Vous avez activé l'authentification unique (SSO) pour Claude, ou vous êtes sur le point de le faire. Les comptes sont en place. Il reste à décider qui entre, avec quel rôle et avec quel siège, sans que vos TI deviennent le guichet de chaque ajout.
La réponse tient en une phrase : dans Microsoft Entra, tout passe par des groupes. Ce texte explique lesquels, comment les nommer et quels pièges éviter. Il fait suite à Pourquoi activer l'authentification unique pour Claude et à Migrer vos comptes Claude vers le SSO sans rien perdre. Si vos comptes ne sont pas encore migrés, commencez par là.
Un seul endroit pour décider qui a accès
La tentation, c'est de gérer les accès à deux endroits : dans Entra pour la connexion, et dans la console d'administration de Claude pour les invitations. Après quelques mois, les deux listes ne concordent plus. Une personne partie garde un siège, une nouvelle attend une invitation que personne n'a envoyée.
On évite ça en faisant d'Entra la seule source de vérité :
- l'application Claude dans Entra exige une affectation (« Affectation requise » = Oui) ;
- seuls vos groupes Claude sont affectés à l'application, jamais des personnes une à une ;
- côté Claude, le provisionnement se fait juste à temps (JIT) : le compte est créé à la première connexion, sans invitation.
Ajouter quelqu'un, c'est l'ajouter au bon groupe. C'est tout.
Une condition : affecter des groupes à une application demande Microsoft Entra ID P1, inclus dans Microsoft 365 Business Premium. Vérifiez votre forfait avant de bâtir la structure.
Trois groupes de base, nommés en français
On utilise des groupes de sécurité, pas des groupes Microsoft 365, qui créent une boîte courriel et un site SharePoint dont vous n'avez pas besoin. Les membres sont ajoutés à la main, par une personne qui sait pourquoi.
- SG - Claude Propriétaires : au moins deux personnes. Le deuxième propriétaire est votre filet de sécurité.
- SG - Claude Administrateurs : les personnes qui gèrent les réglages, les connecteurs et les membres.
- SG - Claude Utilisateurs : tout le monde, ou presque.
Le préfixe « SG » regroupe les groupes de sécurité dans la liste d'Entra. Le reste du nom dit à quoi sert le groupe, en français, pour la personne qui le gérera dans deux ans.
Selon la documentation d'Anthropic, Claude n'impose plus de noms particuliers : dans la console, vous choisissez le groupe qui correspond à chaque rôle. Vous êtes donc libres de vos noms. Une précaution tout de même : nommez vos groupes avant d'activer le mappage, pas après. Un renommage en cours de route est une source d'erreur inutile.
Les sièges aussi se gèrent par groupe
C'est la nouveauté qui simplifie le plus la gestion. Sur les forfaits Team et Enterprise, le mappage de groupes ne sert plus seulement à attribuer un rôle (propriétaire, administrateur, utilisateur). Il sert aussi à attribuer un type de siège, Premium ou Standard.
Si vous n'achetez que des sièges Standard, les trois groupes de base suffisent.
Si vous achetez des sièges Premium, ajoutez deux groupes :
- SG - Claude Siège Premium
- SG - Claude Siège Standard
Pourquoi les deux ? Parce que, selon Anthropic, un nouvel usager reçoit le type de siège le plus élevé encore libre. Autrement dit, vos sièges Premium partent en premier, à qui se connecte d'abord. Le groupe Standard évite cette distribution au hasard.
Les pièges à connaître avant d'activer le mappage
Un propriétaire ou un administrateur hors groupe perd ses droits. Une fois le mappage activé, chaque personne doit faire partie d'un groupe mappé. Un administrateur oublié redevient simple utilisateur.
Le propriétaire principal ne se mappe jamais. Ce rôle est unique et se transfère à la main dans la console. Il doit tout de même faire partie d'un groupe mappé, comme les autres.
Le rôle le plus élevé l'emporte. Une personne à la fois dans Administrateurs et dans Utilisateurs sera administratrice.
Sur le forfait Team, un départ demande deux gestes. La synchronisation automatique des départs (SCIM) est réservée au forfait Enterprise. En JIT, une personne retirée de tous les groupes est sortie de l'organisation à sa prochaine connexion. Si elle ne se reconnecte jamais, elle garde son siège. Retirez-la donc du groupe, puis de la liste des membres dans Claude.
Un certificat expiré peut tout bloquer. Si le certificat SAML de l'application Entra expire alors que « Exiger le SSO » est activé, plus personne ne peut se connecter pour le renouveler, et Anthropic indique qu'il faut alors passer par son soutien. Inscrivez la date d'expiration du certificat à l'agenda, avec un rappel un mois avant.
Ce qui est documenté, et ce qui est notre pratique
Anthropic documente le mappage des rôles et des types de siège par groupe, le JIT et le SCIM, la règle du rôle le plus élevé, l'exception du propriétaire principal, le retrait à la prochaine connexion en JIT et le risque du certificat expiré.
Le reste vient de déploiements que nous avons menés. Le plus important : sans siège libre, l'usager se heurte à un mur sans explication. La connexion réussit, mais Claude lui dit qu'il n'a pas encore été ajouté, et aucune demande d'approbation n'apparaît nulle part. Comptez vos sièges libres avant d'annoncer l'accès à quelqu'un.
L'autre leçon tient à l'ordre des gestes. Voici celui qu'on suit.
- Vérifiez tous vos domaines dans la console Claude, puis activez « Restreindre la création d'organisation ».
- Créez les groupes et affectez l'application Claude à ces groupes seulement.
- Testez la connexion SSO du propriétaire principal.
- Faites entrer les autres usagers.
- Activez le mappage des groupes, avec deux propriétaires en place.
- Activez « Exiger le SSO » en dernier, quand tout le monde entre sans problème.
« Exiger le SSO » ferme la porte « Continuer avec le courriel ». Tant que le SSO ne fait pas entrer tout le monde, cette porte est votre sortie de secours.
Les dix règles, à garder sous la main
- Entra ID P1 (inclus dans Business Premium), sinon pas d'affectation par groupe.
- « Affectation requise » = Oui, et seuls les groupes Claude sont affectés.
- L'identifiant Entra correspond à l'adresse du compte Claude. L'adresse d'un compte Claude ne change jamais.
- Tous vos domaines vérifiés, et la création d'organisation restreinte dès le départ.
- JIT plutôt qu'invitation : une seule liste à gérer.
- Un siège libre avant d'annoncer l'accès.
- « Exiger le SSO » en dernier.
- La date d'expiration du certificat à l'agenda.
- Un départ en deux gestes : le groupe, puis la console Claude.
- Dire aux usagers « Continuer avec SSO », jamais « Créer un compte ». Cette erreur crée un compte personnel séparé, qu'on ne peut pas rapatrier sur le forfait Team.
Par où commencer cette semaine
Ouvrez Entra, allez dans Applications d'entreprise, puis dans l'application Claude. Regardez deux choses : « Affectation requise » est-elle à Oui, et qui y est affecté ? Si vous voyez des personnes affectées une à une plutôt que des groupes, c'est votre premier chantier.
Si vous voulez qu'on regarde votre configuration avec vous avant de toucher aux réglages, écrivez-nous. On vous dira ce qui manque ; vous déciderez de ce que vous faites vous-mêmes.
Sources citées
- Anthropic, Set up JIT or SCIM provisioning, support.claude.com/en/articles/13133195 (consulté le 27 octobre 2026)
- Anthropic, Set up single sign-on (SSO), support.claude.com/en/articles/13132885-set-up-single-sign-on-sso (consulté le 27 octobre 2026)
Les recommandations de structure, de nommage et d'ordre proviennent de déploiements réalisés par notre équipe et sont identifiées comme telles dans le texte.