このガイドでは、Claude または Claude Console 組織のユーザープロビジョニングとロール割り当てを設定する方法について説明します。
JIT プロビジョニングは Team プラン、Enterprise プラン、および Console 組織で利用できます。SCIM プロビジョニングは Enterprise および Console 組織のみで利用できます。
開始する前に: このガイドでは、シングルサインオン (SSO) の設定（ドメイン検証と Identity Provider (IdP) での SSO 設定を含む）が完了していること、および Admin (Console) または Owner (Claude) ロールを持っていることを前提としています。
ステップ 1: プロビジョニングモードを選択する
SSO が設定されたら、ユーザーが組織にプロビジョニングされる方法を決定する必要があります。これは Organization settings > Organization and access の User provisioning セクションで制御されます。
プロビジョニングオプション
招待のみがデフォルトです。ユーザーは Claude または Console 設定で直接追加および削除されます。
ジャストインタイム (JIT): Anthropic IdP アプリに割り当てられたユーザーは、初回ログイン時に自動的にプロビジョニングされます。このオプションはすべてのプランで利用できます。
SCIM ディレクトリ同期: ユーザーは IdP の割り当てに基づいて自動的にプロビジョニングおよびデプロビジョニングされ、最初のログインが不要です。SCIM は Enterprise プランおよび独自の親組織を持つか Enterprise 親組織に参加している Console 組織で利用できます。SCIM は Team プランまたは Team プランの親組織に参加している Console 組織では利用できません。
SCIM ディレクトリ同期がオンの場合、Claude は新しくプロビジョニングされた各メンバーにウェルカムメールを送信します。これをオフにするには、Owner および Primary Owner が Organization settings > Organization and access > User provisioning に移動し、SCIM directory sync を見つけて、「新しいメンバーにウェルカムメールを送信する」をオフにします。
注: Claude は、顧客管理暗号化キー (CMEK)、HIPAA、FERPA などの追加のデータ処理またはコンプライアンス要件を持つ組織にはこのウェルカムメールを送信しないため、これらの組織には設定が表示されません。変更は保存後にプロビジョニングされたメンバーに適用され、既に送信されたメールは配信されたままになります。
プロビジョニング動作の概要
この表を使用して、組織に適したプロビジョニングモードを決定するのに役立てください。
モード | プロビジョニング | ロールとシートタイプの変更 | 削除 |
招待のみ | ユーザーは手動で追加されます | ロールとシートタイプは手動で変更されます | ユーザーは手動で削除されます |
ジャストインタイム (JIT) | IdP アプリに割り当てられたユーザーは、ログイン時に User ロールでプロビジョニングされます | ロールとシートタイプは手動で変更されます | 手動削除が必要です。JIT はメンバーを自動的に削除することはありません。IdP アプリからユーザーの割り当てを解除すると、ログインできなくなりますが、メンバーリストに残り、管理者が削除するまでシートを保持します。 |
JIT + グループマッピング | 少なくとも 1 つのマップされたグループに属するユーザーは、ログイン時にグループメンバーシップから最も高い権限を持つロールでプロビジョニングされます | ロールとシートタイプは次のログイン時にグループメンバーシップに基づいて更新されます | ほぼ手動です。マップされたすべてのグループから削除されたが、アプリに割り当てられたままのユーザーは、次回ログイン時に組織から削除されます。アプリから完全に割り当てを解除されたユーザーはログインできなくなりますが、メンバーリストに残り、管理者が削除するまでシートを保持します。 |
SCIM ディレクトリ同期 | IdP アプリに割り当てられたユーザーは、親組織に参加しているすべての組織に自動的にプロビジョニングされます。 | ロールとシートタイプは手動で変更されます | IdP アプリから削除されたユーザーは自動的に削除されます |
SCIM + グループマッピング | 少なくとも 1 つのマップされたグループに属するユーザーは、そのグループが追加されている親組織に参加している組織にのみ、適切なロールで自動的にプロビジョニングされます。 | ロールとシートタイプの変更はグループメンバーシップに基づいて自動的に伝播されます | グループアクセスが取り消されたときの自動削除 |
注: JIT ユーザーを完全に削除するには、Claude で削除し、IdP で割り当てを解除します。Claude でのみ削除したユーザーは、SSO で次回ログインするときに再度追加されます。
JIT と SCIM の両方を Enable group mappings と組み合わせて、IdP グループメンバーシップに基づいてロールまたはシートティア割り当てを制御できます。プロビジョニングモードでこれらのオプションのいずれかを選択すると、Enable group mappings が User provisioning セクション内に表示されます。
重要: グループマッピングはユーザーのロールタイプとシートティアのみを設定します。Custom ロールを持つユーザーは Claude のグループから権限を取得し、これらのグループは プロビジョニングモードが SCIM ディレクトリ同期の場合にのみ IdP から同期されます。JIT では、Organization settings > Groups でグループを作成し、ユーザーを手動で追加する必要があります。JIT で IdP グループを Custom ロールにマップしてこれを行わない場合、ログイン時にこれらのユーザーは権限がありません。Enterprise プランでのグループ管理の詳細をご覧ください。
利用可能なロールとシートティア
製品 | ロール | シートタイプ |
Team プラン | Owner、Admin、User | Premium、Standard |
シートベース Enterprise プラン | オーナー、管理者、ユーザー、カスタム | プレミアム、スタンダード |
使用量ベースのエンタープライズプラン（2つのシートタイプ付き） | オーナー、管理者、ユーザー、カスタム | Chat、Chat + Claude Code |
使用量ベースのエンタープライズプラン（シートタイプ1つ） | オーナー、管理者、ユーザー、カスタム | エンタープライズ |
コンソール | 管理者、開発者、限定開発者、請求、Claude Code ユーザー、ユーザー | — |
シートの購入またはプランのシート割り当ての調整に関する情報については、チームプランおよびエンタープライズプランのガイドをご覧ください。
ステップ 2: SCIM ディレクトリ同期をセットアップする（SCIM を使用する場合）
注：招待のみまたは JIT プロビジョニングを使用している場合は、このステップをスキップしてください。
プロビジョニングモードとして SCIM を選択した場合、有効にする前に、ID プロバイダーと Anthropic 間の接続を確立する必要があります。
Claude の組織とアクセス設定（claude.ai/admin-settings/organization）または Console のID とアクセス設定（platform.claude.com/settings/identity）に移動します。
ユーザープロビジョニングセクションで、SCIM ディレクトリ同期の横にある「SCIM をセットアップ」（または「SCIM を管理」）をクリックします。
WorkOS セットアップガイドに従って、ID プロバイダーで SCIM を設定します。WorkOS から IdP の Anthropic アプリケーションに値をコピーする必要があります。
‼️ IdP グループステップに到達したら、一時停止して、このガイドのステップ 3 と 4 を他のガイドと一緒に確認してください。
IdP 固有の JIT / SCIM セットアップ手順については、以下を参照してください：
その他の IdP についてはこちらを参照してください。
IdP が接続されたら、ステップ 3 に進みます。
ステップ 3: プロビジョニングモードを設定し、グループマッピングを有効にする
設定のユーザープロビジョニングセクションを見つけます。
選択したオプションを選択します：
招待のみ：新しいメンバーは既存メンバーによって手動で招待された場合のみ参加できます。SSO アクセスだけでは組織に追加されません。
ジャストインタイム（JIT）：SSO アクセスを持つユーザーが初回ログイン時に参加できるようにします。新しいメンバーは利用可能なシートの 1 つを使用します。
SCIM ディレクトリ同期：ディレクトリが変更されると、メンバーを自動的に追加または削除します。組織は常に最新の状態に保たれます。
「ジャストインタイム（JIT）」または「SCIM ディレクトリ同期」を選択した場合、すぐに「変更を保存」をクリックしないでください。まず、すべてのユーザーが IdP の Anthropic アプリケーションに割り当てられていることを確認する必要があります。
IdP ですべてのユーザーが割り当てられていることを確認したら、次のいずれかを実行できます：
「変更を保存」をクリックしてセットアップを完了し、初期プロビジョニングをトリガーするか、
グループマッピングを有効にするをオンにしてステップ 4 に移動します。
重要：ユーザーが適切に割り当てられる前に保存すると、それらのユーザーが組織からプロビジョニング解除されます。利用可能な場合、管理コンソールは同期が変更する内容のプレビューを表示します。これには削除されるメンバー数が含まれます。確認する前に確認し、削除数が予想より多い場合はキャンセルしてください。SCIM 同期の仕組みについて詳しく学んでください。
ステップ 4: ID プロバイダーでグループを設定し、グループをロールとシートタイプにマッピングする
割り当てたい各ロール用に IdP でグループを作成します。シートタイプ 1 つのエンタープライズプランを使用していない限り、各シートタイプ用にもグループを作成します。
これらのグループに命名要件はなくなりましたが、グループ名に何か含める（例：
anthropic-claude-またはanthropic-console-）ことをお勧めします。これにより、識別しやすくなります。
作成したグループにユーザーを追加し、少なくとも 1 人のユーザー（自分を含む）が Admin（Console）または Owner（Claude）ロールにマッピングされるグループに含まれていることを確認します。
Claude または Console の組織とアクセスまたはID とアクセス設定に戻り、ユーザープロビジョニングを見つけます。
グループマッピングを有効にするをオンにします（まだオンになっていない場合）：
グループマッピングを有効にするセクションで、各ロールの横にある「追加」をクリックし、ドロップダウンから IdP の対応するグループを選択します。
グループマッピングを使用する場合、すべてのユーザーをロールベースのグループに割り当てて、アカウントがプロビジョニングされることを確認する必要があります。ユーザーをシートティアベースのグループに割り当てることはオプションです。
IdP グループを「カスタム」ロールにマッピングできます。このロールが割り当てられたユーザーはデフォルトのアクセス許可がなく、アクセスは Claude のグループに割り当てられたカスタムロールによって完全に決定されます。JIT を使用する場合、ログイン前に組織設定 > グループでこれらのユーザーをグループに手動で追加してください。JIT は IdP からグループメンバーシップを同期しないためです。
シートタイプ 1 つのエンタープライズプラン以外のすべてのプラン：シートティアを IdP グループに割り当てるセクション（オプション）で、各シートタイプの横にある「追加」をクリックし、ドロップダウンから IdP の対応するグループを選択します。シートティアグループに含まれていないユーザーは削除されません。既存ユーザーは現在のシートタイプを保持します。新しいユーザーは、割り当てられていない購入済みシートがまだ残っている最高のシートタイプを受け取ります（例：割り当てられていない Premium シートが残っている場合は Premium、その後 Standard）。利用可能なシートがない場合は、シートなしで追加されます。
シートタイプ 1 つのエンタープライズ：シートタイプマッピングは適用されません。プロビジョニングされたすべてのユーザーには、組織で利用可能な場合、自動的に Enterprise シートが割り当てられます。
必要なすべてのグループが適切なロールとシートタイプにマッピングされていることを確認します。
「変更を保存」をクリックします。
注: Microsoft Entraは40分ごとにのみSCIM変更をプッシュするため、変更が表示されるまでに遅延が生じる可能性があります。「SCIM管理」をクリックしてディレクトリを表示することで、IdPから同期されているユーザーを確認できます。ディレクトリ内のユーザーはClaude / Consoleにプロビジョニングされます。
重要: アクセスが必要なすべてのユーザーは、グループマッピング設定を保存する前に、適切なグループに割り当てる必要があります。これらのユーザーは、SSOを有効にした時点で、IdP内のAnthropicアプリケーションに既に割り当てられている必要があります。
プライマリオーナーロールがSCIMで機能する仕組み
組織のプライマリオーナーはSCIM調整から除外されます。プライマリオーナーアカウントがIdPディレクトリに存在しない場合、またはロールにマップされたグループのメンバーでない場合、SCIMが同期するときにスキップされます。プライマリオーナーのメンバーシップとロールは保持されます。
この除外は、単一のプライマリオーナーロールにのみ適用されます。オーナーロールと管理者ロールは除外されず、ロールにマップされたグループに含まれる必要があります。そうでない場合、SCIMグループマッピングが有効になるときに削除されます。
プライマリオーナーロールはSCIMグループマッピング経由で割り当てることはできません。組織設定 > メンバーから手動で転送することのみ可能です。SCIMを有効にする前に、目的のプライマリオーナーを設定してください。
プライマリオーナーはSSOサインイン強制から除外されません。SSO強制はメールドメインで適用されます。プライマリオーナーのメールが強制ドメイン上にある場合、SSOを通じて認証する必要があります。
トラブルシューティング
ユーザーが正しく割り当てられてディレクトリに表示されているのに、Claudeのメンバーとして追加されていませんか?
組織にメンバーを追加するのに十分なシートが購入され、利用可能であることを確認してください。
組織設定 > 組織とアクセスに表示されている利用可能なシート数を確認し、必要に応じて追加シートを購入してください(チームプランおよびエンタープライズプランのガイドを参照)。
利用可能なシートを取得したら、「組織とアクセス」ページに戻り、ディレクトリ同期(SCIM)の横にある「今すぐ同期」をクリックします。これにより、まだメンバーとして追加されていないユーザーのアカウントをプロビジョニングするための同期がトリガーされます。
ユーザーが正しいロールでプロビジョニングされていません
ユーザーがIdP内の正しいグループに割り当てられていることを確認してください。
グループが組織とアクセス設定内の正しいロールにマップされていることを確認してください。
JITの場合: ロール変更を有効にするには、ユーザーはログアウトしてログバックインする必要があります。
SCIMの場合: 「同期」をクリックして即座の同期をトリガーするか、自動同期サイクルを待ってください:
カスタムロールにマップされたユーザーはログイン後に何にもアクセスできません
これは、プロビジョニングモードがJITで、IdPグループがカスタムロールにマップされている場合に発生します。JITはロールタイプを割り当てますが、IdPからグループメンバーシップを同期しないため、これらのユーザーはカスタムロールが接続されたグループに属さず、権限がありません。
これを修正するには、以下のいずれかを実行してください:
影響を受けたユーザーを組織設定 > グループ内の適切なグループに手動で追加します。エンタープライズプランでのグループ管理の詳細をご覧ください。
プロビジョニングモードをSCIMディレクトリ同期に切り替えます。これにより、IdPからグループとそのメンバーシップが同期されます。SCIM同期の仕組みの詳細をご覧ください。
グループマッピングを有効にした後、管理者/オーナーアクセスを失いました
これは、グループマッピングを設定している人が、管理者またはオーナーロールにマップされたグループに割り当てられていないため、権限がユーザーにダウングレードされた場合に発生します。
これを修正するには、以下のいずれかを実行してください:
オプション1: 別の管理者/オーナーにロールを復元してもらう
組織の別の管理者またはオーナーに連絡してください。
ロールを管理者またはオーナーに戻すよう依頼してください。
オプション2: Identity Providerで修正する
IdPで、管理者またはオーナーロールにマップされる正しいプレフィックスを持つグループに自分自身を割り当てます。
JITの場合: ログアウトしてログバックインしてアクセスを復元します。
SCIMの場合: 別の管理者またはオーナーに組織とアクセス設定で「同期」をクリックするよう依頼するか、自動同期サイクルを待ってください。