Что это охватывает: Claude использует электронную почту в качестве основного идентификатора для сопоставления входов SSO с подготовленными местами. В Microsoft Entra ID подготовка SCIM и аутентификация SSO настраиваются в отдельных местах и могут извлекать электронную почту из разных атрибутов пользователя — что вызывает несоответствие, блокирующее доступ. Это руководство описывает, как определить проблему, исправить сопоставление атрибутов и очистить любые побочные эффекты.
Симптомы
При попытке доступа к Claude for Enterprise через SSO пользователи могут столкнуться с одним или несколькими из следующих:
«Создание учетной записи заблокировано» — пользователь проходит аутентификацию через SSO, но Claude не может найти соответствующую подготовленную учетную запись. Если создание организации ограничено (рекомендуется), пользователь полностью заблокирован.
Переход на бесплатную личную учетную запись — если создание организации не ограничено, пользователь обходит корпоративную организацию и создает или переходит на бесплатную личную учетную запись.
Несоответствие «Пожалуйста, подтвердите вашу электронную почту» — обратный вызов SSO показывает другую электронную почту, чем та, которую пользователь ввел при входе.
Ошибка аутентификации Claude Code — Claude Code CLI показывает ошибку несоответствия электронной почты во время потока аутентификации.
Как это происходит
Учетные записи пользователей Microsoft Entra ID имеют несколько похожих на электронную почту атрибутов, которые могут содержать разные значения. Подготовка SCIM и аутентификация SSO настраиваются в отдельных областях администратора, и каждая может извлекать данные из разного атрибута:
Атрибут Entra | Типичное значение | Обычно используется |
userPrincipalName |
| Сопоставление userName SCIM по умолчанию |
| Утверждение электронной почты OIDC / SAML | |
proxyAddresses |
| Основной адрес Exchange / M365 |
otherMails | Может содержать псевдонимы или вторичные адреса | Альтернативные контактные электронные адреса |
Несоответствие возникает, когда SCIM извлекает электронную почту из одного атрибута, а SSO отправляет электронную почту из другого. Даже незначительное различие блокирует доступ — Claude требует точного совпадения строк.
Частая путаница: Entra имеет две отдельные области администратора. Приложение подготовки SCIM находится в разделе Enterprise Applications. Приложение SSO/OIDC находится в разделе App Registrations. IT-администраторы часто переходят в неправильное место.
Диагностические шаги
Шаг 1 — подтвердите несоответствие
Проверьте электронную почту SCIM: в Entra Admin Center → Enterprise Applications → [Claude SCIM App] → Provisioning → Provisioning logs найдите недавно подготовленного пользователя и проверьте Modified attributes. Значение, сопоставленное с
emails[type eq "work"].value, — это то, что SCIM отправил в Claude.Проверьте электронную почту SSO: в Enterprise Applications → [Claude App] → Single sign-on → Attributes & Claims найдите утверждение электронной почты. Для приложений OIDC проверьте App Registrations → [Claude App] → Token configuration.
Если два исходных атрибута указывают на разные поля, вы подтвердили несоответствие.
Шаг 2 — определите масштаб
Если большинство или все подготовленные пользователи имеют одинаковое несоответствие формата, это системная проблема сопоставления атрибутов. Исправление находится в конфигурации сопоставления атрибутов SCIM.
Если затронуты только один или два пользователя, проверьте их профиль пользователя непосредственно в Entra.
Шаг 3 — проверьте утверждения токена OIDC (только приложения OIDC)
В Entra Admin Center перейдите в App Registrations (не Enterprise Applications).
Найдите приложение Claude OIDC и нажмите Token configuration.
Проверьте дополнительное утверждение
email.Сопоставьте с сопоставлением атрибутов SCIM, чтобы подтвердить, совпадают ли они.
Решение
Исправьте сопоставление атрибутов SCIM
Перейдите к приложению подготовки SCIM — не к приложению SSO/OIDC:
Перейдите в Entra Admin Center → Enterprise Applications.
Найдите приложение Claude SCIM. Ищите приложение с разделом Provisioning.
Нажмите Provisioning → Edit provisioning → Attribute mappings.
Найдите строку, где атрибут SCIM — это
emails[type eq "work"].value. Нажмите на нее для редактирования.Измените Source attribute на то, что отправляет SSO — обычно
mail.Также проверьте сопоставление
userNameи обновите при необходимости.Нажмите Save.
Запустите полную синхронизацию подготовки
Требуется полная синхронизация — дополнительная не будет работать. Вы должны запустить полный перезапуск цикла подготовки.
Перейдите на страницу обзора Provisioning.
Нажмите Restart provisioning.
Дождитесь завершения синхронизации.
Проверьте в журналах подготовки, что электронные адреса пользователей обновлены в правильном формате.