本記事では、OneLogin（IdP）から Claude（SP）へのSAML シングルサインオン（SSO）の設定手順をご案内します。前提条件、Claude側とOneLogin側の設定方法、動作確認、SSOの強制化および無効化の手順をご説明します。
法人向けのClaudeでは、社内の機密情報や顧客情報などの機微なデータが入力される可能性があります。法人契約のアカウントだから安全 と判断するのではなく、「誰が」「どこから」「いつまで」アクセスできるのか を含めたアクセス管理が不可欠です。本記事では、OneLogin と Claude をSAML連携し、従業員の認証をOneLoginに一元化することで、この課題に対処します。
目次
注意事項
ClaudeはOneLogin側から直接認証を開始する方式(IdP-initiated)には対応していません。しかし、Claude側で認証を開始する処理(SP-initiated)へ自動的にリダイレクトされるため、SSOによるログインは問題なく行えます。この際、Claudeのサインインログには失敗と成功の2件が記録されます。
現在、OneLoginのポータル画面からClaude側の認証を直接開始できるようにコネクタを設定可能か米国One Identityに確認中です。
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Claudeが Teamプラン、Enterpriseプラン、または Consoleオーガニゼーション であること
- Team、Enterpriseの場合：Owner または Primary Owner であること
- Consoleの場合：Admin である必要があります
- ドメイン検証が完了していること
*ドメインの検証手順はシングルサインオン（SSO）の設定「ステップ2：ドメインを検証する」をご参照ください。
SAML連携の設定
1. Claude側の操作
- Teamプラン、Enterpriseプランの場合はClaude内のオーガニゼーションとアクセス設定、Consoleオーガニゼーションの場合はConsole内のアイデンティティとアクセス設定に移動し、［SSO設定 ↗︎］をクリックします
*本記事ではTeamプラン、Enterpriseプランの場合を例に解説いたします。
-
Select your identity provider のプルダウンより OneLogin を選択します
- スクロール後［Continue →］をクリックします
-
Audience (Entity ID) をクリップボードへコピーします
2. OneLogin側の設定
- OneLoginに管理者でログインし、管理 を開きます
- Applications > Applications を開きます
- ［Add App］をクリックします
-
Claude(SAML using WorkOS) と検索し、該当コネクタを選択します
- 任意の Display Name を入力します
例）Claude
- ［Save］をクリックします
-
Configuration タブに移動し、1. Claude側の設定（前半）手順4 で取得した Audience (Entity ID) を External Id へ貼り付けます
-
Access タブに移動し、アプリケーションを割り当てるロールを選択します
- ［Save］をクリックします
- More Actions > SAML Metadata を選択します
3. Claude側の設定
- ［Continue →］をクリックします
- ［Continue →］をクリックします
- ［XML metadata］をクリックします
-
Upload your XML Metadata File をクリックし、2. OneLogin側の設定 手順10 で取得した SAML Metadata をアップロードします
- ［Continue →］をクリックします
SAML連携の設定は以上です。
SAML SSOの動作確認
- ［Continue to sign-in →］をクリックします
- OneLoginのログインフォームが開くため、Claudeを利用するユーザーの ユーザー名 を入力します
- ［続行する］をクリックします
- 続けて、パスワード を入力します
- ［続行する］をクリックします
-
Connection activated と表示されることを確認します
SAML SSOの動作確認は以上です。
JITプロビジョニングの有効化
JITプロビジョニングを有効化することで、OneLoginからClaudeへSSOの際にユーザーの作成、ユーザー属性の有効化が可能です。
* 姓・名・役割・シートの変更に対応しています
- Teamプラン・Enterpriseプランの場合はClaude内のオーガニゼーションとアクセス設定、Consoleオーガニゼーションの場合はConsole内のアイデンティティとアクセス設定に移動し、ユーザープロビジョニング >［ジャストインタイム(JIT)］を選択します
- ［保存］をクリックします
JITプロビジョニングの有効化は以上です。
役割とシートティアのプロビジョニング
本章の設定により、Claudeへ役割とシートティアをプロビジョニングすることが可能です。
役割の例として、OneLogin上で claude-admin ロールに属するユーザーにのみ管理者の役割を付与し、claude-user ロールに属するユーザーを一般ユーザーとして設定します。
また、シートティアの例では claude-premium ロールに属するユーザーをpremiumシートとして、claude-standard ロールに属するユーザーをstandardシートとして設定します。
1. Claude側の設定
- Teamプラン・Enterpriseプランの場合はClaude内のオーガニゼーションとアクセス設定、Consoleオーガニゼーションの場合はConsole内のアイデンティティとアクセス設定に移動し、ユーザープロビジョニング > グループマッピングを有効化 のトグルボタンを有効化します
- 役割 > 管理者 の［+］をクリックします
-
グループを選択 のプルダウンにて、OneLoginから送信する値を入力し、追加を行います
例）claude-admin
- ［1個のグループを割り当て］をクリックします
- 同様に役割 > ユーザーの［+］をクリックします
-
グループを選択 のプルダウンにて、OneLoginから送信する値を入力し、追加を行います
例）clade-user
- ［1個のグループを割り当て］をクリックします
- 同様に、オーナーのグループにもOneLoginから送信する値を設定します
例）cluade-owner
* オーナーへプロビジョニングを行わない場合もダミーの値を設定する必要がございます
- シートのプロビジョニングを行う場合は、 IdPグループにシート階層を割り当て のトグルボタンを有効にします
- 以下のように、OneLoginから送信する値を設定します
例）Premium: claude-premium, 標準: claude-standard
- ［保存］をクリックします
役割とシートティアのプロビジョニングのためのClaude側の設定は以上です。
2. OneLogin側の設定
パラメーターの追加
- OneLoginに管理者でログインし、管理 を開きます
- Applications > Applications を開きます
-
2. OneLogin側の設定で追加したClaudeのコネクタを選択します
- Parameters タブへ移動し、［＋］をクリックします
-
Field name に groups と入力します
- Flags > Include in SAML assertion にチェックを入れ有効化します
- 同様に、Flags > Multi-value parameter を有効化します
- ［Save］をクリックします
役割を割り当てるルールの設定
-
Rules タブへ移動し、［Add Rule］をクリックします
-
Name にRuleの名前を入力します
例）管理者割り当て
- ルールのトリガーとなる条件を記載します
例）［Roles］［include］［claude-admin］
-
Actions にRuleの実行する動作を設定します
例）［Set Groups in Cluade(SAML using WorkOS) ］［Map from OneLogin］［role］［^claude-admin$］
- ［Save］をクリックします
- 再度、［Add Rule］をクリックします
-
Name にRuleの名前を入力します
例）ユーザー割り当て
- ルールのトリガーとなる条件を記載します
例）［Roles］［include］［claude-user］
-
Actions にRuleの実行する動作を設定します
例）［Set Groups in Cluade(SAML using WorkOS) ］［Map from OneLogin］［role］［^claude-user$］
- ［Save］をクリックします
シートを割り当てるルールの設定
- ［Add Rule］をクリックします
-
Name にRuleの名前を入力します
例）Premium割り当て
- ルールのトリガーとなる条件を記載します
例）［Roles］［include］［claude-premium］
-
Actions にRuleの実行する動作を設定します
例）［Set Groups in Cluade(SAML using WorkOS) ］［Map from OneLogin］［role］［^claude-premium$］
- ［Save］をクリックします
- 再度、［Add Rule］をクリックします
-
Name にRuleの名前を入力します
例）スタンダード割り当て
- ルールのトリガーとなる条件を記載します
例）［Roles］［include］［claude-standard］
-
Actions にRuleの実行する動作を設定します
例）［Set Groups in Cluade(SAML using WorkOS) ］［Map from OneLogin］［role］［^claude-standard$］
- ［Save］をクリックします
ルールの反映と実行結果確認
- More Actions >［Reapply entitlement mappings］をクリックします
- ［OK］をクリックします
- ［Save］をクリックします
- ユーザーのSSO後、設定したルールに適したユーザーが作成されていることを確認します
役割とシートティアのプロビジョニングの設定は以上です。
SAML SSOの強制化
SSOを強制化した場合、ユーザーはClaude/Consoleアカウントにログインするために［SSOで続ける］オプションを使用する必要があります。SSOが必須でない場合、［SSOで続ける］または［メールで続行］を選択するオプションがあります。
- Teamプラン、Enterpriseプランの場合はClaude内のオーガニゼーションとアクセス設定、Consoleオーガニゼーションの場合はConsole内のアイデンティティとアクセス設定に移動し、認証 > ClaudeにSSOを必須にする を有効にします
-
メールで続行 が表示されずSSOが強制化されていることを確認します
SAML SSOの強制化は以上です。
SAML SSOの無効化
- Teamプラン、Enterpriseプランの場合はClaude内のオーガニゼーションとアクセス設定、Consoleオーガニゼーションの場合はConsole内のアイデンティティとアクセス設定に移動し、認証 > SSOを管理 ↗︎ をクリックします
- ［Reset connection］をクリックします
- テキストボックスに Reset と入力します
- ［Reset］をクリックします
- SSOを試み、以下のようにSSOが無効化されていることを確認します
*SSOの無効化によりすべてのユーザーのセッションが終了し、メールログインリンク経由で再度サインインする必要があります。
SAML SSOの無効化は以上です。