ClaudeのSSO設定手順 — ドメイン確認からIdP連携まで

ClaudeのSSO(シングルサインオン)は、Team・Enterpriseプランと、Console組織のいずれでも設定できます。設定作業は大きく分けて、ドメインの所有証明、IDプロバイダー(IdP)との接続、SSOを必須にするかどうかの決定という3段階で進みます。組織構成や親組織の考え方についてはSSO・SCIM導入前に確認すべきことで扱っているので、まだ確認していない場合は先にそちらを読んでおくと手戻りが減ります。

はじめに — 始める前に用意するもの

設定に取りかかる前に、次の3つを確認してください。

1つ目は権限です。TeamプランまたはEnterpriseプランならOwnerまたはPrimary Owner、Console組織ならAdminのロールが必要です。権限が無い場合は、組織のIT管理者に依頼してください。

2つ目はDNSへのアクセスです。ドメイン検証でTXTレコードを追加する作業が発生するため、自社のメールドメインのDNS設定を変更できる管理者の協力が必要になります。EnterpriseプランやTeamプランの料金・機能の全体像はClaude Enterpriseとはでも確認できます。

3つ目はIdPへのアクセスです。自社が使っているSSOのIDプロバイダー(Okta、Google Workspaceなど、他社サービスへのログインにも使っているIdP)の管理画面を操作できる人が必要です。

いずれかが揃わない場合は、Claudeを管理しているIT管理者かDNS管理者に先に連絡してから作業を始めてください。

なお、ドメイン検証とSSO設定の裏側では、AnthropicはWorkOSという外部の認証基盤プロバイダーを利用しています。設定の途中でWorkOSの画面に遷移する場面があるのは、これが理由です。自社のIdPがどう連携されるかは、WorkOS側のIntegrationドキュメントでも確認できます。

ステップ1: ドメインを検証する

ドメイン検証は、自社のメールドメインを所有していることを証明する作業です。検証が完了するまでは、SSOの接続設定に進めません。

1. Claudeでは claude.ai/admin-settings/organization、Consoleでは platform.claude.com/settings/identity にある、組織のOrganization and access(またはIdentity and access)設定を開きます。Consoleの場合、このページは営業チームとの調整か組織統合が完了していないと表示されません。
2. Domainsセクションの「Add or edit domains」をクリックし、検証したいドメインを入力して保存します。
3. 追加したドメインの横にある「Verify」をクリックし、検証フローを開始します。
4. ドメインを再入力すると、anthropic-domain-verification- で始まるTXTレコードの値が表示されます。この値は画面を離れると再表示されないため、コピーボタンで値全体を控えてから作業を進めてください。
5. 自社のDNSプロバイダーで、Host/Nameを @(ドメインのルート)、Valueをコピーした文字列にしたTXTレコードを追加します。既存のTXTレコードを置き換えるのではなく、並記する形で追加してください。値は大文字・小文字を区別するので、そのまま貼り付けます。
6. 10分ほど待ってDNSの反映を確認します。反映には最大24〜48時間かかることもあります。
7. 緑色の「Verified」バッジが表示されれば完了です。「Pending」のままなら「Refresh」ボタンで再チェックします。

ドメインがPendingのまま進まないとき

反映を待っても「Verified」にならない場合は、次を順に確認します。

• TXTレコードがルート(yourdomain.com)に登録されているか。www.yourdomain.com など別のサブドメインに登録していないか、DNSChecker等のツールで確認します。
• 値が完全に一致しているか。anthropic-domain-verification- から始まる文字列は1文字でも欠けるとPendingのままになります。
• ドメインを一度削除して再追加していないか。再追加すると新しい検証値が発行されるため、DNS側の値が古いままだと一致しません。

これらを確認しても反映されない場合は、サポートに問い合わせてください。なお、ドメイン検証を完了させただけでは、既存ユーザーのログインには影響しません。影響が出るのは次のステップでSSOを必須化してからです。

ステップ2: IdPと接続してSSOを設定する

1. Organization and access(またはIdentity and access)設定を開きます。
2. Authenticationセクションの「Setup SSO」(または「Manage SSO」)をクリックします。
3. 使用しているIdP向けのセットアップガイドに従って接続します。公式に個別ガイドが用意されているのはOkta SAML、Entra ID SAML(旧Azure AD)、Google SAML、OneLogin SAML、JumpCloud SAML、Duo SAMLです。
4. 手順の最後に「Test Single Sign-on」でエラーが無いかを確認します。
5. 完了したらOrganization and access設定に戻り、続きの設定を行います。

複数のClaude・Console組織が同じ親組織に紐づいている場合は注意が必要です。SSOを必須化すると、IdP側でAnthropicアプリに正しく割り当てられていないユーザーはログインできなくなります。組織ごとに割り当てを分けたいなら、組織単位でユニークなIdPグループを作成しておくことを検討してください。グループとロール・シートタイプの対応付けはJIT/SCIMプロビジョニングの設定手順で扱います。

なお、1組織で複数ドメインを検証すること自体は可能ですが、それらのドメインは単一のIdPでまとめて管理する必要があります。別々のIdPに紐づくドメインを同じ組織に混在させることはできないため、買収などでドメインが複数ある組織は、どのIdPに統一するかを接続前に決めておく必要があります。

また、ドメインが検証済みになると、Organization and access設定に「Restrict organization creation」というトグルが新たに表示されます。オンにすると、検証済みドメインのメールアドレスを持つユーザーが新規に別組織を作ることを防げるため、社員が個人でシャドー組織を立てるのを避けたい場合はあわせて確認しておくとよいでしょう。

ステップ3: SSOを必須にするか選ぶ

Organization and access設定のAuthenticationセクションで、「Require SSO for Claude」と「Require SSO for Console」をそれぞれ個別にオンにできます。オンにすると、ユーザーは「Continue with SSO」でしかログインできなくなります。オフのままなら、「Continue with SSO」と「Continue with email」の両方が選べる状態を維持できます。

強制化を決める前に、SSOアプリへの割り当てが漏れている社員がいないかを必ず確認してください。既存ユーザーへの影響の詳細はSSO・SCIM導入前に確認すべきことにまとめています。

ステップ4: プロビジョニング方式を選ぶ

SSOが有効になったら、ユーザーをどう組織に追加するかをUser provisioningセクションで選びます。既定はInvite only(招待制)で、Claude・Consoleの設定から手動で追加・削除する方式です。

Just-in-Time(JIT)プロビジョニングをオンにすると、IdP側でAnthropicアプリに割り当てられたユーザーは初回ログイン時に自動で組織へ追加されます。追加の設定なしで使える、もっともシンプルな自動化オプションです。初期ロールはUserになります。

ロール・シートタイプをIdPのグループ単位で自動割り当てしたい場合や、SCIMによるディレクトリ同期で自動プロビジョニング・自動デプロビジョニングを使いたい場合、あるいは同じ親組織に紐づく複数組織でユーザーの振り分けを制御したい場合は、JIT/SCIMプロビジョニングの設定手順を参照してください。

SSO証明書を更新する

IdP側のX.509署名証明書が期限切れになったりローテーションされたりした場合、Claude・Console側の設定も更新が必要です。

1. Team・Enterpriseなら claude.ai/admin-settings/organization、Consoleなら platform.claude.com/settings/identity を開きます。
2. Authenticationセクションの「Manage SSO」をクリックします。
3. Metadata configurationセクションの「Edit」をクリックします。
4. 新しい証明書情報を入力して保存します。
5. 同じ画面の「Test sign-in」で動作を確認します。

SSOを無効化する

「Require SSO for Claude」または「Require SSO for Console」はいつでもオフにでき、オフにすると全ユーザーにとってSSOが任意になります。

SSO接続自体を完全に切断したい場合は、「Manage SSO」から「Reset connection」を実行します。

よくあるつまずき

TXT値の保存忘れやIdP-initiated loginの制限については前述のとおりですが、それ以外にも次のようなつまずきが起きます。

ドメインを追加しようとしたら、すでに他部署や別チームが同じドメインを検証済みで、自分のアカウントからは「Verify」に進めないというケースがあります。ドメイン検証は親組織単位で行われ、一度検証されたドメインは別の親組織からは検証できないため、社内の別部署が先に自社ドメインを検証済みでないかを、Organization and access設定を開く前に確認しておくと手戻りを防げます。なお同一の親組織に属する複数の組織であれば、ドメイン検証とSSO設定を共有できます。

もう1つは、IdPを乗り換えるときの手順です。SSO接続をやり直す場合は、「Manage SSO」から「Reset connection」で既存の接続を切断してから、新しいIdPとの接続を設定します。Reset connectionを実行すると全ユーザーのセッションが終了し、メールのログインリンクからの再サインインが必要になるため、乗り換えの日程は事前に周知してから実行してください。

まとめ

ClaudeのSSO設定は、権限とアクセス手段の確認、ドメイン検証、IdP接続、SSO必須化の可否、プロビジョニング方式の選択という順で進みます。ドメイン検証だけでは既存ユーザーへの影響はなく、影響が生じるのはSSOを必須化した時点からです。組織構成やプランごとの前提を先に把握したい場合はSSO・SCIM導入前に確認すべきこと、JIT・SCIMどちらを選ぶかの判断はJIT/SCIMプロビジョニングの設定手順を参照してください。