この記事では、エンタープライズ管理認証の仕組みと、管理者がアイデンティティプロバイダーまたはClaudeが発行した認証を通じて、組織のコネクターを認可する方法について説明します。エンタープライズ管理認証では、コネクターを組織全体に対して1回認可すると、チームメンバーは初回ログイン時に自動的にアクセス権を取得します。
エンタープライズ管理認証はClaudeのTeamプランとEnterpriseプランで利用可能です。IdP管理認証は一般提供中で、Claude発行認証はベータ版です。
エンタープライズ管理認証とは何ですか？
エンタープライズ管理認証は、Claude内のコネクターの認可と認証のモデルです。すべてのユーザーが各コネクターを個別に認証する代わりに、管理者がコネクターアクセスを一元的にプロビジョニングします。
各コネクターは、次の2つのアイデンティティソースのいずれかを使用します。
IdP管理: アイデンティティプロバイダーは、ClaudeとコネクターでシングルサインオンSSO)が有効になっていることに依存します。これが設定されると、IdPはユーザーをコネクターにサインインさせます。
Claude発行(ベータ版): Claudeはユーザーが誰がClaudeにサインインしたかをコネクターに示すことができ、その情報を使用して、組織に固有の発行者URLの下でコネクターに情報を提供します。アイデンティティプロバイダーやSSOは不要です。
組織のコネクターを有効にすると、チームメンバーは初回ログイン時に自動的にそれを取得します。IdP管理認証では、既存のアイデンティティプロバイダーグループとロールからアイデンティティが継承されます。Claude発行認証では、ユーザーはメールアドレスでコネクターにマッチングされます。
管理できる項目
有効にするコネクター、それらを取得するグループまたはロール、およびアクセスレベルを決定します。
組織のコネクターを1回認可すると、チームメンバーに自動的にアクセス権が付与されます。
ロールベースの権限を使用して、各コネクターを取得するロールを正確に選択し、異なるチームが自分たちの作業に適したアクセス権を取得できるようにします。下記の管理認証を取得するロールを選択するを参照してください。
メンバーがアイデンティティプロバイダーを通じて接続する際にClaudeがリクエストできる権限を選択し、個別のロールに対してさらに制限します。
アクセス権を取り消します。IdP管理認証では、アイデンティティプロバイダーでユーザーをプロビジョニング解除すると、同時にコネクターアクセスが削除されます。Claude発行認証では、Claude組織からユーザーを削除すると、Claudeはそのユーザーをサインインさせなくなります。接続されたサービスからも削除してください。
コネクターが管理認可を通じてのみ接続され、個人アカウントが仕事用ツールから除外されるようにします。
注: 各コネクターと、使用する場合はアイデンティティプロバイダーは、独自の条件の下で第三者によって運営されています。IdP管理認証では、Claudeはアイデンティティプロバイダーが発行する認可と、アクセス決定、スコーピング、各コネクターがアクセスできるデータはアイデンティティプロバイダーのポリシーと接続されたサービスの権限によって管理され、Anthropicによってではありません。Claude発行認証では、Claudeは組織の現在のメンバーのサインインに署名します。
Anthropicは、指示に従い、各メンバーのメールアドレスと一意の識別子をコネクターに送信します。Claudeは組織メンバーシップのみをチェックし、SSO、MFA、またはコネクターのサインインルールはチェックしません。アクセス決定、スコーピング、各コネクターがアクセスできるデータはClaudeの設定と接続されたサービスの権限によって管理されます。
トークンの有効期間とライフサイクルは、接続された認可サーバーと、IdP管理認証の場合はアイデンティティプロバイダーによって管理されます。コネクターのアクセストークンが期限切れになるか取り消されると、既存のセッションは終了します。
管理認証を取得するロールを選択する
コネクターのエンタープライズ管理認証を設定する場合、ロールベースの権限を設定するときに、どのロールがコネクターを継承するかを選択します。ロールベースの権限を使用して、組織全体で有効にする前に、特定のチームでコネクターをパイロットできます。
組織設定 > コネクターに移動し、コネクターを選択します。
設定タブで、管理認可の横にある「設定」をクリックします。
接続ステップで、アイデンティティソースを選択します。
IdP管理: アイデンティティプロバイダー接続を確認します。セットアップガイドに従い、アイデンティティプロバイダーでこのコネクターのエンタープライズ管理認証を設定し、コネクター自体の管理設定で管理認証を有効にします。「テストを実行」をクリックして、接続が機能することを確認します。
Claude発行: 下記のClaude発行認証を設定するのステップに従います。
ロールステップで、このコネクターを自動的に取得するユーザーを選択します。
ユーザー、管理者、オーナー、プライマリオーナー: 組織の組み込みロール(グループとして)。
個別に選択されたカスタムロール。
1つのチームでコネクターをパイロットするには、そのチームのカスタムロールのみを選択し、組み込みロールはチェックしないままにします。ユーザー、管理者、オーナー、またはプライマリオーナーロールのメンバーは、戻ってそのオプションを追加するまでコネクターを取得しません。
スコープステップで、メンバーが接続する際にClaudeがリクエストできる権限を選択します。これらは選択したすべてのロールに適用されます。特定のロールの権限を制限するには、代わりにそのロールのコネクタータブを使用します(下記を参照)。
「保存して有効にする」をクリックします。
設定後、コネクターの設定タブに現在の状態が表示されます。適用されたロールは管理認可を通じて接続するロールを一覧表示し、スコープは付与されたものを表示します。パイロットを拡張するには、適用されたロールの横にある「編集」をクリックし、「ユーザー、管理者、オーナー、プライマリオーナー」またはより多くのカスタムロールを追加します。
注: ブラウザサインインと管理認可はコネクターで同時にオンにできます。その場合、Claudeは管理認可を最初に試し、失敗した場合はユーザーに個別にサインインするよう促すため、アイデンティティプロバイダーの問題が解決されている間、メンバーはロックアウトされません。
カスタムロール内のコネクター設定
コネクターの代わりに、組織設定 > ロールのロールから開始することもできます。カスタムロールのコネクタータブで、メンバーの接続方法はそのロールのメンバーがすべてのコネクターで一度に、またはコネクターごとに認証する方法を制御します。
個別: メンバーは自分のアカウントでサインインします。
管理認可: メンバーは各コネクターに設定されたアイデンティティソースを通じて接続します。
コネクターごとに設定: 各コネクターについて個別に選択します。
Claude発行認証を使用する
Claude発行認証では、Claudeは署名されたアサーションをコネクターに送信し、組織に固有の発行者URLの下で送信します。接続されたサービスはこのURLを使用して、Claudeが組織の現在のメンバーのサインインに署名したことを確認するため、サービスはそれを信頼できる発行者としてリストする必要があります。
アイデンティティプロバイダーやSSOは不要ですが、Claude組織にSSOを強制することをお勧めします。Claudeは組織メンバーシップのみをチェックし、SSO、MFA、またはコネクターのサインインルールはチェックしません。
注: Claude発行認証はベータ版です。
開始する前に
サポートされているコネクター: Claude発行認証をサポートするプロバイダーのコネクターのみがそれを使用できます。下記のコネクターを参照してください。
接続されたサービスの管理者: ワークスペースに信頼できる発行者を追加できる人が必要です。これはあなたかもしれません。
メールアドレスのマッチング: ユーザーはメールでマッチングされるため、各ユーザーのClaudeメールは接続されたサービスのアカウントのメールと一致する必要があります。
プロバイダー独自の要件: 一部のプロバイダーは、プロバイダー側のSSOなど、独自の要件があります。プロバイダーのセットアップガイドを確認してください。
各コネクターは一度に1つのアイデンティティソースを使用します。後で同じセットアップ画面で切り替えることができます。
Claude発行認証を設定する
各コネクターに対してClaude発行認証を1回設定します。
組織設定 > コネクターに移動し、コネクターを選択します。
設定タブで、管理認可の横にある「設定」をクリックします。
接続ステップで、アイデンティティソースの下で「Claude発行」を選択します。
発行者URLをコピーします。
接続されたサービスの管理コンソールで、URLをワークスペースの信頼できる発行者として追加します。接続ステップからリンクされているプロバイダーのセットアップガイドに従います。そのサービスの管理者でない場合は、URLとガイドを管理者と共有してください。
接続されたサービスがワークスペースまたはテナントIDを提供する場合は、Claudeのテナントフィールドに貼り付けます。
Claudeに戻り、「接続をテストする」をクリックして接続テストを実行し、「有効にして続行」をクリックします。
コネクターを取得するユーザーを選択します。すべてのロールがデフォルトで取得します。
テストが失敗した場合は、発行者URLが正しいワークスペースで信頼されていること、テナントIDが正しいこと、ワークスペースにメールアドレスのアカウントがあることを確認してください。
Claude発行認証をオフにするには、コネクターの管理認可設定を開き、「無効にする」を選択します。ユーザーはサービスに自分で接続します。
ユーザーに表示される内容
コネクターはユーザーが初めて必要とする時点で既に接続されており、サインインページまたは同意画面はありません。メールが接続されたサービスのアカウントと一致しないユーザーは自動的に接続されず、通常の接続プロンプトが表示されます。
コネクターを組織に発表する前に、2〜3人のユーザーに接続されていることを確認し、実際のリクエストを実行するよう依頼してください。
誰かが組織を離れるとき
Claudeは組織の現在のメンバーのみに署名します。ユーザーを削除すると、Claudeは接続されたサービスへのサインインを停止しますが、サービスで既に付与されたアクセス権は期限切れになるまで続きます。メールアドレスが再利用される前に、各接続されたサービスからユーザーを削除するか、そのアドレスを持つ新しいユーザーが古いアカウントにサインインされる可能性があります。
ディレクトリ同期(SCIM)を使用する場合は、その人がメンバーリストに表示されなくなったことを確認してください。Claudeはディレクトリが削除したときにメンバーを削除しますが、ディレクトリが一時停止または非アクティブとしてマークした場合は削除しません。
エンタープライズ管理認証で機能するもの
エンタープライズ管理認証は、チームが日常的に使用するコネクターで機能します。IdP管理認証では、アイデンティティプロバイダーがアクセス権を持つユーザーを制御します。Claude発行認証では、Claudeは組織の現在のメンバーをサインインさせます。
アイデンティティプロバイダー
IdP管理認証には、サポートされているアイデンティティプロバイダーとのSSOが必要です。Oktaはサポートされており、より多くのアイデンティティプロバイダーが近日中に提供される予定です。詳細については、Oktaのドキュメントを参照してください。
Claude発行認証はアイデンティティプロバイダーを使用しないため、アイデンティティプロバイダーのセットアップは不要です。
コネクター
現在、エンタープライズ管理認証を通じてこれらのコネクターをプロビジョニングできます。
Amplitude(Amplitudeのドキュメントを参照)
Apollo.io(Apolloのドキュメントを参照)
Asana(Asanaのドキュメントを参照)
Atlassian(Atlassianのドキュメントを参照)
Canva(Canvaのドキュメントを参照)
Crossbeam(Crossbeamのドキュメントを参照)
Datadog(Datadogのドキュメントを参照)
Dropbox(Dropboxのドキュメントを参照)
Figma(Figmaのドキュメントを参照)
Granola(Granolaのドキュメントを参照)
HubSpot(HubSpotのドキュメントを参照)
Linear(Linearのドキュメントを参照)
Lovable(Lovableのドキュメントを参照)
Mixpanel(Mixpanelのドキュメントを参照)
Monday.com(Mondayのドキュメントを参照)
Notion(Notionのドキュメントを参照)
PagerDuty(PagerDutyのドキュメントを参照)
Semrush(Semrushのドキュメントを参照)
Slack(Slackのドキュメントを参照)
Supabase(Supabaseのドキュメントを参照)
ブロック解除
Claude発行認証は、プロバイダーがそれをサポートするコネクターでのみ機能します。ベータ版には、Amplitude、Apollo.io、Atlassian、Datadog、Dropbox、Figma、Granola、HubSpot、Linear、Mixpanel、Notion、PagerDuty、Semrush、およびSupabaseが含まれます。
すべてのMCPプロバイダーはエンタープライズ管理認証のサポートを追加できます。詳細については、エンタープライズ管理認可を参照してください。
個人用コネクター
チームは、プロビジョニングしたものの上に個人用コネクターを追加できます。エンタープライズ管理認証は組織に対して有効にするコネクターを処理し、個人は自分の使用のために追加のサービスを接続できます。