SSO entreprise et SCIM pour Claude : le montage sûr

TL;DR

Le SSO entreprise fonctionne sur Team et Enterprise, mais le provisionnement SCIM est réservé à Enterprise. SCIM est le seul mode qui retire les départs automatiquement. L’erreur la plus fréquente est un attribut e-mail différent entre le connecteur SCIM et l’assertion SAML, ce qui produit des échecs de connexion impossibles à diagnostiquer depuis Claude.

Quel mode de provisionnement correspond à votre formule

Claude pilote par un seul réglage, dans les paramètres d’identité, la façon dont les membres rejoignent l’organisation, et le choix est contraint par la formule. La place de cette décision dans un déploiement plus large figure dans notre plan en 90 jours. La documentation Anthropic décrit trois modes, Invite only étant la valeur par défaut.

Mode	Membres ajoutés	Membres retirés	Attribution des rôles	Disponible sur
Invite only	Les administrateurs les ajoutent dans les paramètres Claude ou Console. Une connexion SSO n’ajoute personne	Manuellement	Manuelle	Toutes les formules
Just-in-time	Les utilisateurs affectés à l’application Claude dans l’IdP, à la première connexion	Manuellement seulement	Rôle User, ou le rôle le plus élevé issu des groupes mappés, effectif à la connexion suivante	Team, Enterprise, organisations Console
Synchronisation d’annuaire SCIM	Automatiquement depuis l’affectation IdP, sans connexion	Automatiquement dès que l’affectation est retirée	Manuelle, sauf si les correspondances de groupes sont actives	Enterprise et organisations Console rattachées à une organisation Enterprise

Deux contraintes en découlent, et elles décident de la formule, pas du budget. SCIM n’existe ni sur les formules Team ni dans les organisations Console rattachées à une organisation mère Team. Les rôles personnalisés sont réservés à Enterprise. Si la gestion automatisée des arrivées et des départs est un contrôle attendu par vos auditeurs, Team n’est pas candidate.

Le SSO lui-même est plus largement disponible. Il fonctionne sur Team, Enterprise et dans les organisations Console, ces dernières ayant besoin d’une organisation mère.

Ce que SCIM pilote et ce qui reste manuel dans Claude

SCIM gère l’appartenance. Rien de plus. Les équipes qui supposent le contraire se retrouvent avec un modèle d’habilitations sans propriétaire.

Ce que l’annuaire pilote :

1. L’ajout d’un membre dès qu’il est affecté à l’application Claude dans votre IdP.
2. Le retrait d’un membre dès que cette affectation est retirée.
3. L’appartenance aux groupes, que Claude peut traduire en rôles si les correspondances de groupes sont actives.

Ce qui reste dans Claude :

1. Les rôles et les types de siège, sauf si les correspondances de groupes sont explicitement configurées.
2. Les limites de dépense, qui se résolvent par membre depuis le groupe, le niveau de siège et la valeur par défaut de l’organisation, comme l’explique notre guide du budget IA.
3. Les droits sur les modèles, c’est-à-dire quels modèles un rôle peut utiliser et avec quel modèle démarrent les nouvelles conversations.
4. Les durées de conservation et la configuration de l’API de conformité.

Cette séparation compte en revue d’architecture. SCIM fournit le cycle de vie et aucune autorisation. Si votre objectif de contrôle est « aucun partant ne conserve d’accès », SCIM y répond. S’il est « personne à la direction financière n’utilise le modèle le plus cher », la réponse se trouve dans les droits sur les modèles par groupe, que le tableau de bord analytics peut ensuite filtrer selon ces mêmes groupes SCIM. Notre guide de gouvernance range ces contrôles sous les chapitres habituels d’une politique.

L’attribut e-mail qui casse un déploiement sur deux

Une erreur de configuration produit la majorité des tickets SSO, et c’est la même sur tous les fournisseurs d’identité : le champ utilisé pour l’e-mail SCIM et celui utilisé dans la revendication e-mail SAML ne sont pas le même champ.

Le guide Entra d’Anthropic écrit explicitement que l’attribut utilisé pour l’e-mail SCIM et l’e-mail SSO doit être identique, et qualifie un écart de première cause d’échec de connexion. Le guide Okta nomme la combinaison précise qui piège les équipes : SCIM lit user.login tandis que SAML lit user.email. Pour la plupart des utilisateurs, ces deux valeurs sont identiques. Elles diffèrent exactement pour les personnes renommées, mariées, ou migrées depuis un ancien domaine.

Le symptôme induit en erreur. Le provisionnement réussit, le membre apparaît dans Claude, puis la connexion échoue. Rien dans la console d’administration Claude ne pointe vers l’IdP.

Configuration à figer par fournisseur avant de commencer :

Réglage	Okta	Microsoft Entra ID
Format du Name ID	EmailAddress	Issu du parcours WorkOS
Revendication e-mail	Attribut email mappé sur user.email	La revendication envoie user.mail ou l’attribut que SCIM utilisera
Mapping e-mail SCIM	Le même champ Okta que la revendication SAML	Sous Mappings, pointé sur le même champ, typiquement user.mail
Revendication de groupe pour les rôles	Déclaration d’attribut de groupe nommée groups	Affecter personnes et groupes sous Users and groups
Licence requise	Accès administrateur Okta	Entra ID P1 ou P2 pour le provisionnement SCIM
Rôle requis dans Claude	Owner ou Primary Owner (Team, Enterprise) ou Admin (Console)	Idem, plus Global Administrator ou Application Administrator dans Entra

La ligne sur la licence bloque les achats. Le provisionnement SCIM exige Entra ID P1 ou P2. Une organisation sur un niveau inférieur doit acheter des licences d’identité avant de pouvoir automatiser l’appartenance Claude, et ce coût appartient au dossier de décision, pas à une surprise en milieu de déploiement.

Correspondances de groupes, rôles et le piège du JIT

Les correspondances de groupes existent avec le just-in-time et avec SCIM. C’est aussi là que se trouve l’arête la plus vive.

Avec le just-in-time et les correspondances actives, un utilisateur dont la connexion ne porte aucun groupe mappé est retiré de l’organisation à sa connexion suivante. Relisez cette phrase avant d’activer l’option. Une assertion SAML qui cesse discrètement de porter l’attribut groups, parce que quelqu’un a modifié l’application Okta ou renommé le groupe, ne produit aucune erreur. Elle déprovisionne les personnes, une connexion à la fois.

Sans la déclaration d’attribut de groupe, les connexions ne portent aucune donnée de groupe, l’attribution de rôle échoue et les utilisateurs atterrissent sur le rôle de base User. En just-in-time, un utilisateur rejoint l’organisation avec le rôle User ou avec le rôle le plus élevé issu de ses groupes mappés, et un changement de rôle ne prend effet qu’à la connexion suivante.

Deux règles pratiques :

1. N’activez les correspondances de groupes qu’après avoir confirmé que la revendication arrive, avec un compte de test dans un groupe mappé et un second compte de test volontairement en dehors de tout groupe mappé.
2. Sur SCIM, attribuez les rôles Owner et Admin à la main. L’élévation par groupe est commode et signifie qu’une modification dans un groupe IdP accorde un accès administrateur à Claude sans que personne dans votre organisation ne l’ait approuvé dans Claude.

Ce que le RGPD et le dialogue social demandent ici

Trois obligations atterrissent directement sur cette configuration.

Effacement et faille des départs. Le RGPD impose de pouvoir cesser le traitement des données d’un ancien salarié et de démontrer quand l’accès a pris fin. Invite only et just-in-time laissent le retrait sous forme de ticket manuel : le contrôle est donc un humain qui se souvient. SCIM ferme cette faille de façon structurelle, et c’est généralement l’argument qui tranche la discussion sur la formule Enterprise. Pour le volet conservation, voyez notre guide de l’API de conformité, qui décrit ce que contiennent réellement les journaux d’activité et les exports de conversations.

Comité social et économique. Les rapports d’usage et de coût par personne et les journaux d’audit constituent un dispositif de suivi de l’activité des salariés. Le CSE doit être consulté avant la mise en place, et le traitement doit figurer au registre. Amenez tôt le modèle de groupes et la configuration analytics dans cette discussion, car remanier un modèle de groupes après la signature d’un accord coûte cher.

Sous-traitance. Le contrat de sous-traitance et la route d’inférence sont distincts de l’identité, et ils ne perdent pas en importance parce que le SSO est propre. Notre guide sur la résidence des données détaille quelle route maintient réellement l’inférence dans une région donnée et à quel prix.

Exploiter en interne ou externaliser ?

Tâche	Garder en interne	Externalisation raisonnable
Configuration SAML et SCIM	Oui. Votre équipe identité détient l’IdP	Une première connexion en binôme, si WorkOS est nouveau pour vous
Choix de l’attribut e-mail	Oui. Vous seuls savez quel champ fait foi	Non
Modèle de groupes et de rôles	Oui. Il reflète l’organigramme et l’accord d’entreprise	Relecture du premier jet
Niveau de licence Entra ou Okta	Décision d’achat, en interne	Non
Preuves d’audit et conservation	Oui, avec le juridique et le DPO	Modèle et analyse d’écarts

L’identité est le mauvais sujet à externaliser durablement. Acheter une première connexion accompagnée est raisonnable, céder la décision sur l’attribut ne l’est pas, parce que le champ e-mail qui fait foi est un fait sur votre annuaire qu’une équipe externe ne peut que deviner.

FAQ

Combien coûtent le SSO et SCIM pour Claude ?

Le SSO ne coûte rien de plus, il est inclus dans Team et Enterprise. Les coûts sont indirects : Claude Enterprise à 20 USD par siège et par mois en facturation annuelle à partir de 20 sièges si vous avez besoin de SCIM, plus une licence Entra ID P1 ou P2 par personne si votre IdP est Entra et se trouve sur un niveau inférieur. Pour 50 personnes, cela fait 12 000 USD par an pour Claude avant consommation, auxquels s’ajoutent les licences d’identité.

SSO ou SCIM : quelle différence pour Claude ?

Le SSO authentifie un membre qui existe déjà dans votre organisation Claude. SCIM crée et retire ce membre depuis votre annuaire. Le SSO sans SCIM est possible, l’appartenance est alors manuelle ou just-in-time. SCIM sans SSO est impossible, car la connexion d’annuaire s’appuie sur un fournisseur d’identité déjà configuré.

SCIM existe-t-il sur la formule Team de Claude ?

Non. SCIM n’existe pas sur les formules Team ni dans les organisations Console rattachées à une organisation mère Team. Les organisations en Team utilisent le just-in-time, qui ajoute les membres à la première connexion et ne les retire jamais automatiquement. Notre guide de la formule Team détaille les autres plafonds.

Quels fournisseurs d’identité Claude prend-il en charge ?

Le SSO et SCIM passent par un parcours de configuration basé sur WorkOS, et Anthropic publie des guides pour Okta, Microsoft Entra ID, Google Workspace et OneLogin. Les valeurs nécessaires, dont l’Entity ID, l’URL de réponse, l’URL de tenant SCIM et le jeton secret, proviennent de ce parcours et non d’une page de documentation figée.

Pourquoi les utilisateurs ne peuvent-ils plus se connecter après l’activation de SCIM ?

Presque toujours l’attribut e-mail. Vérifiez que le champ que SCIM écrit comme e-mail et celui que l’assertion SAML envoie comme e-mail sont le même champ dans votre IdP. Sur Okta, l’écart classique est user.login contre user.email ; sur Entra, toute revendication autre que celle utilisée par le mapping SCIM.

SCIM supprime-t-il l’historique de conversation d’un membre retiré ?

Non. Le retrait met fin à l’accès, il ne supprime pas les contenus créés. La conservation des conversations et des fichiers est un réglage distinct, disponible via les durées de conservation personnalisées en Enterprise, et l’API de conformité est le moyen d’exporter ou d’examiner ces contenus avant leur expiration.

Sources

1. Anthropic : configurer le provisionnement JIT ou SCIM (28 octobre 2026)
2. Anthropic : SSO avec Okta (28 octobre 2026)
3. Anthropic : SSO avec Microsoft Entra ID (28 octobre 2026)
4. Anthropic : tarifs et formules Claude (28 octobre 2026)
5. Anthropic : plus de visibilité et de contrôle pour les administrateurs (28 octobre 2026)