このガイドでは、ClaudeまたはClaude Consoleの組織に対してユーザープロビジョニングとロール割り当てを設定する方法について説明します。
JITプロビジョニングはTeamプラン、Enterpriseプラン、およびConsole組織で利用できます。SCIMプロビジョニングはEnterpriseおよびConsole組織でのみ利用できます。
開始する前に: このガイドでは、シングルサインオン(SSO)の設定（ドメイン検証とIdentity Provider(IdP)でのSSO設定を含む）が既に完了していること、およびAdmin(Console)またはOwner(Claude)ロールを持っていることを前提としています。
ステップ1: プロビジョニングモードを選択する
SSOが設定されたら、ユーザーが組織にプロビジョニングされる方法を決定する必要があります。これはOrganization settings > Organization and accessのUser provisioningセクションで制御されます。
プロビジョニングオプション
招待のみがデフォルトです。ユーザーはClaudeまたはConsoleの設定で直接追加および削除されます。
Just-in-time(JIT): Anthropic IdPアプリに割り当てられたユーザーは、初回ログイン時に自動的にプロビジョニングされます。このオプションはすべてのプランで利用できます。
SCIMディレクトリ同期: ユーザーはIdPの割り当てに基づいて自動的にプロビジョニングおよびデプロビジョニングされ、事前にログインする必要はありません。SCIMはEnterpriseプランおよび独自の親組織を持つか、Enterprise親組織に参加しているConsole組織で利用できます。SCIMはTeamプランまたはTeamプランの親組織に参加しているConsole組織では利用できません。
SCIMディレクトリ同期がオンの場合、Claudeは新しくプロビジョニングされた各メンバーにウェルカムメールを送信します。これをオフにするには、OwnerおよびPrimary OwnerがOrganization settings > Organization and access > User provisioningに移動し、SCIM directory syncを見つけて、「新しいメンバーにウェルカムメールを送信する」をオフにします。
注: Claudeは、顧客管理暗号化キー(CMEK)、HIPAA、FERPAなどの追加のデータ処理またはコンプライアンス要件を持つ組織にはこのウェルカムメールを送信しないため、これらの組織には設定が表示されません。変更は保存後にプロビジョニングされたメンバーに適用され、既に送信されたメールは配信されたままになります。
プロビジョニング動作の概要
この表を使用して、組織に適したプロビジョニングモードを決定するのに役立てください:
モード | プロビジョニング | ロールとシートタイプの変更 | 削除 |
招待のみ | ユーザーは手動で追加されます | ロールとシートタイプは手動で変更されます | ユーザーは手動で削除されます |
Just-in-time(JIT) | IdPアプリに割り当てられたユーザーはログイン時にUserロールでプロビジョニングされます | ロールとシートタイプは手動で変更されます | 手動削除が必要です。JITはメンバーを自動的に削除することはありません。IdPアプリからユーザーの割り当てを解除すると、ログインできなくなりますが、メンバーリストに残り、管理者が削除するまでシートを保持します。 |
JIT + グループマッピング | 少なくとも1つのマップされたグループに属するユーザーは、ログイン時にグループメンバーシップから最も高い権限を持つロールでプロビジョニングされます | ロールとシートタイプは次のログイン時にグループメンバーシップに基づいて更新されます | ほぼ手動です。マップされたすべてのグループから削除されたが、アプリに割り当てられたままのユーザーは、次回ログイン時に組織から削除されます。アプリから完全に割り当てを解除されたユーザーはログインできなくなりますが、メンバーリストに残り、管理者が削除するまでシートを保持します。 |
SCIMディレクトリ同期 | IdPアプリに割り当てられたユーザーは、親組織に参加しているすべての組織に自動的にプロビジョニングされます。 | ロールとシートタイプは手動で変更されます | IdPアプリから削除されたユーザーは自動的に削除されます |
SCIM + グループマッピング | 少なくとも1つのマップされたグループに属するユーザーは、そのグループが追加された親組織に参加している組織にのみ、適切なロールで自動的にプロビジョニングされます。 | ロールとシートタイプの変更はグループメンバーシップに基づいて自動的に伝播されます | グループアクセスが取り消されたときの自動削除 |
注: JITユーザーを永続的に削除するには、Claudeで削除し、IdPで割り当てを解除します。Claudeでのみ削除したユーザーは、次回SSOでログインするときに再度追加されます。
JITとSCIMの両方をグループマッピングを有効にすると組み合わせて、IdPグループメンバーシップに基づいてロールまたはシートティアの割り当てを制御できます。プロビジョニングモードでこれらのオプションのいずれかを選択した場合、グループマッピングを有効にするはUser provisioningセクション内に表示されます:
重要: グループマッピングはユーザーのロールタイプとシートティアのみを設定します。Customロールを持つユーザーは、Claudeのグループから権限を取得し、これらのグループはプロビジョニングモードがSCIMディレクトリ同期の場合にのみIdPから同期されます。JITの場合、Organization settings > Groupsでグループを作成し、ユーザーを手動で追加する必要があります。JITでIdPグループをCustomロールにマップしてこれを行わない場合、ログイン時にこれらのユーザーは権限がありません。Enterpriseプランでのグループ管理の詳細をご覧ください。
利用可能なロールとシートティア
製品 | ロール | シートタイプ |
Teamプラン | Owner、Admin、User | Premium、Standard |
シートベースのEnterpriseプラン | Owner、Admin、User、Custom | プレミアム、スタンダード |
使用量ベースのエンタープライズプラン（2つのシートタイプ付き） | オーナー、管理者、ユーザー、カスタム | チャット、チャット + Claude Code |
使用量ベースのエンタープライズプラン（単一シートタイプ） | オーナー、管理者、ユーザー、カスタム | エンタープライズ |
コンソール | 管理者、開発者、限定開発者、請求、Claude Code ユーザー、ユーザー | — |
シートの購入またはプランのシート割り当ての調整に関する情報については、チームプランおよびエンタープライズプランのガイドをご覧ください。
ステップ 2: SCIM ディレクトリ同期をセットアップする（SCIM を使用する場合）
注： 招待のみまたは JIT プロビジョニングを使用している場合は、このステップをスキップしてください。
プロビジョニングモードとして SCIM を選択した場合、有効にする前に、Identity Provider と Anthropic 間の接続を確立する必要があります。
Claude の組織とアクセス設定（claude.ai/admin-settings/organization）または Console のID とアクセス設定（platform.claude.com/settings/identity）に移動します。
ユーザープロビジョニングセクションで、SCIM ディレクトリ同期の横にある「SCIM をセットアップ」（または「SCIM を管理」）をクリックします。
WorkOS セットアップガイドに従って、Identity Provider で SCIM を設定します。WorkOS から IdP の Anthropic アプリケーションに値をコピーする必要があります。
‼️ IdP グループステップに到達したら、一時停止して、このガイドのステップ 3 と 4 を他のガイドと一緒に確認してください。
IdP 固有の JIT / SCIM セットアップ手順については、以下を参照してください：
その他の IdP についてはこちらを参照してください。
IdP が接続されたら、ステップ 3 に進みます。
ステップ 3: プロビジョニングモードを設定し、グループマッピングを有効にする
設定のユーザープロビジョニングセクションを見つけます。
選択したオプションを選択します：
招待のみ：新しいメンバーは既存メンバーによって手動で招待された場合にのみ参加できます。SSO アクセスだけでは組織に追加されません。
ジャストインタイム（JIT）：SSO アクセスを持つユーザーが初回ログイン時に参加できるようにします。新しいメンバーは利用可能なシートの 1 つを使用します。
SCIM ディレクトリ同期：ディレクトリが変更されると、メンバーを自動的に追加または削除します。組織は常に最新の状態に保たれます。
「ジャストインタイム（JIT）」または「SCIM ディレクトリ同期」を選択した場合は、まだ「変更を保存」をクリックしないでください。まず、すべてのユーザーが IdP の Anthropic アプリケーションに割り当てられていることを確認してください。保存時に割り当てられていないユーザーは、組織からプロビジョニング解除されます。
IdP ですべてのユーザーが割り当てられていることを確認したら、次のいずれかを選択します：
「変更を保存」をクリックしてセットアップを完了し、初期プロビジョニングをトリガーします。利用可能な場合、管理コンソールは同期が適用される前に変更内容のプレビューを表示します。これには削除されるユーザー数も含まれます。確認する前に確認し、削除数が予想より多い場合はキャンセルしてください。SCIM 同期の仕組みについて詳しく学びます。
グループマッピングを有効にするをオンにして、ステップ 4 に進みます。エンタープライズプランを使用していて、IdP グループを SCIM で「カスタム」ロールにマップする予定がある場合は、まず次のセクションの手順に従ってください。
SCIM グループマッピングでカスタムロールを使用する（エンタープライズプラン）
IdP グループは最初の SCIM 同期実行後にのみ Claude に表示されるため、事前にカスタムロールに割り当てることはできません。同期されたグループがカスタムロールに割り当てられるまで、「カスタム」にマップされたグループ内のユーザーには権限がありません。権限が必要な機能はグレーアウトまたは非表示になり、Claude Code サインインは失敗します。これを回避するには、SCIM を 2 回に分けてセットアップします：
グループマッピングを有効にするをオフにして「変更を保存」をクリックし、初期同期が完了するまで待ちます。
組織設定 > ロールに移動し、同期されたグループをカスタムロールに割り当てます。グループがまだ表示されていない場合は、組織設定 > グループで「更新を確認」をクリックし、グループのみを同期します。
ユーザープロビジョニングに戻り、グループマッピングを有効にするをオンにして、ステップ 4 に進みます。
エンタープライズプランでロールベースの権限をセットアップする方法について詳しく学びます。
ステップ 4: Identity Provider でグループを設定し、グループをロールとシートタイプにマップする
割り当てたい各ロール用に IdP でグループを作成します。単一シートのエンタープライズプランを使用していない限り、各シートタイプ用にもグループを作成します。
これらのグループに命名要件はなくなりましたが、グループ名に何か含める（例：
anthropic-claude-またはanthropic-console-）ことをお勧めします。これにより、識別しやすくなります。
作成したグループにユーザーを追加し、少なくとも 1 人のユーザー（自分を含む）が Admin（Console）または Owner（Claude）ロールにマップされるグループに含まれていることを確認します。
Claude または Console の組織とアクセスまたはID とアクセス設定に戻り、ユーザープロビジョニングを見つけます。
グループマッピングを有効にするをオンにします（まだオンになっていない場合）：
グループマッピングを有効にするセクションで、各ロールの横にある「追加」をクリックし、ドロップダウンから IdP の対応するグループを選択します。
グループマッピングを使用する場合、アカウントがプロビジョニングされることを確認するために、すべてのユーザーをロールベースのグループに割り当てる必要があります。シートティアベースのグループへのユーザー割り当ては任意です。
IdP グループを「カスタム」ロールにマップできます。このロールが割り当てられたユーザーにはデフォルトのアクセス許可がなく、アクセスは Claude 内のグループに割り当てられたカスタムロールによってのみ決定されます。JIT を使用する場合は、JIT が IdP からグループメンバーシップを同期しないため、ユーザーがログインする前に 組織設定 > グループ でこれらのユーザーをグループに手動で追加してください。
シングルシート Enterprise を除くすべてのプラン: IdP グループにシートティアを割り当てるセクション（オプション）で、各シートタイプの横にある「追加」をクリックし、IdP から対応するグループを選択します。シートティアグループに属していないユーザーは削除されません。既存ユーザーは現在のシートタイプを保持します。新規ユーザーは、未割り当ての購入済みシートがまだ残っている最高のシートタイプ（例：Premium の未割り当てシートが残っている場合は Premium、その後 Standard）を受け取り、利用可能なシートがない場合はシートなしで追加されます。
シングルシート Enterprise の場合: シートタイプマッピングは適用されません。プロビジョニングされたすべてのユーザーには、組織で利用可能な Enterprise シートが自動的に割り当てられます。
必要なすべてのグループが適切なロールとシートタイプにマップされていることを確認してください。
「変更を保存」をクリックします。
注: Microsoft Entra は SCIM の変更を 40 分ごとにプッシュするため、変更が表示されるまでに遅延が生じる可能性があります。「SCIM を管理」をクリックしてディレクトリを表示することで、IdP から同期されているユーザーを確認できます。ディレクトリ内のこれらのユーザーは Claude / Console にプロビジョニングされます。
重要: アクセスが必要なすべてのユーザーは、グループマッピング設定を保存する前に、適切なグループに割り当てられている必要があります。これらのユーザーは、SSO を有効にした時点で IdP 内の Anthropic アプリケーションに既に割り当てられている必要があります。
プライマリオーナーロールが SCIM で機能する方法
組織のプライマリオーナーは SCIM 調整から除外されます。プライマリオーナーアカウントが IdP ディレクトリに存在しない場合、またはロールにマップされたグループのメンバーでない場合、SCIM が同期するときにスキップされます。プライマリオーナーのメンバーシップとロールは保持されます。
この除外はシングルプライマリオーナーロールにのみ適用されます。オーナーロールと管理者ロールは 除外されず、ロールにマップされたグループに 含まれている必要があります。そうでない場合、SCIM グループマッピングが有効になると削除されます。
プライマリオーナーロールは SCIM グループマッピング経由で割り当てることはできません。組織設定 > メンバーから手動で転送することのみできます。SCIM を有効にする前に、目的のプライマリオーナーを設定してください。
プライマリオーナーは SSO サインイン強制から除外されません。SSO 強制はメールドメインで適用されます。プライマリオーナーのメールが強制ドメイン上にある場合、SSO 経由で認証する必要があります。
トラブルシューティング
ユーザーが正しく割り当てられてディレクトリに表示されているが、Claude にメンバーとして追加されていない場合
組織にメンバーを追加するのに十分なシートが購入され、利用可能であることを確認してください。
組織設定 > 組織とアクセスに表示されている利用可能なシート数を確認し、必要に応じて追加シートを購入してください（Team プランとEnterprise プランのガイドを参照）。
利用可能なシートがある場合は、「組織とアクセス」ページに戻り、ディレクトリ同期（SCIM）の横にある「今すぐ同期」をクリックします。これにより、まだメンバーとして追加されていないユーザーのアカウントをプロビジョニングするための同期がトリガーされます。
ユーザーが正しいロールでプロビジョニングされていない場合
ユーザーが IdP 内の正しいグループに割り当てられていることを確認してください。
グループが 組織とアクセス設定内の正しいロールにマップされていることを確認してください。
JIT の場合: ロール変更を有効にするには、ユーザーはログアウトしてからログバックインする必要があります。
SCIM の場合: 「同期」をクリックして即座に同期をトリガーするか、自動同期サイクルを待ってください：
カスタムロールにマップされたユーザーがログイン後に何にもアクセスできない場合
これは、プロビジョニングモードが JIT で、IdP グループがカスタムロールにマップされている場合に発生します。JIT はロールタイプを割り当てますが、IdP からグループメンバーシップを同期しないため、これらのユーザーはカスタムロールが付加されたグループに属さず、アクセス許可がありません。
これを修正するには、以下のいずれかを実行してください：
影響を受けたユーザーを 組織設定 > グループで適切なグループに手動で追加します。Enterprise プランでのグループ管理の詳細をご覧ください。
プロビジョニングモードを SCIM ディレクトリ同期に切り替えます。これにより、IdP からグループとそのメンバーシップが同期されます。SCIM 同期の仕組みの詳細をご覧ください。
グループマッピングを有効にした後、管理者/オーナーアクセスが失われた場合
これは、グループマッピングを設定している人が、管理者またはオーナーロールにマップされたグループに割り当てられていない場合に発生し、そのアクセス許可がユーザーにダウングレードされます。
これを修正するには、以下のいずれかを実行してください：
オプション 1: 別の管理者/オーナーにロールを復元してもらう
組織の別の管理者またはオーナーに連絡してください。
彼らにあなたのロールを管理者またはオーナーに戻すよう依頼してください。
オプション 2: Identity Provider 経由で修正
IdP で、管理者またはオーナーロールにマップされる正しいプレフィックスを持つグループに自分自身を割り当ててください。
JIT の場合: ログアウトしてからログバックインしてアクセスを復元してください。
SCIM の場合: 別の管理者またはオーナーに 組織とアクセス設定で「同期」をクリックするよう依頼するか、自動同期サイクルを待ってください。