このガイドの対象： Claudeはメールアドレスをプライマリ識別子として使用し、SSO ログインをプロビジョニング済みシートにマッチングします。Microsoft Entra IDでは、SCIMプロビジョニングとSSO認証が別々の場所で設定されており、異なるユーザー属性からメールアドレスを取得する可能性があります。これにより、メールアドレスの不一致が発生してアクセスがブロックされることがあります。このガイドでは、問題を特定する方法、属性マッピングを修正する方法、および副作用をクリーンアップする方法について説明します。

症状

ユーザーがSSO経由でClaude for Enterpriseにアクセスしようとする際に、以下の1つ以上の症状が発生する可能性があります：

「アカウント作成がブロックされています」 — ユーザーはSSO経由で認証されますが、Claudeはマッチングするプロビジョニング済みアカウントを見つけることができません。組織の作成が制限されている場合（推奨）、ユーザーは完全にブロックされます。
無料の個人アカウントにランディング — 組織の作成が制限されていない場合、ユーザーはエンタープライズ組織をバイパスして、無料の個人アカウントを作成するか、そこにランディングします。
「メールアドレスを確認してください」の不一致 — SSO コールバックに表示されるメールアドレスが、ユーザーがログイン時に入力したメールアドレスと異なります。
Claude Code認証エラー — Claude Code CLIが認証フロー中にメールアドレスの不一致エラーを表示します。

これが発生する仕組み

Microsoft Entra IDのユーザーアカウントには、異なる値を保持できる複数のメールのような属性があります。SCIMプロビジョニングとSSO認証は別々の管理者エリアで設定され、それぞれが異なる属性から取得できます：

Entra属性	典型的な値	一般的に使用される場所
userPrincipalName	`[email protected]`（従業員ID形式の場合もあります）	デフォルトのSCIM userNameマッピング
mail	`[email protected]`（標準メール）	OIDC / SAMLメールクレーム
proxyAddresses	`SMTP:[email protected]`	Exchange / M365プライマリアドレス
otherMails	エイリアスまたはセカンダリアドレスが含まれる場合があります	代替連絡先メール

不一致は、SCIMが1つの属性からメールアドレスを取得し、SSO が別の属性からメールアドレスを送信する場合に発生します。わずかな違いでもアクセスがブロックされます。Claudeは完全な文字列一致を必要とします。

よくある混乱： Entraには2つの別々の管理者エリアがあります。SCIMプロビジョニングアプリはエンタープライズアプリケーションの下にあります。SSO/OIDCアプリはアプリ登録の下にあります。IT管理者は頻繁に間違った場所に移動します。

診断手順

ステップ1 — 不一致を確認する

SCIMメールアドレスを確認する： Entra管理センター → エンタープライズアプリケーション → [Claude SCIMアプリ] → プロビジョニング → プロビジョニングログで、最近プロビジョニングされたユーザーを見つけて、変更された属性を確認します。emails[type eq "work"].valueにマッピングされた値が、SCIMがClaudeに送信したものです。
SSO メールアドレスを確認する： エンタープライズアプリケーション → [Claudeアプリ] → シングルサインオン → 属性とクレームでメールクレームを見つけます。OIDCアプリの場合は、アプリ登録 → [Claudeアプリ] → トークン設定を確認します。
2つのソース属性が異なるフィールドを指している場合、不一致が確認されました。

ステップ2 — 範囲を特定する

ほとんどまたはすべてのプロビジョニング済みユーザーが同じ形式の不一致を共有している場合、これはシステム的な属性マッピングの問題です。修正はSCIM属性マッピング設定にあります。
1～2人のユーザーのみが影響を受けている場合は、Entraでそのユーザープロファイルを直接確認してください。