Claude の法人プラン（Team・Enterprise）で管理者が決められること｜シングルサインオン・ユーザーの自動作成・監査ログ・保持期間・データの保存場所

会社で Claude を使うとき、情報システムの担当が契約の前に確かめたいのは、管理者がどこまで止められ、どこまで記録を取れるかです。Anthropic の公式ヘルプでは、SSO・ユーザーの自動作成・監査ログ・保持期間・IP 制限・推論の場所が別々の記事に書かれていて、Team と Enterprise のどちらで使えるかは、記事ごとの1行と料金ページの比較表に分かれています。この記事は、2026年10月31日にそれらの公式のページを開き、項目ごとに「Team でできること／Enterprise でできること／管理者には決められないこと」の同じ並びで整理したものです。

いま整理しておく理由がもう1つあります。ヘルプによれば、プラグイン・スキル・コネクタが「Plugins」という1つの画面にまとまります。Team などは2026年10月29日から順に始まって2026年11月9日に一般提供、Enterprise プランには2026年11月30日に届きます。あわせて2026年11月30日からは、Team・Enterprise とも、スキルを止めている組織ではデスクトップアプリのプラグインも止まります。画面がまとまると許可の見え方も変わるので、いま何を許可しているかを書き出しておくと、切り替わった後に照らし合わせられます（Manage plugins, skills, and connectors from one Plugins page）。

当社は Microsoft 365 と生成 AI の導入支援を仕事にしていて、ライセンスや Anthropic の製品の販売はしていません。当社の検証用の環境には Claude の Team・Enterprise の組織が無く、Claude の管理画面は見ていません。画面の名前は英語版ヘルプの表記を［ ］で書き、日本語版ヘルプに訳がある主な画面は初出で訳を添えます（例：［Organization settings］＞［Organization and access］は、日本語版ヘルプでは「オーガニゼーションとアクセス」）。プランの料金の比べ方や個人向けプランとの違いはClaude の料金プランの比較の記事で、契約の条項の読み方はデータ保持と学習の契約の記事で扱っています。

先に線を見る：Team は「席の定額」、Enterprise は「席＋使った分」

Team プランは 2〜150 席で、席の料金は Standard 席が1席 20 米ドル／月（年払い。月払いは 25 米ドル）、Premium 席が 100 米ドル（月払いは 125 米ドル）です。席ごとに使える量の上限があり、上限の中で使う限り請求は席の料金だけです。上限を超えて使い続けたいときは、使用クレジットを足せます（What is the Team plan?）。

Enterprise プランは1席 20 米ドル／月の年払いで、席の料金は使う権利だけです。チャット・Claude Code・Cowork で使った分は、すべて API の標準の単価で別に請求されます。席ごとの上限はなく、管理者は組織と個人ごとに使う額の上限を決められます。Web で申し込むセルフサービスは最低 20 席で米ドルだけ、営業経由は最低 50 席で、請求書払いや米ドル以外の通貨にも対応します（What is the Enterprise plan?）。

表の金額は米国の顧客向けの表示で、税は含みません。地域ごとに価格・通貨・税の扱いが変わり、claude.ai/upgrade で自分の地域の額を確かめるよう公式に書かれています。日本語の料金ページも米ドルで表示していて、円での額と消費税の扱いは公開のページからは分かりません。比べるときは、Team の1席と Enterprise の1席を同じ「1人いくら」で並べないでください。Enterprise は使った分が上乗せされるので、席の料金だけでは月の請求額が決まりません。なお、Team から Enterprise へセルフサービスで移る手続きは、元に戻せないとヘルプにあります（Migrate your organization from Team to Enterprise）。

この記事に関連するサービス

Claude 導入支援Claudeを、会社の決まりの中で使える状態まで。詳しく見る →AI活用支援生成AIを、業務に組み込むところまで詳しく見る →kintone 導入支援業務に合うアプリ設計から内製化まで伴走します。詳しく見る →M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Salesforce 導入支援Salesforceを、現場が毎日使う状態まで。詳しく見る →

入れる人を決める：ドメインの確認・SSO・ユーザーの自動作成

どちらのプランでも、最初の作業はドメインの確認です。管理者（Owner か Primary Owner）が［Organization and access］で会社のメールのドメインを登録し、表示された anthropic-domain-verification- で始まる値を DNS の TXT レコードに足します。ドメインを確認しただけでは、社員の今のアカウントには何も起きません。確認が済むと、そのドメインのメールアドレスで新しい組織や個人アカウントを作らせない設定（Restrict organization creation）をオンにできます（Set up single sign-on (SSO)）。

SSO は Team・Enterprise のどちらでも使え、ID 基盤には Okta・Google・Microsoft Entra ID などを SAML でつなぎます。1つの組織につなげる ID 基盤は1つで、複数のドメインを登録しても、すべて同じ ID 基盤で管理する決まりです。なお、ヘルプの「Roles and permissions」の表は、SSO の管理と評価のボタン（後述）の設定を「Enterprise だけ」の欄に置いていますが、SSO は SSO の記事と料金ページの比較表が、評価のボタンは評価のボタンの記事が、Team でも使えるとしています。この記事は、それぞれの記事（SSO は料金ページも）に従いました（Roles and permissions）。SSO を必須にすると、社員は「Continue with SSO」でしか入れなくなります。このとき、会社のドメインで作った個人アカウント（Free・Pro・Max・Ultra など）を持っていて、ID 基盤のアプリに割り当てられていない人は、その個人アカウントに入れなくなります。アカウントは消えないものの使えなくなるので、ヘルプは事前に会話の履歴を保存するよう社員に伝えることを勧めています（Important considerations before enabling SSO and JIT/SCIM provisioning）。

Microsoft Entra ID を ID 基盤にする場合、Entra 側では全体管理者かアプリケーション管理者のロールで、Claude をエンタープライズ アプリケーションとして登録し、SAML を設定します。SCIM を使うには Entra ID P1 か P2 のライセンスが要ります（Microsoft Entra ID SSO setup）。Entra ID 側でのアプリの登録と、割り当てた人だけが入れる仕組みは、Entra ID で SaaS にシングル サインオンする記事で手順を書いています。

Entra 側の最初の一歩は、アプリのギャラリーで Claude を探すことです。ヘルプ（Microsoft Entra ID SSO setup）は、Enterprise applications の New application でギャラリーを検索し、あればそれを選び、無ければ「Create your own application」で「Claude」という名前のアプリを作るよう書いています。当社の検証用の環境で、2026年10月31日に Microsoft Entra 管理センターの［Microsoft Entra アプリ ギャラリーの参照］を既定の絞り込みのまま「Claude」と「Anthropic」で検索したところ、別の名前のアプリが出るだけで、Claude のアプリはありませんでした。その日の時点では、画面の上の［独自のアプリケーションの作成］から作る側の手順になります。

辞めた人が自動で外れるのは SCIM だけ

SSO の後に、人をどう入れるかを選びます。既定は管理者が招待する方式で、Team でも Enterprise でも、ID 基盤でアプリに割り当てた人を初回ログインのときに入れる JIT を選べます。ただし JIT は、人を自動で外しません。ID 基盤で割り当てを外すとログインはできなくなりますが、名簿に残り、席も使ったままです。Claude 側だけで外すと、次に SSO で入ったときに戻ってきます。外すときは、Claude と ID 基盤の両方で外す必要があります（Set up JIT or SCIM provisioning）。

ID 基盤の割り当てに合わせて人を足し、外すと自動で外す SCIM は、Enterprise プランだけです。Entra ID は SCIM の変更を40分ごとに送るため、外してから反映までに間が空きます。SCIM を保存するときに ID 基盤のアプリに割り当てられていない人は組織から外されるので、保存の前に全員の割り当てを確かめておく必要があります。Primary Owner（組織に1人だけの最上位の管理者）は SCIM の同期の対象外で、ID 基盤に無くても外れません。

当社は、退職や異動のたびに手で外す運用を続けられない規模なら、SCIM が使える Enterprise を前提に比べることを勧めます。Team で始める場合は、退職の手続きの一覧に「Claude の名簿から外す」と「ID 基盤の割り当てを外す」の2行を足してください。

記録を取る：監査ログと Compliance API は Enterprise だけ

監査ログは Enterprise の組織だけで使えます。Owner か Primary Owner が［Data and Privacy］（日本語版ヘルプでは「組織設定 > データとプライバシー」）の［Export logs］を押すと、過去180日分の監査ログがまとめられ、ダウンロードのリンクがメールで届きます。リンクは24時間で切れます。記録されるのは、SSO でのログイン、招待、メンバーの削除、SSO やドメインの設定の変更、ファイルの追加、会話の作成・削除などの出来事です。会話とプロジェクトの題名と中身は入らず、ID だけが出ます。また、Enterprise で顧客管理の暗号鍵（CMEK、後述）を使っている組織では［Export logs］が使えず、監査ログの出来事は Compliance API で取ることになります（Access audit logs）。

中身まで取り出したいときは Compliance API です。出来事の記録、会話のデータ、ファイルの中身をプログラムで取り出せ、監査ログの出来事も含みます。有効にできるのは Primary Owner だけです（Access the Compliance API）。会社で使っているセキュリティの製品に取り込む場合は、この API が入口になります。

Team で取れるのは、Primary Owner による組織のデータのエクスポートです。会話のデータと利用者のデータが入りますが、Claude が作った Word・Excel・PowerPoint・PDF のファイルは入りません（Export your organization’s data）。Team には監査ログが無いので、誰がいつ入ったかを追う必要がある場合は、ID 基盤のサインインの記録で受けることになります。

残す期間と学習：何日で消すかを決められるのは Enterprise だけ

Enterprise では、Owner か Primary Owner が会話・プロジェクト・アーティファクトの保持期間を決められます。最短は30日で、1か月を30日として数えます。決めなければ無期限に残ります。期間は、会話では最後のやり取りから、アーティファクトでは最後に誰かが開くか編集した日から数え、プロジェクトの中の会話はプロジェクトの期間に従います。期間を過ぎたデータは元に戻せません。また、保持期間は Claude Design の単体の画面、Claude Tag、Claude Managed Agents、クラウドで動く Claude Code には効かないと書かれています（Configure custom data retention controls for Enterprise plans）。

Team には保持期間の設定がありません。会話は利用者が消すまで製品の中に残り、消すと履歴からすぐに消え、30日以内にバックエンドからも消えます。どちらのプランでも、利用規約違反と判定された会話の入出力は最長2年、評価のボタン（親指の上下）で送った会話は5年残ります。このほか、Covered Models と呼ばれる対象のモデルでは、安全のための取り組みとして限られた範囲でデータを残して確認すると書かれています（How long do you store my organization’s data?）。

学習の扱いはプランで変わりません。Anthropic は、Team・Enterprise などの商用の製品の入力と出力を既定で学習に使わないとしています。例外は、評価のボタンで送った会話など、利用者が使ってよいと選んだ場合です（Is my data used for model training?）。Owner か Primary Owner は、［Data and Privacy］の［Rate chats］で評価のボタンを組織ごと止められます。当社は、会社の情報を学習に回す道を残したくない場合、契約の直後にこのボタンを止めることを勧めます。

データの場所：保存は米国、日本に限る選択肢は無い

Anthropic のプライバシーのページには、商用の製品のデータは米国に保存すると書かれています。Claude が答えを作る処理（推論）は、取り決めや指示が無ければ、米国・欧州・アジア・オーストラリアの一部の国に振り分けられることがあります（Where are your servers located?）。

推論の場所を絞れるのは、使った分で請求される Enterprise プランだけです。［Data and Privacy］の US-only inference をオンにすると、Claude Code やデスクトップアプリを含むすべての推論が米国内で動き、Claude Opus 4.6・Sonnet 4.6 以降のモデルでは使った分の単価が1.1倍になります。席の料金は変わりません。Team プランと、Standard 席・Premium 席で払う旧来の席課金の Enterprise プランには、この設定が出ません（旧来の席課金は、次の契約更新の後は続けられないと Enterprise プランの記事にあります）。また、この設定はデータの保存場所と、コネクタでつないだ先のサービスの処理の場所は変えません（Enable US-only inference for your organization）。

開発者向けの Claude API では、inference_geo という値で推論の場所を選べますが、選べる値は us と global の2つだけです。データを置くワークスペースの地域も、確認した日の時点では us だけです（Data residency）。つまり、claude.ai の Team・Enterprise と Anthropic の Claude API には、日本国内だけで処理・保存する値は公式のページに見当たりません。同じページによれば、Amazon Bedrock と Google Cloud（Google の管理）経由で使う場合は、推論の地域はエンドポイントや推論プロファイルで決まり、inference_geo は使いません。日本の地域で使えるかは、この記事では確かめていないので、各クラウドの公式で確かめてください。社内の規程で国内保存を求めている場合は、claude.ai のプランの中では満たせないので、規程の側を見直すか、クラウド経由の経路を確かめることになります。なお、Enterprise では、自社の AWS KMS・Google Cloud KMS・Azure Key Vault に置いた鍵で会話やファイルを暗号化させる顧客管理の暗号鍵（CMEK）を、対象の組織が使えます（What are customer-managed encryption keys?）。

コネクタ・MCP・拡張：許可は Team でも、個人アカウントへの持ち出しを止めるのは Enterprise

Team と Enterprise では、Owner か Primary Owner がコネクタを組織で有効にするまで、社員はコネクタを使えません。有効にしても、使う人はそれぞれ自分のアカウントでつなぎ先に認証するので、Claude が読めるのはその人が見られる範囲だけです。ただし API キーのような共通の認証情報でつなぐコネクタは、使う全員がその認証情報の権限で読み書きします（Get started with custom connectors using remote MCP）。Owner は、組織全体でコネクタを読み取りだけにして、書き込みを止めることもできます。社員からのコネクタの追加の依頼は、Team では既定でオン、Enterprise では既定でオフです（Use connectors to extend Claude’s capabilities）。

社員が個人の Claude アカウントで、会社の Gmail や Microsoft 365 をつなぐのを止める設定（Restrict verified-domain connectors to your enterprise）は Enterprise だけです。ドメインの確認が済んでいれば、対応するコネクタでは、組織の外の Claude アカウントから会社のドメインのアカウントでつなごうとすると止まります。ヘルプはこの設定について、データの持ち出しを防ぐ仕組み（DLP）の代わりではないこと、すでにつながっている接続は切らないこと、止まったことを管理者に知らせないことを書いています（Restrict verified-domain connectors to your Enterprise）。Microsoft 365 のコネクタで、Entra ID 側で何に同意するかは、Claude の Microsoft 365 コネクタの記事で扱っています。

デスクトップアプリに入れる拡張（ローカルの MCP サーバー）は、Owner が許可リストで絞れます。許可リストは既定でオフで、オンにすると、すでに入っていた拡張は端末から消され、許可したものしか入れられなくなります。ただし、入れた後にローカルの MCP のファイルを書き換えることまでは防げません（Enabling and using the desktop extension allowlist）。デスクトップアプリ自体は、Windows ではグループ ポリシーや Intune、Mac では MDM の構成プロファイルで、ローカルの MCP や拡張を止めたり、特定の組織でしかログインできないようにしたりできます（Enterprise configuration for Claude Desktop）。

Claude Code の組織の設定：管理画面から配れるが、境界ではない

Team の席にも Enterprise の席にも Claude Code が含まれます。Owner か Primary Owner は、管理画面の［Organization settings］＞［Claude Code］＞［Managed settings］に JSON で設定を書き、社員の Claude Code に配れます（server-managed settings）。特定のファイルを読ませない、許可の確認を飛ばすモードを止める、といった決まりを組織で揃えられ、Claude Code は起動時と1時間ごとに設定を取りに行きます（Configure server-managed settings）。

ただし公式は、この配り方をクライアント側の制御で、セキュリティの境界ではないと説明しています。管理されていない端末では、管理者の権限が無くても回避できるとあります。また、Console で作った API キーで動く Claude Code（CI など）には、claude.ai の管理画面の設定は届きません。そうした処理に届けたい場合は、claude setup-token で作った OAuth トークンを組織で承認して処理の環境に渡す方法などが、同じページに書かれています。端末を MDM で管理している会社は、端末に設定ファイルを配る方法（endpoint-managed settings）のほうが強い、と同じページにあります。端末への配り方は Deploy managed settings に書かれています。当社は、Claude Code を使う端末が会社の管理下にあるなら MDM で配り、管理画面からの設定は個人の端末やクラウドのセッションに向けた補いとして使うことを勧めます。Claude Code で何を禁じるかの考え方は、Claude Code のセキュリティ設計の記事で書いています。

ネットワークとセッション：IP 制限・Tenant Restrictions・セッションの長さは Enterprise

IP 許可リストは Enterprise だけです。管理者が自分でオンにするのではなく、オフィスや VPN の出口などの CIDR の一覧を Anthropic の担当かサポートに渡して設定してもらいます。オンにすると、チャット・プロジェクト・アーティファクトは一覧の IP からしか使えません。ただし組織の外に共有したアーティファクトには効かないので、外部への共有を止める設定と組み合わせることが勧められています（Restrict access to Claude with IP allowlisting）。

会社の網から個人の Claude アカウントを使わせないには、Enterprise の Tenant Restrictions を使います。社内のプロキシが Claude への通信に、許可する組織の ID を書いたヘッダーを足し、それ以外の組織への接続を Anthropic が拒みます。プロキシで TLS の中身を見る設定が要ります（Enforce network-level access control with Tenant Restrictions）。セッションの長さ（何日でログインし直させるか）は、Enterprise の Admin 以上が 1日・7日・14日・28日から選べます（Configuring session security settings）。

管理者が決められないこと：管理画面の外で受けるもの

ここまでの項目を、決めたいことごとに、管理画面で決められる範囲と、その外に残るものに分けると次のようになります。外に残るものは、ヘルプが「できないこと」として書いているものと、仕組みの説明から分かるもの（データの保存先、Tenant Restrictions が社内の網の中でしか効かないこと）です。

外に残るものは、3つの場所で受けることになります。データの場所と保存の期間は契約と社内の規程、誰が入れて誰を外すかは ID 基盤、端末で何を動かせるかは端末の管理（MDM）です。Team か Enterprise かを決める前に、自社の規程がこの3つのどれに何を求めているかを書き出すと、Enterprise にする理由があるかどうかがはっきりします。

Azure の契約のまま使う経路との違い

Claude は Microsoft Foundry（Azure）からも使えます。この記事で見てきたのは claude.ai の Team・Enterprise の組織の設定で、Foundry 経由で使う場合の管理と請求は Azure の契約の側の話になります。データの場所の決め方も違い、Anthropic の開発者向けドキュメントによれば、Foundry では inference_geo の代わりに、Azure の US Data Zone Standard のデプロイで推論を米国内に保ちます（Data residency）。当社は、社員がチャットの画面で使うなら claude.ai の法人プラン、社内のシステムから呼ぶなら Foundry を含む API の経路、という分け方から比べることを勧めます。Claude と Microsoft 365 のつなぎ方の全体は、Claude・ChatGPT と Microsoft 365 の連携の記事にまとめています。

まず、自社の規程が求めることを3つの場所に分ける

最初の作業は、自社の情報セキュリティの規程が生成 AI に求めていること（退職時の停止、ログの保存、データの保存先、個人アカウントの禁止など）を書き出し、Claude の管理画面で決められるもの、ID 基盤で受けるもの、契約と端末の管理で受けるものに分けることです。管理画面で決めたいものが「辞めた人を自動で外す」「記録を取る」「期間で消す」「場所やネットワークで絞る」のどれかに入るなら Enterprise、入らないなら Team で始められます。ただし席の数でも決まります。151席以上なら、機能に関係なく Team は選べません。Enterprise はセルフサービスでも最低 20 席からなので、使う人が20人に満たなくても20席分の席の料金がかかることを含めて比べてください。どちらでも、ドメインの確認と、そのドメインで個人の組織を作らせない設定は、契約の直後に済ませてください。

Microsoft 365 と Entra ID を使っている会社で、Claude を含む生成 AI の入れ方と管理の決まりを一緒に整えたい場合は、Microsoft 365 の導入支援でお手伝いしています。

料金と仕様は2026年10月31日時点の Anthropic の公式ページ（Claude ヘルプセンター、料金ページ、プライバシーのページ、開発者向けドキュメント、Commercial Terms）によります。料金は米国の顧客向けの表示で税別です。変更が続いているため、契約の前に各ページの最新を確かめてください。