单点登录适用于 Team 计划、Enterprise 计划和 Console 组织。
本指南涵盖为 Team 和 Enterprise 计划以及 Claude Console 组织配置 SSO 的步骤。
步骤 1：查看先决条件和重要注意事项
在继续进行 SSO 设置之前，请完成以下操作：
查看注意事项指南：阅读启用单点登录 (SSO) 和 JIT/SCIM 预配前的重要注意事项，以了解父组织、确定您的设置路径并完成任何先决条件步骤，例如合并组织。
确认您拥有所需的角色：
对于 Team 或 Enterprise 计划：您必须是所有者或主要所有者
对于 Claude Console：您必须是管理员
确认您有权访问以下内容：
您公司电子邮件地址域的 DNS 设置
您公司用于登录第三方应用程序的 SSO 身份提供商 (IdP)（例如 Okta、Google Workspace 等）
如果您没有权限管理 Claude 或公司 DNS 设置，请联系您组织的 IT 管理员。
注意：WorkOS 是 Anthropic 的域验证和 SSO 设置提供商。更多详情可在Anthropic 的分包商列表中找到。配置 SSO 和预配功能时，您将进入 WorkOS 设置流程——在他们的集成文档中找到您的身份提供商。
步骤 2：验证您的域
域验证证明您拥有公司的域。验证后，您可以为具有公司域的账户配置 SSO。
您可以为单个组织验证多个域，但所有域必须通过单个 IdP 进行管理。我们不支持在同一组织内验证来自不同 IdP 的域。
注意：仅验证您的域不会影响现有用户访问我们产品的能力。只有在设置 SSO 并明确强制执行后，最终用户的访问权限才会受到影响。
在 Claude 中导航到您的组织和访问设置（claude.ai/admin-settings/organization）或在 Console 中导航到您的身份和访问设置（platform.claude.com/settings/identity）——请注意，此页面仅在您与销售部门合作启用 SSO 或完成合并提案后才会在 Console 上显示。
在域部分中，单击"添加或编辑域"。
在更新组织电子邮件域模态框中输入要验证的域，然后单击"+"按钮：
添加完域后，单击"保存"。
您添加的域现在将显示在域部分中；单击域右侧的"验证"以开始验证过程。
在文本框中输入您的域，然后单击"继续"：
设置屏幕显示 TXT 记录。使用复制按钮复制完整值——它以
anthropic-domain-verification-开头，长度超过框中可见的内容。在您的 DNS 提供商中，添加一条 TXT 记录，将主机/名称设置为@（您域的根），将值设置为复制的字符串。将其与任何现有 TXT 记录一起添加；不要替换它们。该值区分大小写，因此请准确粘贴。重要：在离开设置屏幕之前保存 TXT 值。域显示为待处理后，管理控制台不会再次显示该值。如果丢失，您需要删除并重新添加域，这将生成新值。
等待 10 分钟以使您的 DNS 更改传播。
注意：DNS 更改可能需要 24-48 小时才能全局传播。
当您看到绿色"已验证"徽章时，您可以关闭说明页面。
如果您的域显示为"待处理"，请使用"刷新"按钮。
如果您的域保持待处理状态
单击"刷新"会重新检查您的 DNS；在发布的 TXT 记录与预期值完全匹配之前，它不会显示为已验证。如果在 DNS 传播后仍保持待处理状态，请检查以下内容：
记录存在于根目录。使用DNSChecker等工具查找您域的 TXT 记录，并确认
yourdomain.com（而不是www.yourdomain.com或其他子域）出现以anthropic-domain-verification-开头的记录。如果未出现，该记录可能已添加到错误的主机或尚未传播。值完全匹配。检查区分大小写，需要完整字符串，包括
anthropic-domain-verification-…=前缀。单个字符差异将使其保持待处理状态。您未删除并重新添加域。每次重新添加都会生成新的验证值。如果在发布 TXT 记录后重新添加了域，发布的值将不再匹配——您需要使用新值更新 DNS 记录。
如果记录正确且已传播，但状态仍显示待处理，请联系支持。
注意：验证域后，您将在"组织和访问"组织设置页面的安全下看到限制组织创建切换。如果要防止用户使用您的已验证域创建新的 Claude 或 Console 组织（包括个人账户），请启用此选项。
步骤 3：使用您的身份提供商设置 SSO
在 Claude 中导航到您的组织和访问设置（claude.ai/admin-settings/organization）或在 Console 中导航到您的身份和访问设置（platform.claude.com/settings/identity）。
在身份验证部分中，单击"设置 SSO"（或"管理 SSO"）。
按照为您的身份提供商提供的设置指南进行操作（请参阅下面的其他指南）。
在这些步骤的最后，系统将提示您测试单点登录以确认没有错误且配置成功。
完成后，导航回组织和访问设置页面以获取更多配置选项。
重要：SSO 强制执行可能导致用户无法登录，如果他们未在 IdP 中正确分配给 Anthropic 应用程序。如果您有多个 Claude/Console 组织连接到您的
有关 IdP 特定的设置说明，请参阅：
步骤 4：选择要求 SSO
您现在可以选择在组织和访问页面的身份验证部分下切换要求 Console 的 SSO和/或要求 Claude 的 SSO：
当需要 SSO 时，用户必须使用"继续使用 SSO"选项登录其 Claude/Console 账户。当不需要 SSO 时，他们将可以选择"继续使用 SSO"或"继续使用电子邮件"。
在您决定之前，请查看启用 SSO 时现有用户会发生什么。
步骤 5：选择您的预配方法
启用 SSO 后，您需要通过在组织和访问设置的用户预配部分中选择一个选项来决定如何将用户添加到您的组织。
仅邀请是默认设置。用户直接在您的 Claude 或 Console 设置中添加和删除。请参阅在 Team 和 Enterprise 计划上管理成员。
即时 (JIT) 预配可以启用以在用户首次登录时自动预配用户。默认情况下，分配给您的 Anthropic IdP 应用程序的用户首次登录时，他们将获得用户角色。这是最简单的自动化选项，除了选择"即时 (JIT)"作为您的预配模式外，不需要任何额外配置。
启用组映射 - 何时配置其他预配功能
为了更好地控制预配，请参阅设置 JIT 或 SCIM 预配。如果您需要以下操作，您需要查看本指南：
根据 IdP 组成员身份自动分配角色或座位层级。
使用 SCIM 目录同步进行自动预配和取消预配。
跨多个组织管理访问权限（例如，如果您有链接到同一父组织的 Team/Enterprise 组织和 Console 组织，并需要控制哪些用户预配到每个组织）。
注意：我们目前不支持与 Team 或 Enterprise 计划组织共享 SSO 设置的 Claude Console 组织的 IdP 启动登录。用户将被重定向到 claude.ai 进行 IdP 启动登录。作为解决方法，如果可能的话在您的 IdP 中，创建一个名为"Claude Console"的书签，链接到 platform.claude.com/login?sso=true 以将用户重定向到 Console 进行 SP 启动登录。
更新您的 SSO 证书
当您的身份提供商的 X.509 签名证书过期或轮换时，您需要在 Claude 或 Console 中更新它以维持 SSO 功能。
导航到您的设置：
对于 Team 和 Enterprise 计划：claude.ai/admin-settings/organization
对于 Claude Console：platform.claude.com/settings/identity
在身份验证部分中，单击"管理 SSO"。
找到元数据配置部分并单击"编辑"。
更新您的证书信息并保存更改。
单击同一页面上的"测试登录"以确认一切正常。
关闭 SSO
您可以随时切换要求 Claude 的 SSO或要求 Console 的 SSO关闭。这将使 SSO 对所有用户可选。
要完全断开 SSO 连接，请单击"管理 SSO"，然后单击"重置连接"。这将结束所有用户的会话，并要求他们通过电子邮件登录链接重新登录。