一元管理を始める

一元管理により、親組織は admin.claude.com に独自の管理コンソールを取得でき、シングルサインオン (SSO)、ディレクトリ同期、検証済みドメイン、グループなどの企業全体の設定を一箇所で管理できます。この記事では、登録時の変更内容、親組織の登録方法、およびコンソールの各部分の使用方法について説明します。

一元管理では、以下の 2 つの用語を使用します。

登録しても子組織はマージされません。各組織は独立した組織のままで、ハードなデータ境界を持ち、独自のユーザー、ロール、プロジェクトを保持します。

親組織はコンソールを実行するための 2 つの新しいロールを取得します。これらのロールは子組織の権限とは別です。

親ロールは、ユーザーを子組織に追加したり、子組織へのサインインを許可したりしません。子組織で作業する必要がある親の所有者または管理者は、他のユーザーと同じように追加する必要があります。親の所有者と管理者は、API を通じて子組織全体の構成を監査し、コンプライアンス データを表示できます。詳細については、以下の「API キー」セクションを参照してください。

これらのコントロールは既に親レベルで適用されていましたが、子組織の管理者設定から管理していました。登録後、親の所有者と管理者は親組織コンソールで、すべての組織に対してこれらを一度に管理します。

子組織の管理者は、自分の組織内のすべてを保持します。ユーザー、ロール、組織設定、および IP ホワイトリストとセッション期間などの組織レベルのセキュリティ コントロール。

一元管理により、以前は存在しなかった制御も追加されます：

詳細は複数のアイデンティティプロバイダーとドメイン分割の設定をご覧ください。

各子組織が表示および使用できるグループを選択できるグループの可用性はまだ利用できません。利用可能になるまで、すべてのEnterpriseの子組織管理者は親の下のすべてのグループを表示できます。

ベータ期間中は以下の制限が適用されます：

登録できない親組織は2種類あります：

親の下の子組織の所有者は誰でもadmin.claude.comで登録を開始できます。登録は、親組織の管理者が誰であるかについて、すべての子組織が承認する短い承認フローです。登録完了時にまだ適格である提案された全員が親組織の所有者になります。所有者は後で管理者ロールページで管理者を追加できます。

ネットワークがテナント制限を使用している場合は、誰かがセットアップを開始する前に、親組織IDを許可された組織IDのリスト（anthropic-allowed-org-idsヘッダー）に追加し、既存のIDを保持してください。親IDがない場合、そのネットワーク上の親の所有者と管理者は親コンソールを管理できません。

Claudeの組織設定 > 組織またはコンソールの設定 > 組織から親組織IDをコピーします。管理する子組織もリストに含まれている必要があります。含まれていない場合、セットアップが失敗する可能性があります。

親の下のすべての組織を管理している場合、親組織は即座に登録されます。そうでない場合、最後の承認がそれを登録します。SSO、SCIM、検証済みドメイン、およびセキュリティ設定は親に移動し、各子組織は独自のユーザー、ロール、およびプロジェクトを保持します。

提案された管理者を変更すると、すべての子組織に再度承認を求めます。組織が最後の変更から7日後にまだ承認していない場合、親の下の子組織の所有者は誰でもその代わりに承認できます。

コンソールには、親組織の各領域のページがあります。親の所有者と管理者はすべてを使用できます。

親組織の名前をここで変更します。名前は、組織スイッチャーを含む、親が名前付けされている場所に表示されます。このページで親組織IDも確認できます。

このページには、親の下のすべての子組織が、その種類（例：Claude Enterprise、Claude Team、Claude Platform）とIDとともにリストされています。

既存の組織を親の下に持ってくるには、組織をマージの下の「招待」を選択します。招待は、Claude Platform組織と検証済みドメイン上のTeamプランのセルフサービスです。Claude Enterprise組織を親の下に持ってくるには、アカウントチームに連絡してください。

このページには、親組織が検証したメールドメインが表示されます。すべての子組織がこれらのドメインを共有します。各ドメインは、選択したアイデンティティプロバイダーを通じて、または複数のプロバイダーで分割ドメインを通じてサインインします。アイデンティティプロバイダーがないドメインはSSO サインインができません。

ドメインを追加およびルーティングするには：

検証済みドメインコネクタをエンタープライズに制限をオンにして、エンタープライズ外のClaudeアカウントがGoogle Drive、Gmail、Microsoft 365、Slackなどのサポートされているコネクタを、ドメイン上のメールアドレスで接続できないようにします。

このページには、親に接続されている各SSOおよびSCIM設定が、サインインステータス、ディレクトリ同期ステータス、およびドメインとともに表示されます。1つを開いて管理します：

アイデンティティプロバイダーを追加、ルーティング、または削除する方法の詳細については、複数のアイデンティティプロバイダーと分割ドメインのセットアップを参照してください。

このページには親レベルのキーが表示され、各キーのスコープ、組織、作成者、および作成日が表示されます。キーは親組織に属し、それを作成したユーザーが削除された後もアクティブなままです。単一の子組織にスコープされたキーはここに表示されません。それらはその組織の管理者設定に留まります。

キーの上のコンプライアンス APIスイッチは、親の下のすべての組織のコンプライアンス API をオンまたはオフにします。オフの場合、既存の API キーはコンプライアンススコープを使用できません。

キーを作成

キーを作成するには、親の下に少なくとも1つの Claude Enterprise 組織が必要です。ここで作成した各キーは、親の下のすべての組織で機能します。

キーを管理

キーのアクションメニューを選択して、無効化、再度有効化、または削除します。ここで作成したキーは、組織列に親組織の名前を表示します。子組織から作成されたキーがすべての組織で機能する場合は、その組織の名前と警告アイコンが表示されます。これらのキーは引き続き機能し、ここで管理することもできます。

子組織のキー

組織ページのセキュリティで、組織の作成を制限をオンにして、検証済みドメイン上のユーザーが個人アカウントを含む新しい組織を作成できないようにします。サイドメニューのセキュリティページには、各組織の HIPAA ステータスが表示されます。

親のオーナーと管理者は、子組織の設定からではなく、ここからドメインクレームを開始することもできます。アカウントを移行する子組織を1つ選択すると、クレームはその時点で検証されたドメイン上のすべての Free、Pro、Max、および Ultra アカウントをカバーします。ユーザーはデータを持参することを選択できますが、その後サインインするにはその組織のシートが必要です。エンタープライズドメインクレームに対応する方法の詳細をご覧ください。

セッション期間はベータ期間中、各子組織に留まり、各子組織は独自の IP 許可リストを保持します。

テナント制限は既に親コンソールに適用されています。ネットワークがそれらを使用する場合は、一般ページから親組織 ID を許可された組織 ID のリストに保持してください。子組織 ID と一緒に、親の ID はそれらをカバーしないためです。

グループは同じロールを共有するユーザーの集合です。親に存在するため、1つのグループに任意の子組織でロールを付与できます。子組織の管理者は、独自の組織内でこれらのロールを割り当てます。

このページには、親組織を管理するユーザーが表示されます。"管理者を追加"を選択して、ユーザーに親ロールを付与します。