Atlassian Rovo MCPをClaude Codeにつなぐ設定手順と認証の選び方

Atlassian Rovo MCPサーバーは、Jira・Confluence・Bitbucketなどを自然言語で操作できるようにするAtlassianのリモートMCPサーバーです。Claude Codeにはclaude mcp add --transport http atlassian https://mcp.atlassian.com/v2/mcpの1行で登録でき、あとはセッション内で/mcpを開いてAtlassianにサインインすれば使えます。

この記事は、そのサーバー自体の仕組みを扱います。ツールが「小さな入口＋検索」で出てくる構造、権限グループとスコープ、Rovoクレジットの消費、OAuthとAPIトークンの使い分けまでです。Jiraの操作例や管理者側の設定はClaude Jira連携の記事に、BitbucketはClaude Bitbucket連携の記事にあります。

登録から認証までの最短手順

Claude Codeでの導入は2ステップです。登録しただけでは未認証なので、2つ目を忘れないでください。

claude mcp add --transport http atlassian \
  https://mcp.atlassian.com/v2/mcp

URLの/v2/が現行のサーバーです。Atlassianのヘルプには、2027年3月1日に既存のv1利用が自動的にv2のツールを出し始めると書かれています。新しく設定するならv2を直接指定しておけば、この日付を気にする必要はありません。

登録先は、--scopeを付けなければローカルスコープ（そのプロジェクトだけ・自分だけ）です。複数プロジェクトで使うなら--scope user、チームのリポジトリで共有するなら--scope projectを付けます。projectにすると.mcp.jsonに書かれてリポジトリで共有できますが、.mcp.jsonに書かれるのはサーバーの定義で、認証は各メンバーが/mcpで行います。

ほかのクライアントでの扱い

同じサーバーはClaude Desktop、Codex、Cursor、VS Code、Windsurfなどにも登録できます。Claude Desktopなら設定ファイルに次のように書く形で、URLは共通です。

{
  "mcpServers": {
    "atlassian": {
      "url": "https://mcp.atlassian.com/v2/mcp"
    }
  }
}

Atlassianのヘルプには、エージェントに次の依頼を貼り付けて、導入から認証の開始までを任せる方法も載っています。ヘルプのURLとサーバーURLを渡し、「認証フローを始めてほしい」と頼む形です。Claude Codeでも通りますが、1行で済むのでclaude mcp addのほうが確実です。

何を認証しているのか — OAuth 2.1とAPIトークン

認証方式は2つあり、既定はOAuth 2.1です。

APIトークン認証は組織の管理者が有効にしている場合だけ使えます。管理者が無効にしていると、そのやり方で接続するクライアントは接続できません。Atlassianも、対話利用にはOAuthを勧め、APIトークンは非対話・機械間の用途に絞るよう説明しています。

OAuthの同意画面では、どのAtlassianアプリ（Jira・Confluenceなど）へのアクセスを許すかと、そのスコープが決まります。トークンは特定のサイト（cloudId）に対して発行され、別のサイトには使えません。後からスコープが変わると、再同意が必要になることがあります。

Claude CodeでのOAuthの流れ

Claude Codeは、リモートサーバーが401や403を返すと「認証が必要」と判断し、/mcpにそのサーバーを表示します。そこで選んでブラウザの同意画面を通せば完了です。

シェルから済ませたいときは、claude mcp loginが使えます。

claude mcp login atlassian

SSH先のようにローカルのブラウザがない環境では、このコマンドが認可URLを表示します。手元のブラウザで開いて同意したあと、リダイレクト先のURLをプロンプトに貼り戻します。ssh -tで接続して対話端末を確保してください。

claude -pのような非対話実行では/mcpのパネルが使えず、Claude Code自身はOAuthフローを走らせられません。ツール検索が有効（既定）なら、Claudeは「このサーバーは認証が必要でツールが使えない」と認識して報告します。先に対話セッションで/mcpかclaude mcp loginを済ませておく運用になります。

同意画面を通れないとき

Atlassianが挙げている代表的な症状は次の4つです。

Claude Code側で、コールバックのポートを固定したいときはclaude mcp loginの--callback-portが使えます。許可リストに載せるURIを事前に決めたい環境では、この指定が効きます。

ツールは「小さな入口＋検索」で出てくる

このサーバーは、すべてのツール定義を最初から渡しません。接続時に見えるのは、使用頻度の高い少数のツール（Primary）だけです。残りはdiscoverで自然言語検索し、見つかったものを実行用のツール経由で呼ぶ構造です。

このほかatlassianUserInfo（認証中ユーザーの情報）と、getJiraIssueやsearchJiraIssuesUsingJqlといったよく使う読み取り・検索系もPrimaryとして直接見えます。

この作りには2つの効果があります。クライアントのコンテキストがツール定義で埋まらないことと、新しいツールが増えてもクライアントの再接続が要らないことです。Claude Code側にもMCP tool searchがあり、既定で有効です。サーバー側とクライアント側の両方で遅延読み込みが働くため、ツール数の多いサーバーでも最初のプロンプトが膨らみにくくなります。

MCPゲートウェイ越しに全ツールを出したいとき

ゲートウェイでツールを一覧管理したいなど、全ツールを最初から見せる必要があるなら、URLに?tools=allを付けます。

https://mcp.atlassian.com/v2/mcp?tools=all

全ツールがページ分割された平らな一覧で返ります。通常の利用では不要で、discoverとexecute*の構成のままで足ります。

権限グループとスコープ — 何が許されているか

ツールは用途別の権限グループ（read_jira、write_jira、search_confluenceなど）にまとめられています。組織の管理者はグループ単位でアクセスを許可・取り消しでき、各ツールは所属グループの設定を引き継ぎます。OAuthの必須スコープも、グループごとにread:jira:agent-interfaceのような名前が決まっています。

対応の仕方には例外が3つあります。JSMのツールはAPIトークン認証でしか使えず、search_codeはOAuthでしか使えません。delete_jira・manage_jiraは管理者が有効にするまで空振りします。「削除だけが通らない」ときは、まずここを疑ってください。

読み取りだけを許したい場合は、Atlassian側（管理者によるグループの許可）と、Claude Code側（権限ルール）の2か所で絞れます。Claude Code側では、ツールがmcp__atlassian__…の名前で見えます。サーバー名をatlassianで登録したなら、例えばmcp__atlassian__executeReadを許可し、executeWriteとexecuteDestructiveは都度確認のままにする、といった粒度の設定が考えられます。実際のツール名は/mcpの詳細表示で確認してから書いてください。

Rovoクレジットの消費

AIクライアントがMCP経由でデータを取りに行くと、Rovoクレジットを消費します。クレジットはRovo Chat、Studio、エージェント、Teamwork Graphと同じ組織共有のプールから引かれます。

消費量は依頼の複雑さで変わります。サイトから引くデータ量が多いほど、また推論が深い問い合わせほど多くなります。上限は「呼び出しごと」に効く設計で、閾値やプランごとの枠はRovoの利用上限のページで確認する形です。

とくにTeamwork Graphを使う統合検索やコンテキスト取得系の呼び出し（getTeamworkGraphContext、searchAtlassian、searchなど）はクレジットを消費する、とヘルプに明記されています。Claude Codeに「プロジェクト全体を調べて」と曖昧に頼むと、検索呼び出しが何度も走り得ます。範囲（プロジェクトキーや期間）を指定して頼むほうが、結果も絞れてクレジットも抑えられます。

使う前のセキュリティの目線

MCPクライアントは、接続した製品（Jira、Confluence、Bitbucketなど）に対して、あなたの既存の権限で操作できます。Atlassianは、最小権限で使うこと、影響の大きい変更は確定前に確認すること、監査ログで不審な操作を見ることを求めています。

Claude Code側で使える対策は具体的に3つあります。

• 書き込みと破壊的操作を許可ルールに入れず、確認を残す
• --scope projectで共有する場合は、.mcp.jsonにトークンを書かない（OAuthなら不要）
• 組織で有効化されているグループ以上のことはできないので、足りない権限はAtlassian側の管理者に依頼する

headersにトークンを直接書くやり方もClaude Codeにはありますが、Authorizationを設定した場合、サーバーに拒否されてもOAuthへ切り替わらず、接続失敗として扱われます。OAuthで使うなら、このヘッダーは設定しないでください。

つまずいたときの切り分け

MCPサーバーの追加方法そのもの（スコープ、add-json、.mcp.jsonの承認）はClaude CodeのMCPサーバー設定の解説にまとめています。

まとめ

導入はclaude mcp addと/mcpの2手で終わります。設計で押さえておきたいのは、読み取り・書き込み・破壊的操作が別々の実行ツールに分かれていることです。許可ルールを書くとき、この3分割がそのまま確認の粒度になります。

APIトークンは人がいない処理のための選択肢で、管理者が有効にしていなければ使えません。対話で使うなら、OAuthのまま運用するのが素直です。クレジットは呼び出しごとに減るので、範囲を絞った依頼を習慣にするのがいちばん効きます。