BoxのClaude連携は権限をどう引き継ぐか — セキュリティの仕組み

BoxのClaude連携は権限をどう引き継ぐか

Box Connectorは、ClaudeがBox上のファイルを検索・要約・編集できるようにする接続機能です。結論から言うと、Claudeが触れる範囲はその接続をした本人がBoxで元々持っている権限を一歩も超えません。自分が閲覧できないフォルダや、編集権限のないファイルには、Claudeを介しても届かない設計です。

Box自身も「既存のセキュリティとアクセスポリシーを維持したまま」とこの連携を説明しています。裏側の仕組みはBoxが自社で公開しているMCP(Model Context Protocol)サーバーで、Claude・Claude Desktop・Claude Mobile・Claude Code・Claude APIのいずれからも同じエンドポイントに接続します。情シス視点で見る価値があるのは、この「権限を引き継ぐ」がどの技術要素で担保されているかです。

OAuthスコープが権限の境界を決める仕組み

Box ConnectorはOAuth 2.0で認証します。認可エンドポイントはaccount.box.com、トークン交換はapi.box.comが受け持ち、接続時に発行されるauthorization_tokenがその後のすべての操作の境界になります。Boxの開発者ドキュメントは核心をこう表現しています。「スコープは実行できる操作の上限を定義する。ユーザーはBoxで既に閲覧または編集の権限を持つコンテンツにしかアクセスできない」。

この一文が意味するのは、Claude側の実装がどれだけ丁寧でも、権限の最終的な壁はBox側のOAuthスコープが引くということです。Claudeのアプリが賢く動作を制限しているのではなく、Box自身のAPIがスコープを超えた要求をそもそも受け付けません。ここは同じConnectorsディレクトリに並ぶ他のサービスとも共通する設計です。Claude Connectorsとはで扱った「接続先の権限を超えてはアクセスできない」という原則が、Boxでは具体的にOAuthスコープという形で実装されています。

Box MCPサーバーが要求するスコープは3種類あります。

docgen.readwriteだけライセンス条件が別枠になっている点は見落とされがちです。Doc Gen機能を使いたいチームがEnterprise Advanced未満のプランだと、Claude側の設定は正しくてもこのスコープ自体が発行されず、生成系の指示だけが動きません。

Claudeが実際に呼び出せる操作の範囲

Box Connectorの説明文は「ファイルの検索・共有」「文書の要約」「複数ファイルやBox Hub横断でのQA」「メタデータの抽出」「ファイルのプレビュー」「フォルダの作成と共有リンクの発行」を具体例として挙げています。公式ページに載っている指示例はどれも実務寄りです。

• 「Q3マーケティング予算案を見つけて、CMOをコラボレーターに追加して」
• 「Project Alphaの要件定義書から、技術的な制約条件を要約して」
• 「BlueStar社とのサービス契約から、早期解約条項を見つけて説明して。他社との契約と条件が違っていないか確認して」
• 「'Contract Intake'フォルダ内の全契約書から有効期限を抽出し、それぞれのメタデータとして保存して」

裏側で実際に呼ばれるツールはもっと細かく分かれています。ファイル・フォルダ操作は読み取り系(get_file_content、get_folder_detailsなど)と書き込み系(create_folder、upload_file、move_fileなど)に分離され、検索はsearch_files_keywordやsearch_files_metadataといったキーワード・メタデータ別のツールが並びます。コラボレーション権限の追加(create_collaboration)や共有リンクの発行(add_file_shared_link)も個別のツールとして切り出されており、root_readwriteスコープの範囲内であればどれも呼び出し可能です。

管理者が制御できる範囲は3層に分かれる

権限の引き継ぎは自動でも、接続そのものを許可するかどうかは複数の管理者判断を経由します。制御点は3つの層に分かれていて、それぞれ管理する主体が違います。

Box Admin Consoleの「Integrations」からは、あらかじめ用意されたMCPサーバーの有効・無効を切り替えるほか、社内向けに未公開のカスタム構成を作ることもできます。組織としてBox Connectorを使わせるかどうかは、この層で最初に決まります。Claude側のRBACやOkta連携は、その後にどのメンバーが接続操作自体を行えるかを絞り込む役割です。組織でConnectorsの利用範囲を管理する立場の人は、承認モードや管理者設定の詳細をClaude CoworkのConnectors一覧でも確認できます。

ディレクトリの審査ラベルと権限の強さは別物

Connectorsディレクトリには接続先ごとにVerified・Community・Customという審査ラベルが付きますが、このラベルはBoxが実際にどこまでの操作をClaudeに許すかとは無関係です。ラベルが示すのはAnthropicによる掲載審査の深さであって、OAuthスコープの設計や管理者側の運用ルールまでは保証しません。

情シスが確認する対象はラベルではなく、接続時に提示されるスコープの一覧です。root_readwriteだけを許可すれば読み書きは通るがDoc Gen機能は使えず、Enterprise Advancedライセンスがなければdocgen.readwrite自体が選択肢に出てきません。権限の強さを決めているのは審査ラベルではなく、Box側のライセンス条件とスコープ設計です。この視点は他のプリビルド統合にも共通しており、監査ログやロール管理を組織として設計する場合はClaude CoworkのRBAC運用の内容と地続きになります。MCPというプロトコルそのものの仕組みを先に押さえたい場合はMCPとはを参照してください。

つまずきやすい点

Box Hubs(複数のフォルダやファイルを横断してまとめたコレクション機能)も、Box Connectorの対象です。list_hubsやget_hub_detailsで既存のHubを参照するだけでなく、create_hubで新規作成しadd_items_to_hubでファイルを追加することもできます。プロジェクト単位で散らばった資料を1つのHubにまとめてから質問すると、フォルダ構造をまたいだQAの精度が上がります。Doc Gen側もlist_docgen_templatesでテンプレート一覧を取得し、create_docgen_batchで複数件をまとめて生成する使い方まで用意されています。

Doc Gen機能を試してエラーになる原因の大半は、スコープではなくライセンスです。docgen.readwriteはEnterprise Advanced契約が前提になっているため、通常のBoxアカウントではそもそも要求スコープの選択肢に現れません。管理者に契約プランを確認するのが早道です。

複数ファイルやBox Hubを横断するQA機能(ai_qa_multi_file、ai_qa_hub)は、対象ファイルすべてに対して元々の閲覧権限を持っていないと結果が欠けます。一部のファイルだけアクセス権がない場合、Claudeはエラーで止まらず、アクセスできる範囲だけで回答を作ってしまうことがあります。重要な文書を横断検索させるときは、対象範囲に自分がアクセス権を持っているかを先に確認したほうが安全です。

2026年1月には、Box Connectorにチャット内で画像やグラフを直接プレビューできるMCP Apps対応が加わりました。この更新はUIの見え方を変えるもので、OAuthスコープや権限の境界そのものには影響していません。

よくある質問

Box Connectorは個人アカウントでも使えますか

使えます。OAuth認証自体は個人のBoxアカウントで完結し、root_readwriteとai.readwriteは標準のBoxアカウントで発行できます。Doc Gen機能だけがEnterprise Advancedライセンスを必要とします。

他のメンバーがアクセスできないファイルをClaude経由で見られますか

見られません。ClaudeがBoxコンテンツに触れる範囲は、接続した本人がBoxで持つ権限そのものです。Box側のAPIがスコープを超えた要求を受け付けない設計のため、Claude側の実装に依存せず権限は境界として機能します。

VerifiedラベルはBox Connectorのセキュリティを保証しますか

保証しません。ラベルはAnthropicによる掲載審査の深さを示すだけで、実際の権限範囲はBox側のOAuthスコープとライセンス条件で決まります。接続前に確認する対象はラベルではなく、認証時に提示されるスコープの一覧です。

社内ネットワークに置いたBoxの拡張機能とMCPサーバーは同じですか

別物です。Box ConnectorはBoxがホストするmcp.box.comという公開エンドポイントに接続する仕組みで、社内ネットワーク内のサーバーを指定するものではありません。認証はBox Admin Consoleで発行したClient ID・Client Secretを使ったOAuthフローで完結します。

まとめ

Box Connectorの権限設計は、Claude側の制限ではなくBox自身が発行するOAuthスコープに支えられています。root_readwrite・ai.readwrite・docgen.readwriteという3つのスコープが操作範囲の上限を決め、ユーザーが元々Boxで持つ権限を超えることはありません。組織として導入するかどうかはBox Admin ConsoleのIntegration Credentials層で最初に決まり、その後にClaude側のRBACやOktaが利用できるメンバーを絞り込みます。ディレクトリの審査ラベルは掲載の目安に過ぎないため、情シスが実務で確認する対象はスコープの一覧とライセンス条件になります。