ClaudeのSSO設定、IdPはOkta・Google Workspace・Entra IDのどれか

Okta・Google Workspace・Entra IDのどれをIdP(IDプロバイダー)に選んでも、ClaudeのSAMLによるSSO自体はまったく同じ条件で動きます。差が出るのはSCIMによる自動プロビジョニングの側です。Entra IDだけがSCIM利用にP1またはP2ライセンスを追加で要求し、Google Workspaceだけが事前登録済みアプリを持たず手動でのカスタムSAMLアプリ作成が必須になります。情シスがIdPを選ぶときに見るべきはここです。

SAMLは3社とも同条件、差が出るのはSCIMだけ

3社の公式セットアップガイドを突き合わせると、SAMLの適用範囲はどのIdPでも同じです。Team・Enterprise・親組織を持つConsole組織のいずれでも、SAMLによるSSO設定自体は制限なく行えます。プランによる差が生まれるのはSCIM(自動プロビジョニング)のほうで、Enterpriseプランと対象のConsole組織限定です。Teamプランでは3社ともSCIMが使えず、代わりにJITプロビジョニング(初回ログイン時の自動作成)を使います。JITとSCIMの役割分担そのものはClaudeのSSO・JIT・SCIMの違いと選び方で扱っているので、まだSSOとJIT・SCIMの区別がついていない場合は先にそちらを読んでおくと選定の土台ができます。

つまりSAMLだけでよいTeamプランであれば、IdPの選択はコストにほぼ影響しません。追加ライセンスが効いてくるのはEnterpriseプランや対象Console組織でSCIM自動プロビジョニングを使う場合に限られます。

もう1点、3社の前提条件に共通する見落としがあります。Console組織でSSOを設定するには、その組織が親組織を持っている必要があります。単独のConsole組織にはこの前提条件が適用されず、先に親組織との紐づけを済ませておく必要があります。TeamプランとEnterpriseプランにはこの制約自体が存在しないため、Console組織からの移行や新規契約を検討している場合は、IdPを選ぶより前に組織構成を確認しておくと、SSO設定の途中で前提条件の不足に気づく手戻りを防げます。

EntraだけがSCIMに追加ライセンスを要求する

3社の設定ガイドを読み比べると、前提条件の書き方に明確な非対称があります。OktaとGoogle Workspaceの前提条件は「管理者権限があること」だけです。Entra IDの前提条件には、それに加えてMicrosoft Entra ID P1またはP2ライセンス(SCIMプロビジョニングに必須)という一文が明記されています。

すでに社内でMicrosoft 365 E3/E5のようにP1/P2ライセンスを含むプランを契約している組織なら追加コストはゼロです。一方、Microsoft 365 Business BasicやEntra ID Freeのように無償枠のライセンスで運用している組織がEntra IDでSCIM自動プロビジョニングを使おうとすると、Claude側の設定より先にMicrosoft側のライセンス追加が必要になります。この順序を知らずにClaude側の設定作業から着手すると、Provisioningタブの設定を始めた段階でライセンス不足に気づいて手戻りになります。

OktaとGoogle WorkspaceのSCIM自動プロビジョニングには、この種の追加ライセンス要件がありません。管理者権限とEnterpriseプラン(または対象Console組織)があれば設定に進めます。

アプリの用意の仕方も3社で違う

SAML設定に入る最初の一歩、つまり「Claude用のアプリをIdP側でどう用意するか」も3社で手順が異なります。

• Okta: Admin consoleの「Create App Integration」から新規作成し、SSO方式にSAML 2.0を選んでアプリ名を「Claude」に設定する。ギャラリーからの検索は案内されておらず、手動作成が前提
• Google Workspace: 「Web and mobile apps → Add app → Add custom SAML app」からカスタムSAMLアプリとして作成する。Google Workspaceには既製の「Claude」アプリが存在せず、3社の中で唯一、名称からして手動作成であることが明示されている
• Entra ID: Entra管理センターの「Enterprise applications → New application」で、まずギャラリーに「Claude」が登録されていないか検索し、あれば選択、無ければ「Create your own application」で作成する。ギャラリー登録アプリを使える可能性がある点が3社の中で唯一の特徴

ギャラリー登録アプリを使えれば、SAMLの基本設定(Entity ID・ACS URLの一部)があらかじめ埋まった状態から始められることが多く、手動作成よりも設定項目を書き間違えるリスクが下がります。ただし公式ガイドは「見つかれば選択」という条件付きの案内であり、必ず見つかる保証までは書いていません。実際の作業に入る前に、自組織のEntraテナントでギャラリー検索を一度試す価値があります。

3社共通の落とし穴とIdP固有の注意点

3社の公式ガイドが共通して警告しているのが、SAMLとSCIMで異なるメール属性を使ってしまう不一致です。SSOでのログインに使うメール属性と、SCIMがユーザーを同期するときに参照するメール属性が食い違うと、ログインはできるのに正しい組織に振り分けられない、あるいはSCIM側で重複アカウントが作られるといった不具合につながります。この不一致はIdPごとに現れ方が違います。

ログインできない・意図しない組織に入るといった症状が出たときのIdP別の診断手順はClaude SSO/SCIMメールアドレス不一致の直し方にまとめています。

Okta固有の注意点としては、グループ単位でロールやシート種別を割り当てるグループマッピングを使う場合、SAMLのAttribute StatementsにGroup Attribute Statement(属性名 groups)を追加し忘れると、サインイン時にグループ情報が渡らず、JITプロビジョニングと組み合わせている場合はマップ対象のグループに属さないユーザーが次回ログイン時に組織から削除されるという踏み込んだ動作が公式ガイドに明記されています。グループマッピングを使う予定があるなら、Attribute Statementsの設定を先に済ませておくと、グループ情報が渡らない事故を避けられます。

情シスはどう選べばよいか

すでにSSOを設定済みの組織が別のIdPへ移行する場合は、旧IdPの接続を切ってから新IdPへ切り替える専用の手順が必要です。手順はClaude IdP切り替え、SSOリセットの7手順にまとめています。実際の設定作業に進む場合は、Okta・Google Workspace・Entra IDそれぞれの手順をClaude Okta SSO設定・Claude Google Workspace SSO設定・Claude Entra ID SSO設定で解説しているので、選定後はそちらを参照してください。SSO・SCIM導入前に組織構成として確認しておくべき点はClaude SSO・SCIM導入前に確認する3点にまとめています。

よくある質問

すでにEntra IDでSCIMを使っているが、P1/P2ライセンスを持っていない場合はどうなりますか

Entra ID側でSCIM自動プロビジョニングの設定自体が完了できません。ライセンスを追加購入するか、SCIMを使わずSAML(必要に応じてJIT)だけで運用する選択肢になります。SAMLによるSSOログイン自体はP1/P2ライセンスを要求しません。

3社を併用して、部署ごとに違うIdPを使うことはできますか

公式ガイドはいずれも組織単位でのSSO設定を前提にしており、1つのClaude組織に複数のIdPを同時接続する構成は案内されていません。部署ごとに異なるIdPを使い分けたい場合は、Console組織を分けるなど組織構成そのものを検討する必要があります。

まとめ

OktaとGoogle WorkspaceとEntra IDは、ClaudeのSAML設定に関しては横並びです。選定の分かれ目はSCIM自動プロビジョニングにあり、Entra IDだけがP1/P2ライセンスという追加コストを要求します。Google Workspaceは唯一ギャラリーアプリを持たず手動作成が前提、Entra IDは条件付きながらギャラリーアプリを使える可能性がある、という設定の手間の違いも押さえておくと、選定後の作業見積もりが立てやすくなります。すでに社内で使っているID基盤があるなら、それに合わせるのが最も摩擦の少ない選択です。