Claude Desktop拡張機能の許可リストを有効にする手順
Team・Enterprise管理者がClaude Desktopの拡張機能を許可リストで一括管理する設定手順と、有効化後に何が変わるかをまとめます。
Claude Desktopの拡張機能許可リストは、Team・EnterpriseプランのOwner・Primary Ownerが、組織でインストールできる拡張機能を絞り込む機能です。既定ではオフで、オフの間はメンバーがレジストリにある拡張機能をすべて入れられます。オンにすると状態が反転し、リストに載せた拡張機能だけがインストール対象になります。
許可リストは何を絞り、何を絞らないか
拡張機能は、MCP(Model Context Protocol、AIと外部ツールをつなぐ共通規格)のサーバーを.mcpb(MCP Bundle)形式でパッケージ化したものです。個人が設定ファイルへMCPサーバーを手書きする方法はClaude Desktop MCP設定ガイドで扱っています。許可リストはそれとは別の、組織向けの入口制限です。.mcpbの構造や配布の仕組みはDesktop Extensions解説にまとめています。
メンバー側の操作は、オンとオフで次のように変わります。
| 項目 | オフ(既定) | オン |
|---|---|---|
| インストールできる範囲 | オフ(既定)レジストリの全拡張機能 | オン許可リストに追加したもののみ |
| インストール方法 | オフ(既定).mcpbのドラッグ&ドロップやクリックも可 | オンアプリ内レジストリからのダウンロードのみ |
| インストール済みの拡張機能 | オフ(既定)影響なし | オンリスト外のものは強制削除 |
絞られるのはインストールの入口までです。インストール後にローカルのMCPファイルの中身を書き換える行為は、許可リストでは防げません。手元のファイル改ざん対策は端末側のセキュリティと組み合わせる前提になります。
有効化する前に決めておくこと
Claude Desktopのバージョンは0.13.91以降が必要です。メニューの「Claude」から「Check for updates」、または「Restart to update to Claude 0.13.91」を選んで更新します。組織向け設定のページにはeffortLevelのようにバージョン1.25927.0以降を要件にするキーもあり、バージョン番号の要件は機能ごとに別々に示されます。
デバイス管理ポリシーは、アプリ内の許可リストより優先されます。MDM(Jamf Pro・Kandji・Microsoft Intune等)でユーザー端末にポリシーを配布済みの組織は、次の3つのキーを見直す対象になります。
許可リストと並べて見る3つのポリシーキー
isDesktopExtensionEnabled
拡張機能そのものの有効・無効です。既定は
trueです。isDesktopExtensionDirectoryEnabled
拡張機能ディレクトリ(レジストリ)へのアクセスです。既定は
trueで、falseにすると許可リストが並べる一覧を作れません。isLocalDevMcpEnabled
ローカルのMCPサーバーの有効・無効です。既定は
trueです。許可リストとは別のキーです。
3つとも未設定なら既定のtrueで動くので、問題になるのは明示的にfalseを配布している場合です。許可リストを使うなら、上の2つをfalseにしないでください。Windowsでは、マシン単位(HKLM)とユーザー単位(HKCU)の両方に値があると、マシン単位が優先されます。
New-Item -Path "HKLM:\SOFTWARE\Policies\Claude" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Claude" -Name "isDesktopExtensionEnabled" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Claude" -Name "isDesktopExtensionDirectoryEnabled" -Value 1 -Type DWordmacOSでは、MDMの構成プロファイルで同じキーを配布します。Claude Desktopはcom.anthropic.claudefordesktopというドメインで設定を読み込むので、ペイロードにこのドメインを指定します。ProfileCreatorやiMazing Profile Editorのような編集ツールでも、GUIから同じキーを作れます。ポリシー全体の項目はClaude Desktop設定ファイルと更新方法の管理者向け設定の節にあります。
切り替えの時間帯は営業時間外が向いています。有効化した時点で、リストに無い拡張機能は各メンバーのクライアントから削除されるためです。
許可リストを有効にする
許可リストをオンにする5ステップ
- 1
Claude Desktopを開く
Owner・Primary Ownerのアカウントでサインインしておきます。
- 2
画面左下の名前をクリックする
名前かイニシャルが表示されている場所です。
- 3
Organization settings > Connectorsへ進む
組織の設定画面です。
- 4
Desktopタブに切り替える
Connectorsの中のタブです。
- 5
Allowlistのトグルをオンにする
この時点で、リスト外のインストール済み拡張機能が削除されます。
オンにするまで、メンバーはレジストリの拡張機能をすべて使えます。オンにするとレジストリの拡張機能が既定で全面ブロックされ、そこへ必要なものだけを足していく形になります。拡張機能を追加する操作は、有効化のあとに行う流れになります。削除された拡張機能を使い続けたいメンバーは、リストへの追加後に自分で再インストールします。有効化の前には、メンバーが実際に使っている拡張機能の名前を集めておくと、追加の作業が一度で済みます。
許可する拡張機能を選ぶ
追加はOrganization settings > ConnectorsのDesktopタブで行います。Browse extensionsで利用可能な拡張機能の一覧を開き、追加したいものを選んでAdd to your teamを押すと、選んだ拡張機能がリストに加わり、メンバーがインストールできます。外すときは、該当行の「...」から「Remove from allowlist」を選びます。
自分の組織はどの順で進めるか
状況によって、先に手を付ける場所が変わります。
既にメンバーが拡張機能を使っている組織では、有効化が最も影響の大きい操作です。使われている拡張機能の名前を先に集め、営業時間外にトグルをオンにし、すぐに追加の作業へ進みます。追加が終わったら、消えた拡張機能をメンバーが再インストールする必要があると周知します。
まだ誰も拡張機能を入れていない組織なら、削除される対象がないので、有効化と追加を同じ日に済ませても影響は出ません。
MDMでポリシーを配っている組織は、トグルの前に配布側を見ます。isDesktopExtensionEnabledとisDesktopExtensionDirectoryEnabledがfalseのままだと、アプリ内でトグルを操作しても一覧が埋まりません。自動更新をMDMで止めている組織では、0.13.91以上のバージョンが端末に配られているかも配布側の確認項目です。
社内製のMCPサーバーを配りたい組織は、カスタム拡張機能として.mcpbをアップロードして配ります。
同じポリシーで決められるほかの項目
許可リストの前提になる3つのキーは、Claude Desktopの組織向けポリシーの一部です。同じ設定ページには、次のような項目が並んでいます。
自動更新まわりでは、disableAutoUpdates(既定はfalse)でアプリの自動更新を止められます。MDMでバージョンを管理する組織向けの設定で、一度だけ配った導入のあとはアプリ自身に更新させる運用もあります。autoUpdaterEnforcementHoursは1〜72の整数で、準備された更新を適用するためにClaudeを強制的に再起動するまでの時間を決めます。既定は72時間です。
アカウントまわりでは、forceLoginOrgUUIDで特定の組織に属するログインだけを通せます。値は組織のUUID1つか、UUIDの配列です。1つだけ指定するとログイン時にその組織が事前に選ばれ、配列の場合は列挙した組織のどれでも受け付けます。所属しないアカウントではログインに失敗します。
機能まわりでは、isClaudeCodeForDesktopEnabledでDesktop内のClaude Codeへのアクセスを、secureVmFeaturesEnabledでDesktopのCowork利用を切り替えます。どちらも既定はtrueです。allowedWorkspaceFoldersにはCoworkにマウントできるフォルダーのパスをJSONの文字列配列で渡し、未設定なら制限はありません。effortLevelはDesktop内のClaude Codeセッションの既定の推論の強さ(low・medium・high・xhigh・max)を決めます。セッションの開始ごとに適用され、Coworkのセッションには効きません。
これらは拡張機能の許可リストとは独立したキーです。許可リストは拡張機能の導線を絞り、ポリシーは機能の有効・無効やログイン条件を絞る、という分担になります。
カスタム拡張機能を配る
社内独自のMCPサーバーを.mcpbにして配るときは、公開レジストリを通さずに直接アップロードします。
カスタム拡張機能を許可リストに載せる
- 1
Add custom extensionをクリックする
Organization settings > Connectors > Desktopタブにあるボタンです。
- 2
.mcpbファイルを選ぶ
ファイル選択ダイアログが開きます。
- 3
Custom team extensionsに表示されるのを待つ
アップロードした拡張機能は、この欄に並びます。
- 4
「...」から「Add to team」を選ぶ
許可リストに載り、チームで有効になります。レジストリの拡張機能で押すボタンは「Add to your team」で、表記が少し違います。
許可リストに載せたカスタム拡張機能は、アップロードした組織の中だけで使えます。ほかの組織とは共有されません。manifest.jsonのnameは、既存の.mcpbと重ならないようにします。拡張機能の名前は一意でなければならない、というのが条件です。
カスタム拡張機能を新しい版に差し替える
削除と再インストールをしなくても、アップロード済みの拡張機能を新しいバージョンに更新できます。manifest.jsonのversionを現在アップロードされている値より大きくし、nameは変えません。そのうえでカスタムアップロードの画面を開き、「...」から「Upload new version」を選んで新しい.mcpbを上げます。
nameを書き換えると、更新ではなく別のカスタム拡張機能が1つ増えます。既存の利用者に同じ拡張機能として届け続けるなら、nameは固定し、versionだけを進めます。
症状から原因を切り分ける
許可リストまわりの困りごとは、次のどれかに当てはまることが多いです。
| 症状 | 見る場所 | 対処 |
|---|---|---|
| トグルをオンにしても一覧が空 | 見る場所デバイス管理ポリシーの2つのキー | 対処isDesktopExtensionEnabledかisDesktopExtensionDirectoryEnabledがfalseならtrueに戻す。WindowsはHKLMの値が優先 |
| メンバーの拡張機能が消えた | 見る場所有効化の時刻 | 対処仕様どおり。リストへ追加したあと、本人が再インストールする |
.mcpbのドラッグでインストールできない | 見る場所許可リストがオンか | 対処オンの間はアプリ内レジストリからのみ。社内製ならカスタム拡張機能として上げる |
| 許可リストが使えない | 見る場所Claude Desktopのバージョンと権限 | 対処要件は0.13.91以降。操作できるのはOwner・Primary Ownerのみ |
| 意図した拡張機能として入らない | 見る場所manifest.jsonのname | 対処nameは一意にする。変えると別のカスタム拡張機能になる |
| 更新したのに旧版のまま | 見る場所versionとname | 対処versionが現行より大きいか、nameを変えていないか見る |
| 許可リストを入れても自作のローカルMCPが動く | 見る場所isLocalDevMcpEnabled | 対処ローカルMCPの有効・無効は別のキーで決まる(既定はtrue) |
許可リストはレジストリ経由のインストールを絞る機能で、ローカルMCPサーバーの有効・無効はisLocalDevMcpEnabledが決めます。個人が設定ファイルから立ち上げる使い方は、冒頭で紹介したMCP設定ガイドが対象です。
よくある質問
Claude Codeにも似た許可リストはありますか
あります。ただし管理する対象が違います。Claude Code側はMCPサーバーの許可リストと拒否リストを組織で管理する仕組みで、設定方法はManaged MCPで許可リスト・拒否リストを組織管理するにまとめています。Desktopの許可リストは、Desktopのレジストリにある拡張機能のインストールを絞るものです。
まとめ
許可リストは「入れてよい拡張機能を絞る」機能で、有効化の瞬間にリスト外のものが消え、その後でリストを作る順番になります。メンバーが拡張機能を探して入れる流れはClaudeアプリ完全ガイドにあり、導入前に一度たどると影響が見えます。