Gepubliceerd:
Claude-issued aanmelding voor MCP-connectoren: automatisch verbinden zonder identity provider
Kort: met Claude-issued auth, nu in bèta voor Claude Team en Enterprise, meldt Claude medewerkers zelf aan bij MCP-connectoren als Atlassian, Notion en HubSpot. Een eigen identity provider of SSO is niet nodig. Atlassian ondersteunt het sinds 3 november 2026. Let op: Claude controleert alleen of iemand lid is van uw Claude-organisatie, niet of hij met SSO of MFA inlogde.
Wie MCP-connectoren in een organisatie uitrolt, kent het probleem: elke medewerker moet per dienst zelf op "Connect" klikken en via OAuth inloggen. Anthropic bood daarvoor sinds juni enterprise-managed auth, waarbij de identity provider van de organisatie die aanmelding centraal regelt. Sinds 24 augustus is die variant algemeen beschikbaar, maar alleen met Okta. Organisaties zonder Okta hadden er dus niets aan. De Claude-issued variant vult dat gat: Claude zelf treedt op als uitgever van de identiteitsverklaring.
Hoe werkt Claude-issued aanmelding?
Onder de motorkap gaat het om de officiële MCP-extensie io.modelcontextprotocol/enterprise-managed-authorization. Die bouwt op een IETF-concept, de Identity Assertion JWT Authorization Grant (ID-JAG). De client levert een ondertekende identiteitsverklaring aan bij de autorisatieserver van de dienst en krijgt daarvoor een toegangstoken terug. Een OAuth-scherm voor de gebruiker komt er niet aan te pas.
Bij de Claude-issued variant ondertekent Claude die verklaring onder een issuer-URL die uniek is per Claude-organisatie (https://identity.anthropic.com/issuers/<issuer-id>). De beheerder kopieert die URL in de Claude-beheeromgeving en voegt hem in de verbonden dienst toe als vertrouwde uitgever. Bij Atlassian betekent dat: in Atlassian Administration enterprise-managed authentication aanzetten voor de Atlassian MCP-server, de issuer-URL invoeren en in Claude het cloudId van de Atlassian-site als tenant-ID opgeven. Daarna een test draaien, rollen kiezen en inschakelen.
Anthropic noemt veertien connectoren die de Claude-issued variant ondersteunen: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush en Supabase. Slack, Asana en Canva staan wel op de lijst voor enterprise-managed auth via de identity provider, maar niet op die voor Claude-issued.
Wat controleert Claude-issued aanmelding níet?
Dit is het deel dat beheerders goed moeten lezen. Volgens de documentatie van Anthropic verklaart de assertion alleen dat de gebruiker een huidig lid is van de Claude-organisatie, met het e-mailadres in kleine letters. De verklaring zegt niet dat de gebruiker via de identity provider van de organisatie inlogde of MFA gebruikte, en bevat geen groepen. De koppeling met het account bij de dienst loopt via het e-mailadres: wie geen overeenkomend account heeft, krijgt gewoon de normale Connect-knop.
Nog drie details met gevolgen voor beheer:
- Standaard voor iedereen. Bij Claude-issued krijgen standaard alle rollen de connector. Voor een pilot kunt u een aparte rol aanmaken.
- Offboarding gaat in twee stappen. Wie u uit de Claude-organisatie verwijdert, wordt niet meer automatisch aangemeld. Toegang die al verleend is, blijft geldig tot hij verloopt. Anthropic adviseert de gebruiker ook bij de dienst zelf te verwijderen. Met SCIM verwijdert Claude een lid wanneer de directory hem verwijdert, maar niet bij alleen schorsen of deactiveren.
- Niet naast Okta-SSO. In een organisatie die via Okta bij Claude inlogt, is Claude-issued niet beschikbaar. Zet u een connector later om naar IdP-managed, dan komt Claude-issued niet terug zolang SSO aanstaat.
Ons advies
Claude-issued aanmelding maakt uw Claude-organisatie in feite een identity provider voor de aangesloten diensten. Dat is prima, als u haar ook zo behandelt. (1) Gebruikt u Okta, kies dan IdP-managed: dan gelden uw SSO-, MFA- en groepsbeleid wél. (2) Gebruikt u Claude-issued, beperk de connector dan tot de rollen die hem nodig hebben in plaats van de standaard "alle rollen". Houd het lidmaatschap van de Claude-organisatie net zo strak bij als uw directory. (3) Leg offboarding vast als twee stappen: Claude én de dienst. Voor organisaties onder DORA of NIS2 hoort dit in het toegangsbeheer en in het register van ICT-diensten. Zie ook veiligheid & watchouts en, voor wie zelf een server bouwt, zelf een MCP-server bouwen.
Wat betekent dit voor wie zelf een MCP-server bouwt?
Wie een eigen MCP-server met Claude wil laten samenwerken via enterprise-managed auth, moet de autorisatieserver aanpassen. De documentatie van Anthropic noemt onder meer: het grant type urn:ietf:params:oauth:grant-type:jwt-bearer adverteren in de serverbeschrijving, alleen ES256 en RS256 accepteren, controleren dat de typ oauth-id-jag+jwt is en elke jti maar één keer accepteren als bescherming tegen replay. Dynamic Client Registration werkt niet met enterprise-managed auth. Volgens WorkOS moet de server daarnaast per tenant een lijst van toegestane issuers bijhouden, en een assertion met een onbekende iss weigeren.
De grotere lijn
Zakelijke inzet van MCP liep tot nu toe vooral vast op beheer: wie heeft toegang tot welke koppeling, en hoe trek je die weer in? Met de extensie voor enterprise-managed authorization en nu een variant zonder eigen identity provider schuift dat beheer naar de beheerder in plaats van de individuele gebruiker. Dat is winst voor controle en audit. Het verplaatst wel vertrouwen: wie de Claude-organisatie beheert, beheert voortaan ook de toegang tot Jira, Confluence en de CRM.
Bronnen
- Atlassian Rovo MCP changelog (3 november 2026: Claude-issued Managed Auth)
- Atlassian Support: configuring enterprise-managed authentication
- Claude Help Center: auto-connect your organization's apps to Claude
- Claude-documentatie: Enterprise Managed Auth voor connectorbouwers
- Claude blog: enterprise-managed auth (18 juni 2026, GA-update 24 augustus 2026)
- MCP-extensie: Enterprise-Managed Authorization
- WorkOS: enterprise-managed auth is GA (26 augustus 2026)
Veelgestelde vragen
Wat is het verschil tussen IdP-managed en Claude-issued aanmelding?
Bij IdP-managed ondertekent uw eigen identity provider (nu alleen Okta) de identiteitsverklaring voor een gebruiker die via SSO bij Claude is ingelogd; deze variant is algemeen beschikbaar. Bij Claude-issued ondertekent Claude die verklaring zelf, onder een issuer-URL die uniek is voor uw organisatie. Dat werkt zonder identity provider of SSO, maar is nog in bèta.
Controleert Claude-issued aanmelding MFA of SSO?
Nee. Volgens de documentatie van Anthropic verklaart de assertion alleen dat de gebruiker lid is van uw Claude-organisatie, met het e-mailadres. Of de gebruiker via uw identity provider of met MFA inlogde staat er niet in, en groepen evenmin. Die waarborgen moet u dus elders regelen.
Welke connectoren ondersteunen Claude-issued aanmelding?
Anthropic noemt veertien connectoren: Amplitude, Apollo.io, Atlassian, Datadog, Dropbox, Figma, Granola, HubSpot, Linear, Mixpanel, Notion, PagerDuty, Semrush en Supabase. Slack, Asana en Canva ondersteunen wel enterprise-managed auth via de identity provider, maar (nog) niet de Claude-issued variant.
Laatst bijgewerkt: