Claude Media
ClaudeのSSO設定手順 — ドメイン確認からIdP連携まで
Claudeチュートリアル

ClaudeのSSO設定手順 — ドメイン確認からIdP連携まで

ClaudeでSSOを設定する実際の操作手順です。ドメイン検証からIdP接続、SSO必須化、証明書更新、無効化までを追います。

読了目安 約9分

ClaudeのSSO(シングルサインオン)は、Team・Enterpriseプランと、Console組織のいずれでも設定できます。作業は、ドメインの所有証明、IDプロバイダー(IdP)との接続、SSOを必須にするかどうかの決定の3段階です。手戻りが大きいのは、SSOを必須にした後にユーザーが既存アカウントへ入れなくなるケースと、必須化中に証明書が切れて管理者まで締め出されるケースです。最初の分岐から順に、この2点まで通して説明します。

自分の組織は、どこから始めればよいか

最初に確認するのは、契約形態と親組織の有無です。SSOの設定は「親組織」という単位に保存され、複数のClaude・Console組織で共有されます。親組織はID管理(ドメイン検証・SSO設定・ユーザー追加)だけを受け持ち、請求と使用量の集計は組織単位のままです。また1つの親組織に紐づけられるIdPは1つで、配下の全組織が同じIdPで管理されます。親組織は、Enterpriseなら組織の作成時に自動で作られ、Teamなら初めてSSOを有効にしたときに作られます。Consoleは自動では作られません。

分岐

契約形態ごとの入口

  • Enterpriseプラン

    親組織はすでにあります。そのままステップ1のドメイン検証へ進めます。

  • Teamプラン

    親組織はSSOを初めて有効にしたときに作られます。ステップ1へ進めます。

  • Console組織(Team/Enterpriseあり)

    platform.claude.com/settings/identity が開けるなら、すでに親組織に紐づいてSSO設定を共有しています。開けない場合は、Team/EnterpriseのOwnerがclaude.ai側から組織の統合を提案します。

  • Console組織のみ

    自分では親組織を作れません。営業チームに親組織の作成を依頼すると、ConsoleにIdentity settingsのページが現れます。

組織の統合(Merge Organizations)は、Team・Enterprise側のclaude.aiからしか起こせません。提案は招待先の管理者に届き、14日以内の承認が必要です。承認は2段階です。招待された組織のOwnerが claude.ai/settings/join-proposal で受け入れ、親組織側のOwnerかAdminがOrganization settings > Organization and access > Pending Organizationsで承認して初めて完了します。提案者が招待先組織のAdmin/Ownerを兼ねている場合は、承認は1回で済みます。統合には、招待側の親組織にドメインが検証済みであること、招待される組織の全メンバーのメールアドレスがそのドメインに一致していることが条件です。招待一覧に出てこない組織は、すでに別の親組織に属している可能性があります。その場合はサポートに切り離しを依頼できますが、切り離すと、その組織のドメイン検証とSSO/SCIM設定が消えます。

組織構成の全体像はSSO・SCIM導入前に確認すべきこと、プランごとの機能差はClaude Enterpriseとはにあります。

作業を始める前に揃える権限とアクセス

必要なロールは、TeamまたはEnterpriseならOwnerかPrimary Owner、ConsoleならAdminです。加えて、自社メールドメインのDNS設定を変更できる人と、Okta・Google Workspaceなど自社のIdPの管理画面を操作できる人の協力が要ります。ロールがなければ、組織のIT管理者に依頼します。

ドメイン検証とSSO設定の裏側では、外部の認証基盤プロバイダーであるWorkOSが使われています。設定の途中でWorkOSの画面に遷移するのはそのためで、自社のIdPがどう連携されるかはWorkOS側のIntegrationドキュメントで確認できます。

ステップ1: ドメインを検証する

ドメイン検証は、自社のメールドメインを所有している証明です。検証が終わるまでSSOの接続設定には進めず、検証だけでは既存ユーザーのログインに影響はありません。1組織で複数ドメインを検証できますが、それらは単一のIdPでまとめて管理する必要があり、別々のIdPに紐づくドメインは混在できません。買収などでドメインが複数ある場合は、どのIdPに統一するかを先に決めます。

なお、ドメインは親組織単位で検証されます。他部署がすでに自社ドメインを検証済みだと、別の親組織からは検証できません。同じ親組織に属する複数の組織どうしなら、ドメイン検証とSSO設定を共有できます。

手順

ドメイン検証の流れ

  1. 1

    設定画面を開く

    Claudeでは claude.ai/admin-settings/organization、Consoleでは platform.claude.com/settings/identity を開きます。Consoleのこのページは、営業チームとの調整か組織統合が済んでいないと表示されません。

  2. 2

    ドメインを追加する

    Domainsセクションの「Add or edit domains」で検証したいドメインを入力して保存し、追加したドメインの横の「Verify」を押します。

  3. 3

    TXTレコードの値を控える

    ドメインを再入力すると、anthropic-domain-verification- で始まる値が出ます。画面に見えている以上に長いので、コピーボタンで全体を控えます。Pending状態になると再表示されません。

  4. 4

    DNSにTXTレコードを追加する

    Host/Nameは、入力したドメインと一致するレコード名(ルートなら通常 @。表記はDNSプロバイダーで異なります)、Valueはコピーした文字列にします。既存のTXTレコードは置き換えず並記します。値は大文字・小文字を区別します。入力したドメインにサブドメインが含まれていれば、レコードも同じ名前に置きます。

  5. 5

    反映を待って確認する

    10分ほど待ちます。世界的な反映には24〜48時間かかることがあります。緑の「Verified」が出れば完了で、「Pending」のままなら「Refresh」で再チェックします。

値を控える前に画面を閉じると、ドメインを一度削除して追加し直すしかありません。再追加のたびに新しい値が発行されるため、DNS側の更新も必要になります。

Pendingのまま進まないとき

「Refresh」はDNSを再確認するだけで、公開されたTXTレコードが期待値と完全一致するまでVerifiedになりません。反映後も進まないときは、次を順に見ます。

  • レコードがルート(yourdomain.com)にあるか。DNSCheckerなどで、www.yourdomain.com など別のサブドメインに置いていないかを確認します
  • anthropic-domain-verification- から末尾まで、1文字も違わず大文字・小文字も含めて一致しているか
  • 検証値を控えたあとにドメインを削除・再追加していないか。DNSに置いた値が古いままだと一致しません

3つとも問題なく、反映も済んでいるのにPendingなら、サポートへ問い合わせます。

ドメインが検証済みになると、Security欄に「Restrict organization creation」というトグルが現れます。オンにすると、検証済みドメインのメールで、個人アカウントを含む新しいClaude・Console組織を作れなくなります。社員が個別にシャドー組織を立てるのを止めたい場合の設定です。

ステップ2: IdPと接続する

  1. Organization and access(ConsoleではIdentity and access)の設定を開きます
  2. Authenticationセクションの「Setup SSO」(接続済みなら「Manage SSO」)を押します
  3. 使っているIdPのガイドに従って接続します。個別ガイドがあるのはOkta SAML、Entra ID SAML(旧Azure AD)、Google SAML、OneLogin SAML、JumpCloud SAML、Duo SAMLです
  4. 手順の最後の「Test Single Sign-on」でエラーが無いことを確認します

IdPの選び方はClaudeのSSO設定、IdPはOkta・Google Workspace・Entra IDのどれかで比べています。JumpCloudの設定値とSCIM同期の制約はClaude JumpCloud SSO設定、OneLoginはClaude OneLogin SSO設定にあります。DuoはMFA専業で背後に別のIdPが必要なため、中継構成の手順をClaude Duo SSO設定に分けています。

複数のClaude・Console組織が同じ親組織にぶら下がる場合、SSOを必須にすると、IdP側でAnthropicアプリに正しく割り当てられていないユーザーはログインできなくなります。組織ごとに割り当てを分けたいなら、組織単位でユニークなIdPグループを作っておきます。グループとロール・シートタイプの対応はJIT/SCIMプロビジョニングの設定手順にあります。

ステップ3: SSOを必須にすると、既存アカウントはどうなるか

「Require SSO for Claude」と「Require SSO for Console」は別々にオンにできます。オンだと「Continue with SSO」でしかログインできず、オフなら「Continue with SSO」と「Continue with email」が両方選べます。判断材料は、社内メールドメインで作られた既存の個人アカウントの扱いです。

くらべる

Require SSO for Claudeのオン・オフと既存アカウント

移行期間向け

オフのまま

SSOアプリに割り当てられたユーザーは、既存のFree/Pro/Team/Maxアカウントと組織アカウントを、左下のプロフィールアイコンから切り替えて使えます。割り当てられていないユーザーも、「Continue with email」で従来のアカウントに入れます。

統制優先

オンにした後

割り当て済みのユーザーは変わりません。未割り当てのユーザーは、既存のFree/Pro/Team/Maxアカウントに入れなくなります。アカウントは削除されず、SSOでログインできないため見えなくなるだけです。

必須化の前に、どのアカウントが影響を受けるかを確認する方法があります。Domainsセクションの「Domain memberships」から、検証済みドメインに紐づくClaude・Consoleアカウントの利用状況を、CSVかJSONでダウンロードできます。SSOを必須にする予定なら、割り当てから漏れる人に、会話履歴を保存・エクスポートするよう先に周知しておきます。SSOとプロビジョニングは、可能なら同時に導入します。

ステップ4: プロビジョニング方式を選ぶ

SSOが有効になったら、User provisioningセクションでユーザーの追加方法を選びます。使える方式はプランで違います。

方式TeamEnterpriseConsole組織
Invite onlyTeam使えるEnterprise使えるConsole組織使える
JITTeam使えるEnterprise使えるConsole組織使える
SCIMTeam使えないEnterprise使えるConsole組織条件付き

Console組織のSCIMは、Enterpriseプランの親組織と紐づいている場合に限ります。Teamプランの親組織と統合したConsole組織では使えません。

既定はInvite onlyで、Claude・Consoleの設定から手動で追加・削除します。JIT(Just-in-Time)をオンにすると、IdPでAnthropicアプリに割り当てられたユーザーが初回ログイン時に自動で組織へ入り、初期ロールはUserです。追加設定は要りません。IdPのグループからロールやシートタイプを自動で割り当てたい場合、SCIMで自動デプロビジョニングまで行いたい場合、同じ親組織の複数組織で振り分けたい場合は、JIT/SCIMプロビジョニングの設定手順を参照します。

SSO証明書の期限切れで全員が入れなくなる前に

IdPのX.509署名証明書が期限切れになったりローテーションされたりしたら、ClaudeとConsole側も更新します。ここには一つ、管理者を締め出す罠があります。「Require SSO」がオンの状態で証明書がすでに切れていると、ログインの経路がすべてSSOを通るため、組織の誰も更新画面に入れません。復旧はOwnerまたはPrimary Ownerのメールアドレスからサポートに連絡し、所有者確認を経てアクセスを戻してもらう形になります。防ぐには、IdP側で証明書の有効期限を控え、期限前にローテーションします。

更新の手順は次のとおりです。

  1. Team・Enterpriseなら claude.ai/admin-settings/organization、Consoleなら platform.claude.com/settings/identity を開きます
  2. Authenticationセクションの「Manage SSO」を押します
  3. Metadata configurationの「Edit」で、新しい証明書情報を入力して保存します
  4. 同じ画面の「Test sign-in」で動作を確認します

証明書の失効に限らず、IdPの変更やグループマッピングの設定ミスで管理者が全員外れた場合も、同じくOwnerのメールアドレスからサポートに連絡する扱いです。グループマッピングを変える前に、Ownerが引き続きアクセスできることを確認しておくと安全です。

SSOの無効化とIdPの乗り換え

「Require SSO for Claude」「Require SSO for Console」はいつでもオフにでき、オフにすると全ユーザーにとってSSOが任意になります。接続自体を切るには、「Manage SSO」から「Reset connection」を実行します。

IdPを乗り換える手順は、SCIMを使っているかで変わります。SCIM運用中なら、SCIMプッシュの停止、Invite onlyへの切り替え、SCIMディレクトリの削除を済ませてからReset connectionを実行します。新旧のIdPでメール属性が一致しないと重複アカウントができます。全手順はClaude IdPの切り替え手順にあります。

まとめ

「Require SSO」のオン・オフは、SSOを強制するか任意にするかの切り替えです。接続そのものを切るのはReset connectionで、こちらは全ユーザーのセッションを終わらせます。作業を止められない場面では、まずどちらの操作が必要かを分けて考えます。ただし証明書が切れた後で必須化がオンのままだと、管理者を含めて誰もサインインできず、サポート経由の復旧になります。証明書の期限は、切れる前にIdP側で控えておきます。組織構成やプランごとの前提はSSO・SCIM導入前に確認すべきことにまとまっています。

この記事を共有:XはてブLinkedIn

関連する記事

Claude をもっと見る →