Claude Media
ClaudeとDataGrailを連携する方法 — 認証と書き込み権限の管理
ClaudeClaude連携MCPチュートリアル

ClaudeとDataGrailを連携する方法 — 認証と書き込み権限の管理

DataGrail(プライバシー運用基盤)のMCPサーバーをClaudeに接続する手順です。組織ごとのエンドポイント、管理者側で先に要る設定、読み取り専用と書き込みツールの線引きまで扱います。

読了目安 約13分

Claude DataGrail連携とは何か

DataGrail連携は、プライバシー運用基盤のDataGrailが提供するMCPサーバーをClaudeにつなぐ仕組みです。個人情報の開示・削除請求(DSAR)のチケット、オプトアウト、リスク評価、同意バナーの設定などを、画面を開かずに会話で検索できます。

Connectorsディレクトリでは、開発元DataGrail, Inc.の「Anthropic verified」表示付きで掲載されています。カテゴリは「Data & analytics」、追加は2026年3月、サインインは必須です。説明文は、プライバシー運用のタスクをエージェント的なワークフローで自動化するものだと位置づけています。

想定読者は、DataGrailをすでに契約している法務・プライバシー担当、セキュリティ担当、その運用を支える情シスです。契約のない人が試せるコネクタではありません。

接続の前に、この連携には他のコネクタと違う点が2つあります。

  • 接続先URLが組織ごとに異なる(サブドメインで決まる)
  • 接続する前に、DataGrail側の管理者が設定を済ませておく必要がある

Connector全般の仕組みはClaude Connectorsの解説にまとめています。以下は、この2点を軸にDataGrail固有の部分を扱います。

接続の前に管理者が済ませておくこと

最初のつまずきはClaudeの操作ではなく、DataGrailの管理画面側で起きます。提供元のドキュメントは、外部のMCPクライアントから接続するには管理者の有効化が必要だと明記しています。

手順

接続前にDataGrail側で必要な準備

  1. 1

    MCPプロダクトの有効化を確認する

    DataGrailのMCPプロダクト自体が、組織で有効になっている必要があります。有効化はアカウントマネージャーに依頼します。

  2. 2

    外部MCPアクセスをオンにする

    管理者が、DataGrailのダッシュボードで「Settings > MCP Tool Access」を開き、External MCP Accessを有効にします。MCPプロダクトが有効なら既定でオンです。

  3. 3

    必要なら書き込みツールを許可する

    書き込みツールは既定でオフです。使う場合は組織全体のスイッチをオンにしたうえで、ユーザーごと・ツールごとに個別に許可します。

この画面が見つからない場合、組織にこの機能が提供されていない可能性があると、ドキュメントは説明しています。提供状況はアカウントマネージャーに問い合わせる扱いです。

先に知っておきたいデータの扱い

DataGrailのMCPは、機微な情報を返します。ドキュメントは、データを学習に使う可能性のあるAIクライアントや、信頼できないクライアントには渡さないよう注意しています。DataGrail APIを内部システムにつなぐ場合と同じ性質だとも書かれています。

返ってくるのは、請求者のメールアドレスなど個人を特定できる情報です。接続するClaudeのプランと、会話が学習に使われない設定になっているかは、プライバシー担当が接続の前に確かめておく項目です。省くと、DataGrail側の権限管理を整えても、データの行き先を押さえられません。

組織ごとのエンドポイントを確かめる

接続先は、DataGrailのサブドメインから決まります。

https://<サブドメイン>.datagrail.io/api/v2/mcp

たとえばDataGrailのURLが https://acme.datagrail.io なら、MCPエンドポイントは https://acme.datagrail.io/api/v2/mcp です。ブラウザでDataGrailを開くときのアドレスのホスト部分を、そのまま使います。

ClaudeのDesktopから接続する手順

提供元のドキュメントが案内する、Claude Desktopでのカスタムコネクタの追加手順です。

手順

Claude Desktopでの追加の流れ

  1. 1

    コネクタの追加画面を開く

    Claude DesktopのSettings(歯車アイコン)でConnectorsタブを開き、一覧の下までスクロールして「Add Custom Connector」を選びます。

  2. 2

    名前とURLを入れる

    名前は DataGrail など分かりやすいもの、URLは上で確かめた自分の組織のエンドポイントです。

  3. 3

    OAuthで承認する

    「Connect」を押すとブラウザが開きます。DataGrailにサインインし、要求されているツールを確認して「Authorize」を押します。

  4. 4

    接続状態を確かめる

    Claude Desktopに戻り、接続が有効になっていることを確認します。

ディレクトリには「Add to Claude」のボタンもあります。ただし接続先が組織ごとに違うため、ボタン経由でサブドメインをどう渡すのかは、ディレクトリの詳細ページにも提供元ドキュメントにも記載がありません。確実なのは、上のようにURLを自分で指定する方法です。

承認画面でツールを選べる

承認画面には、クライアントが要求するツールの一覧が出ます。読んで、必要なものだけを選んで許可します。ドキュメントは「必要なものだけ許可し、足りなければ後で承認し直して追加できる」としています。

接続は、本人か管理者が取り消すまで続きます。定期的な再承認は要りません。

Claude Codeから接続する手順

Claude Codeには、次のコマンドで追加します。

claude mcp add --transport http datagrail \
  https://acme.datagrail.io/api/v2/mcp

実行するとブラウザが開き、同じOAuthの承認に進みます。承認後は、DataGrailのツールがClaude Codeのセッションで使えます。acme の部分は自分のサブドメインに置き換えます。登録の書式の違いは、claude mcp add-jsonの手順で扱っています。

Claude Codeの全体像はClaude Codeの完全ガイドにあります。

使えるツールを権限の軸で見る

提供元のツールリファレンスには、47個のツールが載っています。うち28個が読み取り専用(Read-only)、19個が書き込み(Write)です。領域は次のとおりです。

領域主なツール区分
リクエスト管理主なツールsearch_tickets、get_ticket_activity_log、get_request_policies区分読み取り
オプトアウト主なツールsearch_opt_outs区分読み取り
連携先(Integrations)主なツールfetch_integration_errors、fetch_my_integrations区分読み取り
リスクと評価主なツールsearch_risks、search_assessments区分読み取り
評価の作成・更新主なツールcreate_assessment、update_assessment、answer_assessment_question区分書き込み
システム台帳(Live Data Map)主なツールsearch_inventory(読み取り)、add_system、update_system、import_system_owners(書き込み)区分混在
同意管理主なツールfetch_cookies、get_banner_status(読み取り)、categorize_cookie、create_cookie_rule(書き込み)区分混在
データブローカー(DROP)主なツールlist_broker_registrations、get_drop_status区分読み取り
サポート・文書主なツールlist_support_tickets、search_knowledgebase_docs区分読み取り

書き込みの19個には、台帳のシステム登録・担当者割り当て、処理活動の紐づけ、Cookie・タグの分類、サポートチケットの作成と返信、製品フィードバックの送信が含まれます。

サポート系のツール(list_support_tickets など)は、すべてのDataGrail環境で使えるわけではありません。ツールリファレンスは、MCPクライアントに表示されない場合はsupport@datagrail.ioへ問い合わせるよう案内しています。

ディレクトリの表示とリファレンスは数が合わない

Connectorsディレクトリの詳細ページは「Show all 51 tools」と表示します。リファレンスの見出しは47個で、4つ差があります。

さらに、ディレクトリの先頭24個に出る名前のうち、fetch_configured_integration_catalog、fetch_integration_catalog、get_assessment_context の3つは、リファレンスに載っていません。逆に get_entity_documents と fetch_data_discovery_agents はリファレンスにあって、ディレクトリの先頭24個にはありません。

どちらが新しいかは、どちらの資料にも書かれていません。承認画面に出る一覧が、そのときの実際のツールです。ここを見て選ぶ運用なら、数の食い違いに振り回されずに済みます。

検索系ツールの既定値

読み取りツールには、既定の範囲があります。search_tickets は期間の既定が直近90日で、最大365日、件数は既定25件・最大100件です。これを知らないと「去年の請求が出てこない」と見えることがあります。

期間を指定して依頼すれば、Claudeが日付の引数を入れて呼び出します。365日を超えて遡りたい場合は、期間を分けて複数回尋ねることになります。

権限の層:誰が何を呼べるか

DataGrailのMCPには、権限が重なって効いています。

仕組み

権限が効く3つの層

  • ユーザー自身の権限

    接続したClaudeが見られるのは、DataGrailのユーザー本人が見られるデータだけです。ロールが基準になります。

  • 管理者による絞り込み

    読み取りツールは、管理者がユーザーごとに制限できます。ただし管理者が広げられるのは、ロールが許す範囲までです。

  • 書き込みの許可制

    書き込みツールは、組織のスイッチとユーザーごとの個別許可の両方が要ります。許可がなければ呼べません。

読み取りは「許可から引く」方式、書き込みは「許可を足す」方式です。管理画面では、ユーザーごとの読み取り・書き込み権限がFull、Partial、Noneの3段階で表示されます。

ほかにも、通信はOAuth 2.0とPKCEで保護され、認証情報はMCPクライアントに渡りません。データアクセスは組織単位で隔離され、ツール呼び出しはすべて監査ログに残ります。緊急時は、管理者がExternal MCP Accessをオフにすれば、既存の接続もまとめて取り消されます。このスイッチは、DataGrailのWeb画面やSlack連携には影響しません。

同意管理の書き込みは下書きに入る

同意管理の書き込みツール(categorize_cookie、categorize_tag、create_cookie_rule、update_cookie_rule、delete_cookie_rule、update_consent_tag)は、下書きのコンテナーに変更を入れます。サイトの訪問者に反映されるのは、公開(publish)してからです。

Claudeが分類した結果は、公開前に人が見直せます。この性質は、AIに任せる範囲を決めるときに使えます。

Claude側でも書き込みを絞る

管理者の許可制とは別に、Claude Code側でも書き込みを呼べなくできます。権限ルールは mcp__<サーバー名>__<ツール名> の形で指定でき、サーバー名は上で claude mcp add に渡した名前です。

次は、読み取りだけを使い、書き込みの一部を拒否する設定の例です(ツール名はリファレンスから抜粋しています)。

{
  "permissions": {
    "deny": [
      "mcp__datagrail__create_assessment",
      "mcp__datagrail__update_assessment",
      "mcp__datagrail__answer_assessment_question",
      "mcp__datagrail__import_system_owners",
      "mcp__datagrail__delete_cookie_rule"
    ]
  }
}

これは書き込みを全部止める設定ではありません。19個のうち5個だけです。全部を止めるなら、承認画面で書き込みツールを許可しないほうが確実です。DataGrail側の許可とClaude Code側の拒否は、どちらかが効けば呼べなくなるので、二重の安全装置になります。

プロジェクトのCLAUDE.mdに運用の約束を書いておく方法もあります。次はその一例で、組織の方針に合わせて書き換える前提の断片です。

## DataGrail MCPの使い方
- 請求チケットの検索結果は、メールアドレスを伏せて要約する
- 書き込み系のツールは、実行前に対象と変更内容を示して承認を取る
- 件数や期間は、検索した範囲(日付と上限)を回答に添える

「検索した範囲を添える」は、前節の既定値(90日・25件)を踏まえたものです。件数の上限に当たって見えていないだけなのか、本当に該当がないのかを、回答から読み分けられます。

何を頼めるか:業務の場面から

提供元のドキュメントは、依頼の例として「直近30日の未完了の削除請求」「いまエラーが出ている連携先」などを挙げています。同じ型で、場面ごとに頼み方を並べます。

場面頼み方の例使われるツール
週次の請求棚卸し頼み方の例期限が過ぎた開示請求を地域別に集計して使われるツールsearch_tickets
連携先の障害調査頼み方の例過去30日で認証エラーが出ている連携先を挙げて使われるツールfetch_integration_errors
監査の準備頼み方の例リスクが高く、対応が未着手のものを一覧にして使われるツールsearch_risks
評価の進捗管理頼み方の例期限が近いDPIAと、未回答の担当者を教えて使われるツールsearch_assessments
Cookie整理頼み方の例未分類のCookieを列挙して使われるツールfetch_cookies

ドキュメントが想定する使い方はもう1つあります。外部のダッシュボードやカスタマー情報の画面に、請求の状況を流し込む用途です。BIツールへのレポート出力や、特定ユーザーの請求履歴の取得が例に挙がっています。

つまずいたときの切り分け

提供元のトラブルシューティングには4つの症状が載っています。上から順に確かめると原因を絞れます。

切り分け

DataGrailに接続できないときの切り分け

  1. Q承認画面でExternal Access Disabledのエラーが出ましたか?
    答えがいいえのとき

    管理者が外部MCPアクセスを無効にしています。管理者に、Settings > MCP Tool Accessでの有効化を頼みます。

    答えがはい
  2. Q承認はできたのに、使えるツールが空ですか?
    答えがいいえのとき

    管理者があなたのアカウントのツールを制限している可能性があります。MCP Tool Accessの設定を見直してもらいます。

    答えがはい
  3. Q動いていたのに急に使えなくなりましたか?
    答えがいいえのとき

    外部アクセスの取り消しか、個別の制限が入った可能性があります。接続を外して、承認をやり直します。

    答えがはい
  4. QToo many registrationsのエラーですか?
    答えがいいえのとき

    組織のMCPクライアント登録が上限に達しています。管理者に、不要な登録の整理を頼みます。

    答えがはい

上のどれでもない場合

提供元のサポート窓口(support@datagrail.io)に問い合わせます。

運用開始前のチェックリスト

  • DataGrailのMCPプロダクトが有効で、External MCP Accessがオンになっている
  • 読み取りだけで始め、書き込みは用途が固まってから個別に許可する
  • 承認画面で、必要なツールだけを選ぶ
  • 検索の期間と件数の既定値を、依頼文か規約で明示する
  • 同意管理の変更は下書きに入る性質を、運用手順に組み込む
  • Claudeのプランと、データの学習利用の設定を確認済みである

最初は読み取りの範囲で、請求の棚卸しや連携先のエラー調査から試すと、AIに任せる範囲を段階的に広げられます。

この記事を共有:XはてブLinkedIn

関連する記事

Claude をもっと見る →