Claude Microsoft 365コネクタの設定手順 — 管理者が行う同意と権限管理

Microsoft 365コネクタの設定は何を揃える必要があるか

Claude Microsoft 365コネクタは、Free・Pro・Max・Team・Enterpriseの全プランで使えます。ただし個人が接続ボタンを押すだけでは完結せず、裏側でMicrosoft Entraの管理者による同意が必ず必要になる設計です。接続が成立すると、SharePoint・OneDrive・Outlook・Teamsを横断してClaudeから検索できるようになります。書き込みツールを別途有効にすれば、メール送信やカレンダー登録、ファイルの作成・更新、Teamsへの投稿まで任せられます。

前提として、接続にはMicrosoft Businessプランに紐づくMicrosoft Entraのテナントが要ります。@outlook.comや@hotmail.comのような個人アカウントでは接続できません。個人アカウントで試すと、同意画面より前にMicrosoftのサインイン画面が拒否します。表示は「You can't sign in here with a personal account. Use your work or school account instead.」です。Claude Codeの/mcpからの接続での報告があります(#53408)。管理者設定の不備ではなく、テナントの種類で弾かれている症状です。エンドユーザーが実際に接続する手順はCowork × Microsoft 365連携ガイド、Cowork内での承認モードの位置づけはClaude CoworkのConnectors一覧で扱っています。本記事は、その前段にある管理者側のセットアップに絞って解説します。

セットアップの全体像

必要な工程は最大3つです。書き込みツールを使わないなら2つで完了します。

Free・Pro・Maxプランでは1番目の手順が不要です。メンバー自身が「Customize」→「Connectors」からMicrosoft 365を見つけて接続を始められます。

Claude組織でコネクタを有効化する(Team・Enterprise限定)

1. Claudeにサインインする
2. 「Organization settings」→「Connectors」を開く
3. ページ上部の「+ Add」→「All available」をクリックする
4. 「Microsoft 365」を見つけて「Add to your team」をクリックする

Microsoft Entra管理者の同意を取得する

テナントの同意方法は2通りあります。どちらを選ぶかは、グローバル管理者がClaudeアカウントを持っているかで決まります。

方法1: Claude経由で同意する

Microsoft Entraのグローバル管理者がClaudeアカウントを持っている場合、通常の接続フローの中で同意を済ませられます。「Customize」→「Connectors」からMicrosoft 365の「Connect」をクリックし、Microsoft 365の認証情報でサインインしたあと、同意画面にある、組織全体に代わってアクセスを許可するチェックボックスにチェックを入れて権限を承認します。これで完了です。同じテナントの他のメンバーは、この後は同意画面を見ることなく認証するだけで使い始められます。

方法2: Microsoft Entra IDで手動設定する

グローバル管理者がClaudeアカウントを持っていない場合や、アプリのインストールと権限設定をトラブルシューティングしたい場合の経路です。テナントに2つのサービスプリンシパルを追加し、管理者同意を直接付与します。

# 1. サービスプリンシパルを追加(Microsoft Graph Explorer経由)
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"08ad6f98-a4f8-4635-bb8d-f1a3044760f0"}   # M365 MCP Client for Claude
 
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"07c030f6-5743-41b7-ba00-0a6e85f37c17"}   # M365 MCP Server for Claude

サービスプリンシパルを追加したら、次のURLの{your-tenant-id}を自組織のテナントIDに置き換えてブラウザーで開き、それぞれ管理者同意を許可します。

• https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=08ad6f98-a4f8-4635-bb8d-f1a3044760f0
• https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=07c030f6-5743-41b7-ba00-0a6e85f37c17

最後に、Team・EnterpriseプランならClaude組織のオーナーが「Organization settings」→「Connectors」でコネクタを有効化します。Free・Pro・Maxプランのメンバーは「Customize」→「Connectors」から個別に接続します。

アクセスできるユーザーを制限する

テナント内の特定のユーザーだけに接続を絞りたい場合は、Microsoft Entra管理センターで制御します。

1. Microsoft Entra管理センター(entra.microsoft.com)を開く
2. 「M365 MCP Server for Claude」のエンタープライズアプリケーションに移動する
3. 「Properties」で「Assignment required?」を「Yes」に設定する
4. 「Users and groups」でアクセスを許可する特定のユーザー・グループを追加する
5. 「M365 MCP Client for Claude」でも同じ手順を繰り返す

2つのコンポーネントは同じ対象者に揃えて制限する必要があります。

権限スコープを個別に絞り込む

アクセスできるリソースの種類そのものを制限したい場合は、既定で許可されているスコープから選んで取り消します。Microsoft Entra管理者権限が必要です。

1. Microsoft Entra管理者としてentra.microsoft.comを開く
2. 「Enterprise Applications」を選ぶ
3. 検索ボックス横のアプリケーション種別フィルターを外す
4. 「M365 MCP Server for Claude」を検索してクリックする
5. 「Permissions」に移動する
6. 「Admin consent」タブのMicrosoft Graph権限一覧から取り消したい権限を選び、「…」ボタンから「Revoke permission」→「Yes, revoke」で確定する

取り消した権限に対応するツールを呼び出そうとすると、「Failed to call tool」というエラーが返るようになります。メンバー自身のMicrosoft 365設定側で該当ツールをオフにしておけば、エラー表示を避けられます。取り消した権限を元に戻すには、方法2の手動設定と同じ手順で管理者同意をやり直します。

書き込みツールを有効にする

読み取り・検索系のツールは書き込みツールの有無に関わらず同じように動きます。書き込みツールを追加すると、次の操作まで任せられるようになります。メールの送信、下書き・予定・メールボックス設定の管理、OneDriveとSharePoint上のファイル作成・更新、Teamsへのメッセージ送信です。

1. 更新後の権限に同意し直す: 書き込みツールの追加によりMicrosoft Graphのスコープが増えるため、以前に同意済みのテナントでもMicrosoft Entraのグローバル管理者が更新後の権限セットを承認し直す必要があります(テナントごとに一度だけ)
2. 組織側で書き込みツールを有効化する: 「Organization settings」→「Connectors」の「Microsoft 365」から有効にします。書き込みツールの提供前からコネクタを使っていた組織では、既定でブロックされています。Enterpriseプランではカスタムロールを使って一部のユーザーだけに絞ることもできます。Teamsは送信・投稿・返信のツールを1つずつ設定する形で、Ask(メンバーが送信のたびに確認)かBlockedを選べます。新規チャットの開始だけはAllowにもできます。コネクタ全体の「すべてのツール」の許可だけではTeams書き込みは有効になりません
3. 動作確認する: 「自分宛てにメールの下書きを作成して、送信はしないで」のようなリスクの低い指示で、書き込みツールが実際に動くか確認します

権限の一覧

コネクタが要求する権限は、読み取り系と書き込み系で分かれています。

共有メールボックスの検索は、利用者がMicrosoft 365側ですでに委任アクセスを持っていれば追加設定なしで対象になります。メールの検索対象は各利用者のプライマリメールボックス(Archiveフォルダーを含む)と共有メールボックスです。一方でOnline Archive(In-Place Archive)に退避したメールは検索対象に含まれず、保持ポリシーで移されたメッセージは結果に出ません。SharePointの検索はテナント全体が対象で、サイト単位の検索制限には対応していません。

プライバシーと権限の設計

コネクタは委任アクセス(delegated permission)で動きます。Claudeは各利用者がMicrosoft 365側で元々アクセスできる範囲しか見られず、利用者本人が直接見られないデータには権限のうえでも到達できません。アクセスは利用者が明示的に質問したときだけ発生するオンデマンド方式で、常時同期しているわけではありません。

権限を取り消す経路も何段階かあります。メンバー本人は「Customize」→「Connectors」から自分の接続を切断できます。Team・Enterpriseプランのオーナーは組織設定からコネクタ自体を組織全体で無効化できます。

よくあるつまずき

接続時にサーバー側で発生する認可リクエストは、Anthropicのサーバー経由(IPレンジ160.79.104.0/21)でMicrosoftに送られます。Anthropicの検証では、EntraのConditional Accessはこの送信元をAnthropicのIPレンジとして評価します。リクエストは接続時に記録されたデバイスを引き継ぐので、メンバー本人のサインインは成功しているのに、その直後、あるいは数日後のサーバー側リクエストだけがブロックされることがあります。

症状は3パターンに分かれます。

エラーコードから原因のポリシー種別が分かります。

原因のポリシーを特定するには、Microsoft Entra管理センターのサインインログで「User sign-ins (non-interactive)」タブを開き、対象メンバーで絞り込みます。フィルターはリソースではなくメンバーで絞るほうが確実です。該当する失敗エントリを開き、「Conditional Access」タブでブロックしたポリシー名を確認します。

サインイン頻度やロケーションベースのポリシーが原因の場合は、Conditional Accessの「Named locations」でAnthropicのIPレンジ(160.79.104.0/21)を含む場所を作成し、該当ポリシーの除外設定に加えます。Claudeの2つのアプリをポリシーから除外するだけでは足りず、IPレンジの除外も併せて行うのが公式の推奨です。「Mark as trusted location」はチェックしないでおくと、信頼済みの場所を使う他のポリシーに影響しません。続けて、ブロックしたポリシーの「Conditions」→「Locations」→「Exclude」にその場所を追加し、Claudeアプリ向けの既存の除外はそのまま残します。保存して数分待ち、影響を受けたメンバーに「Customize」→「Connectors」で切断と再接続をしてもらいます。

この除外は、Anthropicのアドレスから届くリクエスト全体に効きます。つまり組織の全メンバーのMicrosoft 365コネクタ経由の通信について、そのポリシーが外れます。サインイン頻度ポリシーなら、コネクタのバックグラウンド通信も対象外になり、接続は90日間使われなくなるまで維持されます。定期的な再接続を残したいなら、ポリシーはそのままにして、再接続時にブラウザーでMicrosoftからサインアウトするか、プライベートウィンドウを使う手もあります。変更前に効果を見たいときは、ポリシーを複製してレポート専用モードで試せます。

書き込みツールが表示されないとき

書き込みツールを有効化したはずなのにメンバー側のツール一覧に出てこない場合は、次の4点を順に確認してください。

1. Microsoft Entraのグローバル管理者が、更新後の権限セットに同意し直しているか
2. 組織設定でコネクタの書き込みツールが有効になっているか
3. 該当メンバーがロールベースのアクセス制限の対象に含まれているか(制限をかけている場合)
4. メンバー自身が「Customize」→「Connectors」で一度切断してから再接続したか

いずれか一つでも欠けていると、権限自体は許可されていても書き込みツールが表示されないままになります。

4点とも満たしているのに書き込みが動かないとき

GitHubのissueには、上の確認項目だけでは説明のつかない報告が上がっています。いずれも利用者の報告で、Anthropicの見解ではありません。

• 書き込み系スコープが権限一覧に無い: カレンダー書き込みが、管理者アカウントを含む全アカウントで403になったという報告があります。エラー文は管理者同意の不足を示唆していました。ところが報告者が「Admin consent」タブを確認したところ、状況は違いました。Calendars.ReadWriteとMailboxSettings.ReadWriteは未同意ではなく、一覧にそもそも存在しなかったのです。報告者の結論は、コネクタ側のスコープ要求の問題です(#91654、対応予定なし(not planned)でクローズ)。現在の公式の書き込み権限一覧には両スコープが含まれます。一覧に無いときは、まず更新後の権限セットへの再同意を試し、それでも現れなければ報告と同じ症状です。
• 接続済みなのに下書きツールだけ消える: Windowsデスクトップでの報告です。コネクタはconnectedを示し、検索・読み取り・カレンダー・Teamsの19ツールだけが見えて、Outlookの下書き系ツールが数日間欠けたままでした。同じセッションで取得した付与済みスコープにはMail.ReadWriteとMail.Sendがありました。復旧したのは、設定画面でコネクタを無効化して再度有効にし、新しいセッションを始めたときだけとのことです(#97376)。1件の報告なので、再現条件までは確認できていません。
• 組織のAsk・BlockedがCLIで効かない: 組織設定でツールごとに設定した許可レベルが、Claude Code CLIで守られなかったという報告があります。対象はGmailコネクタで、Team plan環境での事例です(#97069)。Microsoft 365の書き込みを「Ask」で運用する組織は、CLIから使わせる前に、自分のテナントで実際に確認を求められるかを試しておくと安全です。

Enterprise-managed authでの一括認証は使えるか

Claudeには、Oktaと連携して組織のIDプロバイダー経由でConnectorsを一括認可する「Enterprise-managed auth」という機能もあり、Team・Enterpriseプランで一般提供されています。ただし対応コネクタはAsana・Atlassian・Canva・Datadog・Figma・Granola・Linear・Notion・Slack・Supabaseの10種類で、Microsoft 365は含まれていません。仕組みの詳細はClaude Enterpriseでコネクタを一括認証する設定手順にまとめています。

Microsoft 365は、Okta経由の一括認証とは別に、Microsoft Entra自身のテナント同意という独自の仕組みで組織展開を実現しています。同意さえ済めば以降のメンバーは同意画面を見ずに済み、認証だけで使い始められます。ただし、鍵を握るのはOktaのIDプロバイダーではなくMicrosoft Entra管理者です。

よくある質問

同意が済む前にメンバーが接続しようとするとどうなりますか

管理者がアプリの権限を許可する必要がある旨のエラーが表示されます。Microsoft Entraのグローバル管理者が必要な権限を承認するまで、接続は失敗し続けます。

エンタープライズ検索と組み合わせて使えますか

使えます。エンタープライズ検索が有効な環境では、Slack・Google WorkspaceなどほかのConnectorと横並びで、Microsoft 365も統合検索の対象になります。

読み取れるファイル形式は何ですか

Word・Excel・PowerPoint(古い.doc・.xls・.ppt形式を含む)、PDF、.txt・.md・.csvのようなプレーンテキスト形式です。OneNoteなど対応していない形式もあります。

まとめ

切り分けの入口は、失敗が接続前か接続後か、読み取りか書き込みかの3点です。デバイスポリシーが原因のときだけは、IPレンジ除外を使うとコネクタのデバイス確認そのものが外れるので、メンバーの再接続で解消する道を先に取ります。