Claudeセッションセキュリティ設定 — 有効期限と強制ログアウトの条件

セッションセキュリティ設定は、組織のメンバー全員に対してログイン状態の最大有効期限を管理者が強制できる機能です。設定できるのはEnterpriseプランの管理者とConsoleの管理者に限られ、個人アカウントやTeamプランには存在しません。

この記事では、設定できる対象、EnterpriseとConsoleそれぞれの設定手順、有効化・変更・無効化したときに既存セッションがどう扱われるかまでをまとめます。

セッションセキュリティ設定とは — 対象はEnterpriseとConsoleの管理者のみ

セッションセキュリティ設定(Shortened session length)とは、通常28日で自動更新され続けるログインセッションに対し、組織単位で上限を短く固定する機能です。設定を有効にすると、期限を超えたメンバーは操作を続けていても強制的に再ログインを求められます。侵害されたセッションが有効なまま残り続ける期間を短縮する狙いの設定です。

利用できるのはEnterpriseプランのAdmin以上のロールと、ConsoleのAdminロールに限られます。Team・Pro・Maxを含む個人向けプランにはこの管理設定自体が存在せず、常に既定の28日ルールで動きます。既定のセッション期限の仕組みはClaudeセッション管理にまとめています。

Enterprise管理者が設定する手順

Enterprise組織のAdmin以上の権限でログインし、次の手順で設定します。

1. Enterprise組織にAdmin以上の権限でログインする
2. 「Organization settings > Organization and access」に進む
3. 「Session security」セクションを探す
4. 「Shortened session length」の「Enable」をクリックする
5. プルダウンから期間を選ぶ(1日 / 7日 / 14日 / 28日)
6. 「Enable」をクリックして確定する

Console管理者が設定する手順

Console(Anthropic API向けの管理コンソール)のAdmin権限でログインし、次の手順で設定します。

1. ConsoleにAdmin権限でログインする
2. 「Settings > Organization and access」に進む
3. 「Session security」セクションを探す
4. 「Shortened session length」の「Enable」をクリックする
5. プルダウンから期間を選ぶ(1日 / 3日 / 7日)
6. 「Enable」をクリックして確定する

手順自体はEnterpriseとほぼ同じですが、選べる期間の選択肢が異なります。両者を並べると次のとおりです。

Consoleのほうが選べる上限が7日までと短く設定されており、より頻繁な再認証を前提にした選択肢になっています。API利用が中心のConsoleでは、Web版のEnterpriseより厳しめの既定選択肢が用意されている形です。

有効化するとどうなるか — 既存セッションへの影響

設定を有効にした瞬間、次の3つが同時に起こります。

• 選んだ期間より古い既存セッションは即座に失効する
• それ以外の既存セッションも、選んだ期間を超えないタイミングで順次失効する
• セッションが失効したメンバーは、再度サインインを求める画面に案内される

つまり、有効化した時点ですでに期間を超えているログインは待たされることなくすぐに切れ、まだ期間内のログインも設定した期間を超えないうちに順番に切れていく仕組みです。組織全体を一括で切断するのではなく、各メンバーのセッションの古さに応じて段階的に反映されます。

設定を変更・無効化したときの挙動

設定自体を無効化(Disable)した場合、その時点で残っている既存のアクティブセッションは、予定されていた失効タイミングのまま動き続けます。無効化した瞬間に全員のログインが復活するわけではありません。一方、無効化以降に新しく作られるセッションは、組織の設定に縛られない既定の挙動(操作のたびに28日先まで延長され続ける動き)に戻ります。

複数組織に所属するユーザーの扱い — 最も短い期限が優先される

1人のユーザーが期限の異なる複数の組織に所属している場合、適用されるのは最も短い期限です。たとえば7日設定のOrganization Aと28日設定のOrganization Bの両方に所属していれば、そのユーザーのセッションは7日で失効します。1つのセッションが複数組織にまたがって共有されているため、より制限の厳しい側の設定が優先される仕組みです。

組織をまたいで人が移動する構成(コンサルタントが複数のEnterprise組織に招待されている場合など)では、自組織の設定だけでなく、相手先組織の設定次第でも自分のログイン頻度が変わりうる点に注意が必要です。

個人アカウントとTeamプランにはこの設定がない

Pro・Maxの個人アカウント、およびTeamプランには、セッションセキュリティ設定そのものが存在しません。これらのプランでは常に既定の28日ルール(操作のたびに延長)で動作し、管理者側から期限を強制的に短縮する手段はありません。よりログイン状態を厳しく管理したい場合、Enterpriseプランへの移行が前提になります。TeamとEnterpriseの機能差はClaude Enterpriseとは、Teamプラン自体の詳細はClaude Teamプランとはにまとめています。

社内のセキュリティ監査やISMS・SOC2のような統制要件でログイン状態の最大保持期間を定めている組織にとって、この設定の有無はEnterpriseプランを選ぶ判断材料のひとつになります。監査ログやSSO・SCIMといった他の統制機能と合わせて検討するのが実務上の流れです。

よくある質問

Teamプランでセッションの有効期限を短くできますか

できません。セッションセキュリティ設定はEnterpriseプランの管理者とConsoleの管理者にのみ提供されており、Teamプランには存在しない機能です。組織単位でセッション期限を強制したい場合はEnterpriseプランへの移行が必要です。

設定を無効化すると、全員が即座に再びログイン状態を維持できますか

いいえ。無効化した時点で残っている既存のアクティブセッションは、それぞれ予定されていた失効タイミングのまま動作を続けます。無効化以降に新しく作られるセッションから、既定の28日ルールに戻ります。

複数の組織に所属していて、それぞれ違う期限が設定されている場合はどうなりますか

最も短い期限が適用されます。7日設定の組織と28日設定の組織の両方に所属していれば、そのユーザーのセッションは7日で失効します。1つのセッションを複数組織で共有しているためです。

EnterpriseとConsoleで選べる期間が違うのはなぜですか

公式ヘルプは理由を明記していませんが、選べる上限がEnterpriseは28日まで、Consoleは7日までと、Console側がより短い選択肢に絞られています。API利用が中心のConsoleのほうが、より頻繁な再認証を前提にした設計だとみなせます。

この設定を有効にすると、ユーザーの会話履歴やAPIキーは削除されますか

されません。セッションセキュリティ設定が変えるのはログイン状態の有効期限だけで、会話やAPIキー、その他のアカウントデータには影響しません。期限が切れたユーザーは再ログインするだけで、それまでのデータにそのままアクセスできます。

設定した管理者自身のセッションも短縮の対象になりますか

なります。「組織内の全ユーザー」が対象という説明に管理者やOwnerを除く例外は明記されておらず、設定を有効にした本人のセッションも同じ期限で失効します。有効化した直後に自分自身が再ログインを求められても、設定ミスではなく想定どおりの挙動です。

まとめ — コンプライアンス要件があるならEnterprise管理者が設定する

セッションセキュリティ設定は、EnterpriseとConsoleの管理者だけが使える組織単位のセッション期限強制機能です。有効化すると既存セッションが期限に応じて段階的に失効し、以降のログインもすべて設定した期間で区切られます。個人アカウントとTeamプランにはこの機能自体がなく、既定の28日ルールで動き続けます。コンプライアンス要件や侵害時の露出時間を短くしたい組織は、Organization settings(またはConsoleのSettings)の「Organization and access」からSession securityセクションを設定します。設定できるのは期限の長さだけで、対象の絞り込み(特定のグループだけに適用する等)はできません。組織に所属する全ユーザーへ一律に適用される点は、設定前に把握しておく価値があります。