O logon único está disponível para planos Team, planos Enterprise e organizações Console.
Este guia aborda as etapas para configurar SSO para planos Team e Enterprise e organizações Claude Console.
Etapa 1: Revisar pré-requisitos e considerações importantes
Antes de prosseguir com a configuração de SSO, conclua o seguinte:
Revise o guia de considerações: Leia Considerações importantes antes de ativar logon único (SSO) e provisionamento JIT/SCIM para entender organizações pai, determinar seu caminho de configuração e concluir quaisquer etapas de pré-requisito, como mesclar organizações.
Confirme que você tem a função necessária:
Para planos Team ou Enterprise: Você deve ser um Proprietário ou Proprietário Principal
Para Claude Console: Você deve ser um Administrador
Confirme que você tem acesso ao seguinte:
Configurações de DNS para o domínio de endereço de e-mail da sua empresa
Provedor de Identidade (IdP) de SSO da sua empresa usado para fazer login em aplicativos de terceiros (por exemplo, Okta, Google Workspace, etc.)
Entre em contato com o Administrador de TI da sua organização se você não tiver permissões para gerenciar Claude ou configurações de DNS da empresa.
Observação: WorkOS é o provedor da Anthropic para verificação de domínio e configuração de SSO. Mais detalhes podem ser encontrados na Lista de Subprocessadores da Anthropic. Você será levado por um fluxo de configuração do WorkOS ao configurar SSO e recursos de provisionamento—encontre seu Provedor de Identidade na documentação de Integração.
Etapa 2: Verificar seu(s) domínio(s)
A verificação de domínio prova que você é proprietário do domínio da sua empresa. Após verificado, você pode configurar SSO para contas com o domínio da sua empresa.
Você pode verificar vários domínios para uma única organização, mas todos os domínios devem ser gerenciados por um único IdP. Não oferecemos suporte para verificar domínios de IdPs separados dentro da mesma organização.
Observação: Verificar seu domínio por si só não afetará a capacidade dos usuários existentes de acessar nossos produtos. O acesso dos usuários finais é afetado apenas após a configuração de SSO e sua aplicação explícita.
Navegue até suas configurações de Organização e acesso no Claude (claude.ai/admin-settings/organization) ou suas configurações de Identidade e acesso no Console (platform.claude.com/settings/identity) – observe que esta página só aparecerá no Console se você trabalhou com Vendas para ativar SSO ou concluiu uma proposta de mesclagem.
Na seção Domínios, clique em "Adicionar ou editar domínios".
Digite o(s) domínio(s) que deseja verificar na modal Atualizar domínios de e-mail da organização e clique no botão "+":
Clique em "Salvar" quando terminar de adicionar domínios.
O(s) domínio(s) que você adicionou agora aparecerá na seção Domínios; clique em "Verificar" à direita do(s) domínio(s) para iniciar o processo de verificação.
Digite seu domínio na caixa de texto e clique em "Continuar":
A tela de configuração exibe um registro TXT. Copie o Valor completo usando o botão de cópia—ele começa com
anthropic-domain-verification-e é mais longo do que o que está visível na caixa. No seu provedor de DNS, adicione um registro TXT com Host/Nome definido como@(a raiz do seu domínio) e Valor definido como a string copiada. Adicione-o junto com quaisquer registros TXT existentes; não os substitua. O valor diferencia maiúsculas de minúsculas, portanto, cole-o exatamente.Importante: Salve o valor TXT antes de sair da tela de configuração. Após o domínio aparecer como Pendente, o console de administração não exibe o valor novamente. Se você o perder, precisará remover e re-adicionar o domínio, o que gera um novo valor.
Aguarde 10 minutos para que sua alteração de DNS se propague.
Observação: As alterações de DNS podem levar 24-48 horas para se propagar globalmente.
Quando você vir o selo verde "Verificado", você pode fechar a página de instruções.
Se seu domínio aparecer como "Pendente", use o botão "Atualizar".
Se seu domínio permanecer Pendente
Clicar em "Atualizar" verifica novamente seu DNS; ele não mostrará Verificado até que o registro TXT publicado corresponda exatamente ao valor esperado. Se permanecer Pendente após a propagação do DNS, verifique o seguinte:
O registro existe na raiz. Procure os registros TXT do seu domínio com uma ferramenta como DNSChecker e confirme que um registro começando com
anthropic-domain-verification-aparece paraseudominio.com(nãowww.seudominio.comou outro subdomínio). Se não aparecer, o registro pode ter sido adicionado no host errado ou ainda não se propagou.O valor corresponde exatamente. A verificação diferencia maiúsculas de minúsculas e requer a string completa, incluindo o prefixo
anthropic-domain-verification-…=. Uma única diferença de caractere o manterá Pendente.Você não removeu e re-adicionou o domínio. Cada re-adição gera um novo valor de verificação. Se você re-adicionou o domínio após publicar o registro TXT, o valor publicado não corresponde mais—você precisará atualizar o registro de DNS com o novo valor.
Se o registro estiver correto e propagado, mas o status ainda mostrar Pendente, entre em contato com o Suporte.
Observação: Após seu domínio ser verificado, você verá um toggle Restringir criação de organização em Segurança na página de configurações de organização Organização e acesso. Ative-o se desejar impedir que usuários criem novas organizações Claude ou Console—incluindo contas pessoais—usando seus domínios verificados.
Etapa 3: Configurar SSO com seu Provedor de Identidade
Navegue até suas configurações de Organização e acesso no Claude (claude.ai/admin-settings/organization) ou suas configurações de Identidade e acesso no Console (platform.claude.com/settings/identity).
Na seção Autenticação, clique em "Configurar SSO" (ou "Gerenciar SSO").
Siga o guia de configuração fornecido para seu Provedor de Identidade (veja abaixo para guias adicionais).
Ao final dessas etapas, você será solicitado a Testar Logon Único para confirmar que não há erros e a configuração é bem-sucedida.
Após concluir, navegue de volta para a página de configurações de Organização e acesso para mais opções de configuração.
Importante: A aplicação de SSO pode resultar em usuários não conseguindo fazer login se não forem atribuídos corretamente ao aplicativo Anthropic no IdP. Se você tiver mais de uma organização Claude/Console conectada à sua "organização pai", você pode querer considerar criar um Grupo IdP único para cada uma. Para mais informações, consulte ativar mapeamentos de grupo.
Para instruções de configuração específicas do IdP, consulte:
Etapa 4: Escolher exigir SSO
Agora você pode escolher ativar Exigir SSO para Console e/ou Exigir SSO para Claude na página Organização e acesso, na seção Autenticação:
Quando SSO é obrigatório, os usuários devem usar a opção "Continuar com SSO" para fazer login em suas contas Claude/Console. Quando SSO não é obrigatório, eles terão a opção de escolher "Continuar com SSO" ou "Continuar com e-mail".
Antes de decidir, revise O que acontece com usuários existentes quando SSO é ativado.
Etapa 5: Escolher sua abordagem de provisionamento
Após SSO ser ativado, você precisa decidir como os usuários serão adicionados à sua organização escolhendo uma opção na seção Provisionamento de usuário de suas configurações de Organização e acesso.
Apenas convite é o padrão. Os usuários são adicionados e removidos diretamente em suas configurações Claude ou Console. Consulte Gerenciar membros em planos Team e Enterprise.
Provisionamento Just-in-Time (JIT) pode ser ativado para provisionar usuários automaticamente quando fizerem login pela primeira vez. Por padrão, os usuários atribuídos ao seu aplicativo IdP Anthropic no primeiro login receberão a função de Usuário. Esta é a opção automatizada mais simples e não requer configuração adicional além de selecionar "Just-in-Time (JIT)" como seu modo de provisionamento.
Ativar mapeamentos de grupo - quando configurar recursos de provisionamento adicionais
Para mais controle sobre provisionamento, consulte Configurar provisionamento JIT ou SCIM. Você vai querer revisar este guia se precisar:
Atribuir automaticamente funções ou níveis de assento com base na associação de grupo IdP.
Usar sincronização de diretório SCIM para provisionamento e desprovisionamento automático.
Gerenciar acesso em várias organizações (por exemplo, se você tiver uma organização Team/Enterprise e uma organização Console vinculadas ao mesmo pai e precisar controlar quais usuários são provisionados para cada uma).
Observação: Atualmente não oferecemos suporte para login iniciado por IdP para organizações Claude Console que compartilham configurações de SSO com uma organização de plano Team ou Enterprise. Os usuários serão redirecionados para claude.ai com login iniciado por IdP. Como alternativa, se possível em seu IdP, crie um marcador chamado "Claude Console" que vincula a platform.claude.com/login?sso=true para redirecionar usuários para Console para login iniciado por SP.
Atualizando seu certificado de SSO
Quando o certificado de assinatura X.509 do seu Provedor de Identidade expirar ou for rotacionado, você precisará atualizá-lo no Claude ou Console para manter a funcionalidade de SSO.
Navegue até suas configurações:
Para planos Team e Enterprise: claude.ai/admin-settings/organization
Para Claude Console: platform.claude.com/settings/identity
Na seção Autenticação, clique em "Gerenciar SSO".
Encontre a seção Configuração de Metadados e clique em "Editar".
Atualize suas informações de certificado e salve suas alterações.
Clique em "Testar login" na mesma página para confirmar que tudo está funcionando.
Desativar SSO
Você pode desativar Exigir SSO para Claude ou Exigir SSO para Console a qualquer momento. Isso tornará SSO opcional para todos os usuários.
Para desconectar totalmente SSO, clique em "Gerenciar SSO" e depois em "Redefinir conexão". Isso encerrará as sessões de todos os usuários e exigirá que eles façam login novamente por meio do link de login por e-mail.