を固定します。有効にすると、操作を続けていても指定期間が過ぎた時点で再サインインが必要になります。侵害されたセッションが有効なまま残る期間を、期限で区切る設定です。
ConsoleのセッションがWeb版と同じ28日更新で動くかは、公式ヘルプには書かれていません。Consoleの未設定時は「使い続けている間は有効」という説明だけです。
Enterprise管理者とConsole管理者の設定手順
手順の骨格はどちらも同じで、違いは画面のパスと選べる期間です。
EnterpriseとConsoleの設定の違い
Enterprise
ログインは「Admin以上」の権限で行い、「Organization settings > Organization and access」を開きます。「Session security」の「Shortened session length」で「Enable」を押し、1日・7日・14日・28日から選んで、もう一度「Enable」で確定します。
Console
ログインはAdmin権限で行い、「Settings > Organization and access」を開きます。「Session security」の「Shortened session length」で「Enable」を押し、1日・3日・7日から選んで、もう一度「Enable」で確定します。
Consoleで7日より長い期限を選ぶ手段は、参照したヘルプには載っていません。
有効化した直後に何が起きるか
有効化の結果は、セッションの古さで分かれます。
有効化したときのセッションの動き
- 1
期限より古いセッションはその場で失効する
選んだ期間を超えて残っているセッションは、有効化と同時に切れます。
- 2
期限内のセッションは、期間を超えないうちに失効する
それ以外のアクティブなセッションも、選んだ期間を超える前に失効します。全員が同じ瞬間に切れるわけではありません。
- 3
失効したメンバーは再サインインへ案内される
再ログイン後は、設定した期間で新しいセッションが区切られます。
7日を選んだ場合を例にすると、30日前にログインして更新を続けていたメンバーは有効化の瞬間に、3日前にログインしたメンバーは4日以内に、それぞれ再サインインへ進みます。設定する管理者自身も「組織内の全ユーザー」に含まれるはずですが、管理者・Ownerを除外する記載は見つかりませんでした。有効化の直後に自分が再ログインを求められても、設定ミスとは限りません。
メンバーの画面には何が見えるか
メンバー本人のSettings > Accountには「Active sessions」の一覧があります。各行には、ブラウザーとOS(「Chrome on macOS」のような表記)、IPアドレスに基づくおおよその場所、いま使っている端末を示す「Current session」のバッジが並びます。
短縮設定の影響を追うときに手がかりになるのが「Updated」の列です。ここには、そのセッションが最後に使われた時刻に加えて、ポリシーの変更で更新された時刻も入ります。期限の設定を変えた直後にメンバーから「見覚えのない更新時刻がある」と聞かれても、必ずしも不正アクセスとは限りません。
一覧から「Terminate」で個別に終了する操作は、短縮設定とは別の手段です。期限を待たずに特定の端末だけ切りたいメンバーは、この操作を自分で使えます。セッションセキュリティ設定で管理者が組織全体に強制できるのは、期限の長さだけです。
期間の変更と無効化では挙動が違う
期間はいつでもドロップダウンから選び直せます。ただし、公式ヘルプが動作を書いているのは「短くする」方向だけです。
変更と無効化の違い
期間を短くする
新しい期間より古いセッションはその場で失効します。新しい期間を超えて存続する予定だったセッションは、失効時刻が前倒しされます。
無効化(Disable)
すでに動いているセッションは、予定された失効時刻まで残ります。新しく作られるセッションから、「使い続けている間は有効」という既定の挙動に戻ります。
無効化しても、全員のログインが延命されるわけではありません。逆に期間を長くする変更については記載がなく、既存セッションがどうなるかも書かれていません。
期間ごとに、メンバーが再サインインする頻度
期間の選択肢は、メンバーに求める再サインインの頻度と引き換えです。連続で使い続けるメンバーを想定し、上限が来るたびに再サインインするとして数えると、1年(365日)あたりの最大回数は次のとおりです。
| 期間 | 年間の再サインイン回数の目安 |
|---|---|
| 1日 | 年間の再サインイン回数の目安365回 |
| 3日 | 年間の再サインイン回数の目安約122回(365÷3) |
| 7日 | 年間の再サインイン回数の目安約52回(365÷7) |
| 14日 | 年間の再サインイン回数の目安約26回(365÷14) |
| 28日 | 年間の再サインイン回数の目安約13回(365÷28) |
この回数は公式ヘルプの数値ではなく、期間から割り算で出した概算です。個人アカウントの再認証手段として公式ヘルプが挙げているのは、Googleログインとメールで届くログインリンクです。SSO組織での再サインインの流れは、参照したページに記載がありません。
複数の組織に所属するユーザーの期限
1人のユーザーが期限の違う複数の組織に所属していると、最も短い期限が適用されます。1つのセッションがそれらすべての組織で使われるためです。
たとえば、所属先が次の3組織なら、期限はいちばん短い1日です。
| 所属組織 | 設定 |
|---|---|
| 組織A | 設定7日 |
| 組織B | 設定28日 |
| 組織C | 設定1日 |
自社を28日に設定していても、コンサルタントや委託先のメンバーが他社の短い設定に縛られていれば、その人のログイン頻度は他社の設定で決まります。逆に、自社で1日を設定すると、他組織にも所属するメンバーの利便性に影響する可能性があります。
特定のメンバーを今すぐ切りたいとき
短縮設定は、期限が来るのを待つ仕組みです。端末の紛失や盗難のように、今すぐ止めたい場面では別の手段を使います。
Claude Codeのリモートコントロール(Remote Control)のドキュメントに、その手順があります。メンバー本人は、claude.ai/settings/accountの「Trusted devices」で登録済みの端末を確認できます。一覧には端末名、プラットフォーム、登録日が並びます。端末を削除すると、その端末の認証情報はすぐ無効になります。
本人がサインインできないときは、管理者が管理コンソールの「Sign out everywhere」を使います。そのメンバーの全セッションと登録済みの端末がまとめて失効します。失効後、メンバーは手元に残っている端末を登録し直します。
短縮設定との違いは、対象と効くタイミングです。短縮設定は組織の全員が対象で、期限を超えたセッションから順に失効します。「Sign out everywhere」は1人のメンバーが対象で、実行すると全セッションと登録済みの端末が失効します。使えるプランの範囲は、参照したページに書かれていません。
登録済みの端末の認証情報は、更新されないまま放置すると自然に失効します。使っていない端末は、信頼済みの一覧から自動的に外れます。
端末登録でメンバーに見える画面
端末登録(Trusted Devices)はベータ機能で、既定ではオフです。TeamとEnterpriseでは、Ownerが「Organization settings > Capabilities > Remote sessions」で有効にした組織だけで、メンバーに登録が求められます。効くのはRemote Controlの閲覧と操作だけです。短縮設定とは別に選べる、もう1つのセキュリティ設定にあたります。
有効にした組織では、端末の登録は端末ごとに1回きりです。初回は登録を求められ、直近にサインインしていなければ、先に通常の手順(SSOを使う組織ならSSOを含む)でサインインしてから登録を確定します。
登録済みの端末で直近にサインインしているメンバーには、日常でプロンプトは出ません。サインインが18時間を超えると、次のRemote Controlの操作でFace ID、Touch ID、Windows Hello、パスキーのいずれかの確認が1回出ます。短縮設定による再サインインとは別に、この設定を有効にした組織ではこうした確認が挟まります。
生体認証のない機器では、ハードウェアセキュリティキーを使うか、もう一度サインインする方法があります。未登録の端末ではRemote Controlのセッションを見ることも操作することもできませんが、通常のClaudeのチャットには影響しません。ターミナルでは、開発者がCLIにサインインした時点で、Claude Codeを動かしている機器に認証情報が自動で渡されます。ターミナル側に登録の手順はありません。
設定の対象外になるもの
この設定は、EnterpriseのAdmin・OwnerとConsoleのAdminだけが使えます。Pro・Max・Teamのアカウントには、管理者が期限を強制する手段がありません。TeamとEnterpriseの機能差はClaude Enterpriseとは、Teamプランの詳細はClaude Teamプランとはで確認できます。
Claude Codeについては注意が要ります。Claudeアカウントで認証したClaude Codeの認可トークンは、Settings > Claude Codeのごみ箱アイコンで削除してログアウトする別系統の仕組みです。短縮設定がこのトークンにどう作用するかは、公式ヘルプに書かれていません。Claude Codeを組織の統制対象に含める場合は、短縮設定の有効化後に実際の再認証の挙動を確かめる必要があります。
再サインインできずログインそのものに詰まったメンバーは、Help Centerの各ページ右下のメッセージアイコンからサポートに連絡できます。期限の短縮を組織に告知するときは、この連絡先も併せて案内すると再ログインの戸惑いを減らせます。
まとめ
期限を待てない場面と、待つ場面は分かれます。特定のメンバーを今すぐ切るなら「Sign out everywhere」、組織全体のログイン期間を固定するなら短縮設定です。有効化後に再ログインの問い合わせが来たら、無効化の遅れと、複数組織所属の最短期限を先に疑ってください。