Claude TeamプランでSSO（シングルサインオン）を設定する — ドメイン検証から必須化までの手順

結論 — SSOはTeamプランで使える。Enterpriseプラン限定はSCIMと監査ログ

公式の料金ページの比較表では、シングルサインオン（SSO）・ドメイン確認・「組織の作成を制限」はTeamプランでも利用可になっています。公式ヘルプ「シングルサインオン（SSO）の設定」も、対象をTeamプラン・Enterpriseプラン・Claude Consoleの組織と明記しています。

つまり「誰がログインできるか」をIdPで握るところまではTeamプランで足ります。入退社をIdPと自動で同期したい、管理操作の監査ログが要る、という段階でEnterpriseプランが候補になります。プランの選び方はClaude Codeの法人契約で整理しています。

SSOがTeamプランを選ぶ理由になる3つの場面

個人のProやMaxを会社で配る運用では、アカウントは社員個人のもので、会社がログインの方法を決めたり止めたりできません。Teamプランにすると組織の管理者がメンバーを管理でき、SSOを足すとログインそのものが会社のIdP経由になります。

• ログインの入口を会社のIdPに一本化できる — 認証はIdP側で行われるので、会社で決めている多要素認証などのログイン条件がClaudeにも及ぶ
• 退職・異動のときにIdP側で止められる — SSOを必須にしておけば、IdPでClaudeのアプリの割り当てを外した人はログインできなくなる
• 会社ドメインで勝手に組織を作られない — ドメイン検証のあとに使える「組織の作成を制限」で、会社メールでの新しい組織や個人アカウントの作成を防げる

当社の画面 — 「組織とアクセス」にSSOの入口がある

Teamプランの「組織設定 > 組織とアクセス」を開くと、上部に導入チェックリストが出ます。当社の画面では「メンバーを招待」と並んで「SSOの設定」が項目に入っており、ドメインを確認してからIdPを接続し、ログインをテストする流れが案内されています。

ページを下へ進むと「ドメイン」と「認証」のセクションがあります。当社の ai-orchestra.ai はバッジが「認証済み」で、シングルサインオンの欄には「SSO設定」ボタンが出ています。

ドメインが未検証だったころは、同じ位置のボタンが「ドメインを認証」で、SSOには検証済みドメインが少なくとも1つ必要と表示されていました。当時の画面は組織設定の解説に載せています。

設定の流れ — 5つのステップ

1. 1前提を確認する — Claude側のオーナー権限、DNSの編集権限、IdPの管理者権限
2. 2ドメインを検証する — DNSにTXTレコードを足して、会社ドメインの所有を証明する
3. 3IdPとつなぐ — 「SSO設定」からセットアップフローを開き、IdP側にClaude用のSAMLアプリを作る
4. 4SSOを必須にするか決める — 必須にすると、ログインはSSOだけになる
5. 5プロビジョニング方式を選ぶ — Teamプランは「招待制」か「ジャストインタイム（JIT）」

ステップ2までは既存メンバーのログインに影響しません。公式ヘルプも、影響が出るのはSSOを設定して必須にしたときだと説明しています。DNSの反映待ちがあるので、ドメイン検証だけ先に済ませておくと後が楽です。

ステップ1: 前提 — オーナー権限と、DNS・IdPの管理者権限

• Claude側 — Teamプランのオーナーまたはプライマリオーナー（所有者）であること
• DNS — 会社のメールドメインのDNS設定を編集できること
• IdP — Google Workspaceなら特権管理者、Microsoft Entra IDならグローバル管理者かアプリケーション管理者

情シスがある会社では、Claudeの管理者とDNS・IdPの管理者が別の人であることが多いはずです。3つの権限を持つ人を先にそろえるのが最初の作業になります。なお、ドメイン検証とSSOの設定は、AnthropicがID連携に使っている外部サービス（WorkOS）のセットアップフローで進みます。

ステップ2: ドメインを検証する — DNSにTXTレコードを足す

1. 1「組織設定 > 組織とアクセス」の「ドメイン」で「ドメインを追加または編集」を開き、会社のメールドメインを追加して保存する
2. 2追加したドメインの行で検証を始め、ドメインを入力して進む
3. 3表示されたTXTレコードの値をコピーボタンでコピーする（値は anthropic-domain-verification- で始まる）
4. 4DNSの管理画面で、同じドメインにTXTレコードとして追加する。既存のTXTレコードは消さずに並べる
5. 5反映を待ち、バッジが「認証済み」になったことを確認する

つまずきやすいのはTXTレコードの値の控え忘れです。公式ヘルプによると、ドメインが保留中になったあとは管理画面に値が再表示されません。なくした場合はドメインを削除して追加し直すことになり、値も新しく発行されます。

DNSの反映は10分ほどが目安で、最長24〜48時間かかる場合があります。保留中のまま変わらないときは、レコードを置いた場所と値の一致を確かめます。

• 検証するドメインそのものに置いたか — www などのサブドメインではなく、入力したドメインと同じ場所にTXTレコードがあるか
• 値が完全に一致しているか — 大文字と小文字を区別する。1文字でも違うと保留中のまま
• ドメインを追加し直していないか — 追加し直すたびに値が変わるので、DNS側も新しい値にする

1つの組織に複数のドメインを検証できますが、使えるIdPは1つです。グループ会社でIdPが分かれている場合は、どのIdPに寄せるかを先に決めておく必要があります。

ステップ3: IdPとつなぐ — 「SSO設定」からセットアップフローへ

「認証」の「SSO設定」を押すとセットアップフローが開き、使っているIdPを選んで案内どおりに進めます。作業はIdP側にClaude用のSAMLアプリを作り、ClaudeとIdPのあいだで接続情報を交換する形です。最後にテストサインインで動作を確かめます。

Microsoft Entra IDの「エンタープライズ アプリケーション」はMicrosoft側の用語で、ClaudeのEnterpriseプランとは関係ありません。Teamプランでも同じ手順です。OktaやOneLoginなど、ほかのIdPの手順は公式ヘルプのアイデンティティ管理のコレクションにあります。

ステップ4: SSOを必須にするかを決める

SSOを設定しただけの状態では、ログイン画面で「SSOで続ける」と「メールで続ける」のどちらも選べます。「認証」にある必須化のトグルをオンにすると、ログインはSSOだけになります。退職者をIdP側で止める運用にするなら、必須化まで進めます。

必須化の前に確認するのが、会社メールで作られた既存の個人アカウントです。公式ヘルプは、IdPのアプリに割り当てられているかどうかで結果が分かれると説明しています。

当社の画面では、「ドメイン」の下に「ドメインメンバーシップ」というリンクがあります。公式ヘルプによると、検証済みドメインにひもづく既存アカウントをここで確認でき、CSVやJSONでダウンロードできます。必須化の前に、対象者の洗い出しに使います。

割り当てない予定の人がいる場合は、必須にする日を事前に知らせ、会話履歴のエクスポートを案内します。エクスポートの手順はClaude ProからTeamプランへの移行で解説しています。

ステップ5: プロビジョニング方式を選ぶ — Teamプランは招待制かJIT

プロビジョニングは、メンバーを組織に追加する方法の設定です。既定は管理者が手動で招待する「招待制」で、当社の画面でもこれが選ばれています。SSOを有効にすると「ジャストインタイム（JIT）」を選べるようになります。

TeamプランのJITで覚えておくのは、人を自動では外さない点です。退職者はIdPで割り当てを外したうえで、Claudeのメンバー一覧からも削除してシートを空けます。逆にClaudeだけで削除すると、IdPに割り当てが残っている人は次のSSOログインで再び追加されます。

JITで入った人は空いているシートを使います。公式ヘルプによると、グループマッピングでシート種別のグループに入れていない新しいメンバーには、空いている購入済みシートのうち上位の種別から割り当てられます。プレミアムシートを特定の人に充てたいなら、シート種別のグループも対応づけておくと確実です。

グループマッピングを使う場合は、設定する本人がオーナーのロールに対応づけたグループに入っているかを保存前に確かめます。入っていないと、保存後に自分のロールが一般ユーザーに下がり、管理者の操作ができなくなります。

あわせて見る設定 — 「組織の作成を制限」と「組織を統合」

ドメインを検証すると、同じページの「セキュリティ」に「組織の作成を制限」のトグルが現れます。オンにすると、検証済みドメインのメールアドレスでは、個人アカウントを含めて新しい組織を作れなくなります。当社の画面ではオフの状態でした。

その下の「組織を統合」は、別の組織を招待してドメイン検証とSSOの設定を共有する機能です。API用にClaude Consoleの組織を別に持っている会社が、同じIdPでまとめて管理したいときに使います。ただしTeamプランの配下に入れたConsoleの組織では、SCIMは使えません。Consoleが別契約である点は使用クレジットとAPIキーの違いで整理しています。

必須化の前に押さえる注意点5つ

• 全員をIdPに割り当ててから必須にする — 割り当て漏れの人は、必須にした時点でログインできなくなる
• プライマリオーナーもSSOの対象になる — 必須化はメールドメイン単位でかかるので、オーナーのアドレスが対象ドメインなら本人もSSOでログインする
• 証明書の期限を控えておく — IdPの署名証明書が切れると、必須にしている組織では誰もログインできず、更新の操作もできない。期限の前に入れ替える
• JITでは退職者のシートが残る — IdPで割り当てを外し、Claudeのメンバー一覧からも削除する
• IdPの切り替えは全員のサインアウトを伴う — 接続をリセットすると全員のセッションが切れ、新しいIdPの設定が済むまではメールのリンクでログインする

証明書切れや設定の誤りで管理者が入れなくなった場合は、オーナーのメールアドレスからAnthropicのサポートに連絡して復旧する手順が公式ヘルプに書かれています。そうならないよう、IdP側の証明書の有効期限を予定表に入れておくのが確実です。

必須化はいつでもオフに戻せます。SSOそのものをやめるときは接続をリセットしますが、このとき全員のセッションが終了します。業務時間を避け、事前に知らせてから実施します。

当社のおすすめの段取り — 人数が少ないうちにドメイン検証まで済ませる

SSOは、人数が増えてから入れるほど手間が増えます。会社メールで作られた個人アカウントの洗い出しや、切り替えを知らせる相手が増えるためです。IdPで社員のアカウントを管理している会社は、少人数のうちにドメイン検証まで済ませておくことをおすすめします。

1. 1早い段階でドメインを検証する（既存メンバーのログインには影響しない）
2. 2IdPにClaude用のアプリを作り、管理者だけを割り当ててテストサインインする
3. 3使う人全員を割り当て、「ドメインメンバーシップ」で既存アカウントを確認する
4. 4切り替える日を知らせたうえで、SSOを必須にする
5. 5人数が増えてきたら、JITやグループマッピングで追加の手間を減らす

ChatGPT Businessも、SSOとドメイン認証はプランに含まれ、SCIMはEnterpriseからという線引きです。Business側の「IDとアクセス」の画面はChatGPT Businessのワークスペース設定で解説しています。