SupabaseのMCPサーバーは、AIアシスタントからSupabaseを操作するための接続口です。今回の変更は、この接続を会社として一括管理したい管理者に関係します。
Supabase公式ブログによると、通常は各メンバーが自分のSupabaseアカウントでログインし、同意画面でClaudeを組織ごとに承認します。8月に始まった企業管理型認証は、これを管理者による1回の承認に置き換えるものです。認証基盤（IdP）が、メンバーごとに署名付きの証明を発行します。
ただし、この仕組みはMCPの拡張仕様に対応した認証基盤が前提でした。公式ブログによると、開始時に対応していたのはOktaだけで、いまも多くは未対応です。今回の変更で、こうした組織はClaudeを発行元にして待たずに使えます。認証基盤側の変更は要りません。
提供範囲と対象プラン
Supabase側は一般提供で、SSOを設定したTeamとEnterpriseの組織が対象です。Claude側のAuto-connectはベータ版で、ClaudeのTeamとEnterpriseの組織で使えます。Claudeの管理者なら誰でも有効にできます。
Claude自体は日本で使えます（当サイトの確認：11/3）。ただし、今回の機能の日本での提供はまだ発表されていません。
Claudeの料金は、Teamのスタンダードシートが年払いで1人あたり月$20、Enterpriseが年払いで1人あたり月$20（最低20シート）です（Anthropic公式の料金ページ、11/3確認）。Supabaseの有料プランは月$25からです（Supabase公式の料金ページ、11/4確認）。この機能の追加料金はまだ発表されていません。
ClaudeがIDを証明する仕組み
メンバーは、これまでどおりClaudeにログインします。SupabaseをClaudeから使うとき、Claudeは短期間だけ有効な署名付きの証明を必要とします。メンバーを特定でき、Supabaseでしか使えないものです。MCPの拡張仕様では、これをID-JAG（Identity Assertion JWT Authorization Grant）と呼びます。
Claudeは証明に署名する前に、2点だけを確かめます。
- その人が、Claude組織の現在のメンバーであること
- Claudeアカウントで使っているメールアドレス
IdPでのログイン、多要素認証、Supabase独自のサインイン規則は確認しません。
Claudeが証明をSupabaseに送ると、Supabaseは3つを確認します。
- 署名が、登録した発行元と一致すること
- メンバーが、SSOのIDが一致する形で組織に所属していること
- 所有者か管理者が、Claudeを承認していること
すべて通ると、Supabaseはそのメンバーに紐づく短期のアクセストークンを発行します。期限が切れても、Claudeが新しい証明を出すので、手動で再接続する必要はありません。
約10分の設定手順と必要な条件
SSOが設定済みなら、設定は約10分です。必要なのは、Supabase組織の所有者か管理者と、Claude組織の管理者です。各メンバーは、Claudeで使うメールアドレスで、一度はSupabaseにSSOでログインしている必要があります。
手順は4段階です。
- 承認：所有者か管理者がClaudeとSupabaseを接続し、組織で承認します。承認は、ダッシュボードの組織設定の「Authorized apps」に表示され、確認や取り消しもここでできます。
- 発行元の選択：Claudeの組織設定でSupabaseコネクタを開きます。Configurationタブの「Managed authorization」の横にある「Set up」を押します。Connectの手順で「Claude-issued」を選び、発行元URLをコピーします。URLはClaude組織ごとに固有です。
- 登録：SupabaseのSSOページで「Advanced settings」を開き、ID-JAG Issuerの欄にURLを貼って保存します。
- テストと有効化：Claudeで「Run test」を押し、すべて通ることを確認します。続けて「Enable and continue」を押し、RolesとScopesの手順を進めます。Rolesでは、自動で接続するClaudeのロールを選びます。
選んだロールのメンバーは、ログインも同意画面もなしでSupabaseが接続済みになります。対応するSupabaseアカウントがない人には、通常の接続画面が出ます。管理者でない人は、Claudeの「Send to an admin」で設定を管理者に送れます（Supabase公式ドキュメント、11/4確認）。
退職処理と発行元URLの置き換えに注意
切り替える前に、運用面の違いを確認する必要があります。
まず、退職者の扱いです。IdPでメンバーを無効にしても、アクセスは止まりません。ClaudeもSupabaseも、IdPに在籍状況を問い合わせないためです。メンバーを外すには、SupabaseとClaudeの両方の組織から削除します。すでに発行されたトークンは、期限が切れるまで有効です。
次に、発行元URLの制約です。Supabaseは、SSOプロバイダーごとに信頼する発行元を1つだけ持ちます。ClaudeのURLでIdPのURLを置き換えると、IdPが署名した証明はすべて拒否されます。IdPを使う他のAIツールの証明も対象です。元のURLに戻すまで受け付けません。さらに、1つの発行元URLで扱えるSupabase組織は1つだけです。
IdPがすでに証明を発行している場合は、何も変える必要はありません。SupabaseにはIdPのURLを入れたままにします。
編集部の見方では、退職処理が2か所になる点が運用上の変更点です。切り替え前に、手順書を更新しておくと漏れを防げます。
