Single Sign-On (SSO) einrichten

Single Sign-On ist für Team-Pläne, Enterprise-Pläne und Claude Console-Organisationen verfügbar.

Diese Anleitung behandelt die Schritte zum Konfigurieren von SSO für Team- und Enterprise-Pläne sowie Claude Console-Organisationen.

Schritt 1: Voraussetzungen und wichtige Überlegungen überprüfen

Bevor Sie mit der SSO-Einrichtung fortfahren, führen Sie Folgendes aus:

Überprüfen Sie den Leitfaden zu Überlegungen: Lesen Sie Wichtige Überlegungen vor der Aktivierung von Single Sign-On (SSO) und JIT/SCIM-Bereitstellung, um übergeordnete Organisationen zu verstehen, Ihren Einrichtungspfad zu bestimmen und alle erforderlichen Schritte wie das Zusammenführen von Organisationen abzuschließen.

Bestätigen Sie, dass Sie die erforderliche Rolle haben:

Für Team- oder Enterprise-Pläne: Sie müssen ein Owner oder Primary Owner sein
Für Claude Console: Sie müssen ein Admin sein

Bestätigen Sie, dass Sie Zugriff auf Folgendes haben:

DNS-Einstellungen für die Domain Ihrer Unternehmens-E-Mail-Adresse
Der SSO-Identitätsanbieter (IdP) Ihres Unternehmens, der zum Anmelden bei Drittanwendungen verwendet wird (z. B. Okta, Google Workspace usw.)

Wenden Sie sich an den IT-Administrator Ihrer Organisation, wenn Sie keine Berechtigung zum Verwalten von Claude oder Unternehmens-DNS-Einstellungen haben.

Hinweis: WorkOS ist der Anbieter von Anthropic für Domänenverifizierung und SSO-Einrichtung. Weitere Details finden Sie in Anthropics Unterprozessor-Liste. Sie werden durch einen WorkOS-Einrichtungsablauf geführt, wenn Sie SSO- und Bereitstellungsfunktionen konfigurieren – finden Sie Ihren Identitätsanbieter in ihrer Integrationsdokumentation.

Schritt 2: Überprüfen Sie Ihre Domain(s)

Die Domänenverifizierung beweist, dass Sie die Domain Ihres Unternehmens besitzen. Nach der Verifizierung können Sie SSO für Konten mit der Domain Ihres Unternehmens konfigurieren.

Sie können mehrere Domänen für eine einzelne Organisation überprüfen, aber alle Domänen müssen über einen einzelnen IdP verwaltet werden. Wir unterstützen nicht die Verifizierung von Domänen von separaten IdPs innerhalb derselben Organisation.

Hinweis: Die Verifizierung Ihrer Domäne allein hat keine Auswirkungen auf die Fähigkeit bestehender Benutzer, auf unsere Produkte zuzugreifen. Der Zugriff von Endbenutzern wird nur beeinflusst, wenn SSO eingerichtet und explizit erzwungen wird.

Navigieren Sie zu Ihren Einstellungen für Organisation und Zugriff in Claude (claude.ai/admin-settings/organization) oder zu Ihren Einstellungen für Identität und Zugriff in Console (platform.claude.com/settings/identity) – beachten Sie, dass diese Seite in Console nur angezeigt wird, wenn Sie mit dem Vertrieb zusammengearbeitet haben, um SSO zu aktivieren, oder einen Zusammenführungsvorschlag abgeschlossen haben.
Klicken Sie im Abschnitt Domänen auf „Domänen hinzufügen oder bearbeiten“.
Geben Sie die Domäne(n) ein, die Sie überprüfen möchten, im Modal „Organisationse-Mail-Domänen aktualisieren“ und klicken Sie auf die Schaltfläche „+“:
Klicken Sie auf „Speichern“, wenn Sie mit dem Hinzufügen von Domänen fertig sind.
Die hinzugefügte(n) Domäne(n) wird/werden nun im Abschnitt Domänen angezeigt; klicken Sie auf „Überprüfen“ neben der/den Domäne(n), um den Verifizierungsprozess zu starten.
Geben Sie Ihre Domäne in das Textfeld ein und klicken Sie auf „Weiter“:
Der Einrichtungsbildschirm zeigt einen TXT-Datensatz an. Kopieren Sie den vollständigen Wert mit der Schaltfläche „Kopieren“ – er beginnt mit anthropic-domain-verification- und ist länger als das, was im Feld sichtbar ist. Fügen Sie in Ihrem DNS-Anbieter einen TXT-Datensatz zu Ihrer Domäne hinzu und setzen Sie Wert auf die kopierte Zeichenfolge. Die Domäne muss genau mit dem übereinstimmen, was Sie im vorherigen Schritt eingegeben haben, einschließlich aller Subdomänen. Fügen Sie ihn neben vorhandenen TXT-Datensätzen hinzu; ersetzen Sie sie nicht. Der Wert ist Groß-/Kleinschreibung beachtet, daher fügen Sie ihn genau ein. Weitere Informationen finden Sie in der Dokumentation Ihres DNS-Anbieters.
1. Wichtig: Speichern Sie den TXT-Wert, bevor Sie den Einrichtungsbildschirm verlassen. Sobald die Domäne als „Ausstehend“ angezeigt wird, zeigt die Admin-Konsole den Wert nicht erneut an. Wenn Sie ihn verlieren, müssen Sie die Domäne entfernen und erneut hinzufügen, was einen neuen Wert generiert.
Warten Sie 10 Minuten, bis sich Ihre DNS-Änderung ausbreitet.
- Hinweis: DNS-Änderungen können 24–48 Stunden dauern, um sich global auszubreiten.
Wenn Sie das grüne Abzeichen „Überprüft“ sehen, können Sie die Anleitung schließen.
Wenn Ihre Domäne als „Ausstehend“ angezeigt wird, verwenden Sie die Schaltfläche „Aktualisieren“.

Wenn Ihre Domäne ausstehend bleibt

Durch Klicken auf „Aktualisieren“ wird Ihr DNS erneut überprüft; es wird nicht als „Überprüft“ angezeigt, bis der veröffentlichte TXT-Datensatz genau mit dem erwarteten Wert übereinstimmt. Wenn es nach der DNS-Ausbreitung ausstehend bleibt, überprüfen Sie Folgendes:

Der Datensatz existiert an der Wurzel. Suchen Sie die TXT-Datensätze Ihrer Domäne mit einem Tool wie DNSChecker auf und bestätigen Sie, dass ein Datensatz, der mit anthropic-domain-verification- beginnt, für yourdomain.com angezeigt wird (nicht www.yourdomain.com oder eine andere Subdomain). Wenn er nicht angezeigt wird, wurde der Datensatz möglicherweise auf dem falschen Host hinzugefügt oder hat sich noch nicht ausgebreitet.
Der Wert stimmt genau überein. Die Überprüfung ist Groß-/Kleinschreibung beachtet und erfordert die vollständige Zeichenfolge einschließlich des Präfix anthropic-domain-verification-…=. Ein einzelner Zeichenunterschied hält es ausstehend.
Sie haben die Domäne nicht entfernt und erneut hinzugefügt. Jedes erneute Hinzufügen generiert einen neuen Verifizierungswert. Wenn Sie die Domäne nach der Veröffentlichung des TXT-Datensatzes erneut hinzugefügt haben, stimmt der veröffentlichte Wert nicht mehr überein – Sie müssen den DNS-Datensatz mit dem neuen Wert aktualisieren.

Wenn der Datensatz korrekt ist und sich ausgebreitet hat, aber der Status immer noch „Ausstehend“ anzeigt, wenden Sie sich an den Support.

Hinweis: Sobald Ihre Domäne überprüft ist, sehen Sie einen Umschalter „Organisationserstellung einschränken“ unter Sicherheit auf der Seite mit den Organisationseinstellungen „Organisation und Zugriff“. Aktivieren Sie diese Option, wenn Sie verhindern möchten, dass Benutzer neue Claude- oder Console-Organisationen erstellen – einschließlich persönlicher Konten – mit Ihren verifizierten Domänen.

Schritt 3: Richten Sie SSO mit Ihrem Identitätsanbieter ein

Navigieren Sie zu Ihren Einstellungen für Organisation und Zugriff in Claude (claude.ai/admin-settings/organization) oder zu Ihren Einstellungen für Identität und Zugriff in Console (platform.claude.com/settings/identity).
Klicken Sie im Abschnitt Authentifizierung auf „SSO einrichten“ (oder „SSO verwalten“).
Folgen Sie der Einrichtungsanleitung für Ihren Identitätsanbieter (siehe unten für zusätzliche Anleitungen).
Am Ende dieser Schritte werden Sie aufgefordert, Single Sign-On zu testen, um zu bestätigen, dass keine Fehler vorhanden sind und die Konfiguration erfolgreich ist.
Navigieren Sie nach Abschluss zurück zur Seite mit den Einstellungen für Organisation und Zugriff, um weitere Konfigurationsoptionen zu erhalten.

Wichtig: Die SSO-Erzwingung kann dazu führen, dass Benutzer sich nicht anmelden können, wenn sie nicht ordnungsgemäß der Anthropic-App im IdP zugewiesen sind. Wenn Sie mehr als eine Claude/Console-Organisation mit Ihrer „übergeordneten Organisation“ verbunden haben, sollten Sie erwägen, eine eindeutige IdP-Gruppe für jede zu erstellen. Weitere Informationen finden Sie unter Gruppenzuordnungen aktivieren.

Spezifische Einrichtungsanweisungen für IdP finden Sie unter:

Schritt 4: Wählen Sie, um SSO zu erzwingen

Sie können jetzt auf der Seite Organisation und Zugriff im Abschnitt Authentifizierung die Optionen SSO für Console erzwingen und/oder SSO für Claude erzwingen aktivieren:

Wenn SSO erforderlich ist, müssen Benutzer die Option „Mit SSO fortfahren“ verwenden, um sich bei ihren Claude/Console-Konten anzumelden. Wenn SSO nicht erforderlich ist, haben sie die Möglichkeit, „Mit SSO fortfahren“ oder „Mit E-Mail fortfahren“ zu wählen.

Bevor Sie sich entscheiden, lesen Sie Was passiert mit bestehenden Benutzern, wenn SSO aktiviert wird.

Schritt 5: Wählen Sie Ihren Bereitstellungsansatz

Sobald SSO aktiviert ist, müssen Sie entscheiden, wie Benutzer zu Ihrer Organisation hinzugefügt werden, indem Sie eine Option im Abschnitt Benutzerbereitstellung Ihrer Einstellungen für Organisation und Zugriff auswählen.

Nur auf Einladung ist die Standardeinstellung. Benutzer werden direkt in Ihren Claude- oder Console-Einstellungen hinzugefügt und entfernt. Weitere Informationen finden Sie unter Verwalten Sie Mitglieder in Team- und Enterprise-Plänen.

Just-in-Time (JIT)-Bereitstellung kann aktiviert werden, um Benutzer automatisch bereitzustellen, wenn sie sich zum ersten Mal anmelden. Standardmäßig erhalten Benutzer, die Ihrer Anthropic IdP-App zugewiesen sind, bei der ersten Anmeldung die Benutzerrolle. Dies ist die einfachste automatisierte Option und erfordert keine zusätzliche Konfiguration über die Auswahl von „Just-in-Time (JIT)“ als Bereitstellungsmodus hinaus.

Aktivieren Sie Gruppenzuordnungen – wann Sie zusätzliche Bereitstellungsfunktionen konfigurieren sollten

Für mehr Kontrolle über die Bereitstellung siehe Richten Sie JIT- oder SCIM-Bereitstellung ein. Sie sollten diese Anleitung überprüfen, wenn Sie Folgendes benötigen:

Automatisches Zuweisen von Rollen oder Seat-Tiers basierend auf IdP-Gruppenmitgliedschaft.
Verwenden Sie SCIM-Verzeichnissynchronisierung für automatische Bereitstellung und Aufhebung der Bereitstellung.
Verwalten Sie den Zugriff auf mehrere Organisationen (z. B. wenn Sie sowohl eine Team/Enterprise-Organisation als auch eine Console-Organisation haben, die mit derselben übergeordneten Organisation verknüpft sind, und Sie kontrollieren müssen, welche Benutzer für jede bereitgestellt werden).

Hinweis: Wir unterstützen derzeit nicht die IdP-initiierte Anmeldung für Claude Console-Organisationen, die SSO-Einstellungen mit einer Team- oder Enterprise-Plan-Organisation teilen. Benutzer werden mit IdP-initiierter Anmeldung zu claude.ai umgeleitet. Erstellen Sie als Workaround, falls möglich in Ihrem IdP, ein Lesezeichen namens „Claude Console“, das auf platform.claude.com/login?sso=true verlinkt, um Benutzer zu Console für SP-initiierte Anmeldung umzuleiten.

Aktualisieren Sie Ihr SSO-Zertifikat oder Ihren Client-Secret

Wenn das X.509-Signaturzertifikat (SAML) oder der Client-Secret (OpenID Connect) Ihres Identitätsanbieters abläuft oder rotiert wird, müssen Sie es in Claude oder Console aktualisieren, um die SSO-Funktionalität aufrechtzuerhalten.

Navigieren Sie zu Ihren Einstellungen:
- Für Team- und Enterprise-Pläne: claude.ai/admin-settings/organization
- Für Claude Console: platform.claude.com/settings/identity
Klicken Sie im Abschnitt Authentifizierung auf „SSO verwalten“.
Aktualisieren Sie die Anmeldeinformationen für Ihren Verbindungstyp:
1. SAML: Suchen Sie den Abschnitt Metadatenkonfiguration, klicken Sie auf „Bearbeiten“ und aktualisieren Sie Ihre Zertifikatsinformationen.
2. OpenID Connect: Ersetzen Sie den abgelaufenen Client-Secret durch den neuen von Ihrem Identitätsanbieter. OpenID Connect-Verbindungen verwenden kein Zertifikat.
Speichern Sie Ihre Änderungen.
Klicken Sie auf der gleichen Seite auf „Anmeldung testen“, um zu bestätigen, dass alles funktioniert.

Wichtig: Wenn SSO erzwingen aktiviert ist und Ihr Zertifikat oder Client-Secret bereits abgelaufen ist, kann sich niemand in Ihrer Organisation anmelden, um es zu aktualisieren, da jede Anmeldeoption über SSO läuft. Wenden Sie sich an den Support von einer E-Mail-Adresse eines Owners oder Primary Owners, und wir helfen Ihnen, den Zugriff wiederherzustellen, damit ein Owner es aktualisieren kann. Um dies zu vermeiden, notieren Sie sich das Ablaufdatum Ihres Zertifikats oder Client-Secrets bei Ihrem Identitätsanbieter und rotieren Sie es rechtzeitig.

SSO ausschalten

Sie können SSO für Claude oder SSO für Console erzwingen jederzeit ausschalten. Dies macht SSO für alle Benutzer optional.

Um SSO vollständig zu trennen, klicken Sie auf „SSO verwalten“ und dann auf „Verbindung zurücksetzen“. Dies beendet alle Benutzersitzungen und erfordert, dass sie sich über den E-Mail-Anmeldelink erneut anmelden.

Aus dem Admin-Zugriff ausgesperrt?

Wenn sich keiner Ihrer Owners oder Admins anmelden kann (z. B. nach Ablauf eines Zertifikats oder Client-Secrets, einem Identitätsanbieterwechsel oder einer Gruppenzuordnung, die Ihre Administratoren entfernt hat), wenden Sie sich vom E-Mail-Adresse eines Owners oder Primary Owners an den Support. Wir überprüfen Ihren Besitz der Organisation und helfen Ihnen, den Zugriff wiederherzustellen, damit Sie die Konfiguration korrigieren können.