Claude Microsoft 365コネクタの設定手順 — 管理者が行う同意と権限管理

Microsoft 365コネクタの設定は何を揃える必要があるか

Claude Microsoft 365コネクタは、Free・Pro・Max・Team・Enterpriseの全プランで使えます。ただし個人が接続ボタンを押すだけでは完結せず、裏側でMicrosoft Entraの管理者による同意が必ず必要になる設計です。接続が成立すると、SharePoint・OneDrive・Outlook・Teamsを横断してClaudeから検索できるようになります。書き込みツールを別途有効にすれば、メール送信やカレンダー登録、ファイルの作成・更新まで任せられます。

前提として、接続にはMicrosoft Businessプランに紐づくMicrosoft Entraのテナントが要ります。@outlook.comや@hotmail.comのような個人アカウントでは接続できません。エンドユーザーが実際に接続する手順はCowork × Microsoft 365連携ガイド、Cowork内での承認モードの位置づけはClaude CoworkのConnectors一覧で扱っています。本記事は、その前段にある管理者側のセットアップに絞って解説します。

セットアップの全体像

必要な工程は最大3つです。書き込みツールを使わないなら2つで完了します。

1. Team・Enterpriseプランのみ: Claude組織のオーナーが組織設定でコネクタを有効化する
2. すべてのテナントで必須: Microsoft Entraのグローバル管理者が、テナント全体への一度きりの同意を許可する
3. 書き込みツールを使う場合のみ: Microsoft Entra管理者が更新後の権限セットに同意し、組織側でも書き込みツールを有効化する

Free・Pro・Maxプランでは1番目の手順が不要です。メンバー自身が「Customize」→「Connectors」からMicrosoft 365を見つけて接続を始められます。

Claude組織でコネクタを有効化する(Team・Enterprise限定)

1. Claudeにサインインする
2. 「Organization settings」→「Connectors」を開く
3. ページ上部の「+ Add」→「All available」をクリックする
4. 「Microsoft 365」を見つけて「Add to your team」をクリックする

Microsoft Entra管理者の同意を取得する

テナントの同意方法は2通りあります。

方法1: Claude経由で同意する

Microsoft Entraのグローバル管理者がClaudeアカウントを持っている場合、通常の接続フローの中で同意を済ませられます。「Customize」→「Connectors」からMicrosoft 365の「Connect」をクリックし、Microsoft 365の認証情報でサインインしたあと、「組織全体に代わってアクセスを許可する」チェックボックスにチェックを入れて権限を承認します。これで完了です。同じテナントの他のメンバーは、この後は同意画面を見ることなく認証するだけで使い始められます。

方法2: Microsoft Entra IDで手動設定する

グローバル管理者がClaudeアカウントを持っていない場合や、アプリのインストールと権限設定をトラブルシューティングしたい場合の経路です。テナントに2つのサービスプリンシパルを追加し、管理者同意を直接付与します。

# 1. サービスプリンシパルを追加(Microsoft Graph Explorer経由)
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"08ad6f98-a4f8-4635-bb8d-f1a3044760f0"}   # M365 MCP Client for Claude
 
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"07c030f6-5743-41b7-ba00-0a6e85f37c17"}   # M365 MCP Server for Claude

サービスプリンシパルを追加したら、次のURLの{your-tenant-id}を自組織のテナントIDに置き換えてブラウザーで開き、それぞれ管理者同意を許可します。

• https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=08ad6f98-a4f8-4635-bb8d-f1a3044760f0
• https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=07c030f6-5743-41b7-ba00-0a6e85f37c17

最後に、Team・EnterpriseプランならClaude組織のオーナーが「Organization settings」→「Connectors」でコネクタを有効化します。Free・Pro・Maxプランのメンバーは「Customize」→「Connectors」から個別に接続します。

アクセスできるユーザーを制限する

テナント内の特定のユーザーだけに接続を絞りたい場合は、Microsoft Entra管理センターで制御します。

1. Microsoft Entra管理センター(entra.microsoft.com)を開く
2. 「M365 MCP Server for Claude」のエンタープライズアプリケーションに移動する
3. 「Properties」で「Assignment required?」を「Yes」に設定する
4. 「Users and groups」でアクセスを許可する特定のユーザー・グループを追加する
5. 「M365 MCP Client for Claude」でも同じ手順を繰り返す

2つのコンポーネントは同じ対象者に揃えて制限する必要があります。

権限スコープを個別に絞り込む

アクセスできるリソースの種類そのものを制限したい場合は、既定で許可されているスコープから選んで取り消します。Microsoft Entra管理者権限が必要です。

1. Microsoft Entra管理者としてentra.microsoft.comを開く
2. 「Enterprise Applications」を選ぶ
3. 検索ボックス横のアプリケーション種別フィルターを外す
4. 「M365 MCP Server for Claude」を検索してクリックする
5. 「Permissions」に移動する
6. 「Admin consent」タブのMicrosoft Graph権限一覧から取り消したい権限を選び、「…」ボタンから「Revoke permission」→「Yes, revoke」で確定する

取り消した権限に対応するツールを呼び出そうとすると、「Failed to call tool」というエラーが返るようになります。メンバー自身のMicrosoft 365設定側で該当ツールをオフにしておけば、エラー表示を避けられます。取り消した権限を元に戻すには、方法2の手動設定と同じ手順で管理者同意をやり直します。

書き込みツールを有効にする

読み取り・検索系のツールは書き込みツールの有無に関わらず同じように動きます。書き込みツールを追加すると、メールの送信、下書き・予定の管理、OneDriveとSharePoint上のファイル作成・更新まで任せられるようになります。

1. 更新後の権限に同意し直す: 書き込みツールの追加によりMicrosoft Graphのスコープが増えるため、以前に同意済みのテナントでもMicrosoft Entraのグローバル管理者が更新後の権限セットを承認し直す必要があります(テナントごとに一度だけ)
2. 組織側で書き込みツールを有効化する: 「Organization settings」→「Connectors」の「Microsoft 365」から有効にします。Enterpriseプランではカスタムロールを使って一部のユーザーだけに絞ることもできます
3. 動作確認する: 「自分宛てにメールの下書きを作成して、送信はしないで」のようなリスクの低い指示で、書き込みツールが実際に動くか確認します

権限の一覧

コネクタが要求する権限は、読み取り系と書き込み系で分かれています。

共有メールボックスの検索は、利用者がMicrosoft 365側ですでに委任アクセスを持っていれば追加設定なしで対象になります。一方でOnline Archive(In-Place Archive)に退避したメールは検索対象に含まれません。SharePointの検索はテナント全体が対象で、サイト単位の検索制限には対応していません。

プライバシーと権限の設計

コネクタは委任アクセス(delegated permission)で動きます。Claudeは各利用者がMicrosoft 365側で元々アクセスできる範囲しか見られず、利用者本人が直接見られないデータには権限のうえでも到達できません。アクセスは利用者が明示的に質問したときだけ発生するオンデマンド方式で、常時同期しているわけではありません。

権限を取り消す経路も何段階かあります。メンバー本人は「Customize」→「Connectors」から自分の接続を切断できます。Team・Enterpriseプランのオーナーは組織設定からコネクタ自体を組織全体で無効化できます。

よくあるつまずき

Conditional Accessに関するつまずきが最も多く報告されています。接続時にサーバー側で発生する認可リクエストは、Anthropicが用意したサーバー経由(IPレンジ160.79.104.0/21)でMicrosoftに送られます。テナントのConditional Accessポリシーは、この送信元をAnthropicのIPレンジとして評価するため、メンバー本人のブラウザーでのサインインは成功しているのに、その直後のサーバー側リクエストだけがブロックされることがあります。

症状は3パターンに分かれます。

エラーコードから原因のポリシー種別が分かります。

原因のポリシーを特定するには、Microsoft Entra管理センターのサインインログで「User sign-ins (non-interactive)」タブを開き、対象メンバーで絞り込みます。フィルターはリソースではなくメンバーで絞るほうが確実です。該当する失敗エントリを開き、「Conditional Access」タブでブロックしたポリシー名を確認します。

サインイン頻度やロケーションベースのポリシーが原因の場合は、Conditional Accessの「Named locations」でAnthropicのIPレンジ(160.79.104.0/21)を含む場所を作成し、該当ポリシーの除外設定に加えます。「Mark as trusted location」はチェックしないほうが、他のポリシーへの影響を避けられます。

この除外は、Anthropicのアドレスから届くリクエスト全体に効きます。つまり組織の全メンバーのMicrosoft 365コネクタ経由の通信について、そのポリシーが外れることになるため、対象範囲を理解したうえで設定してください。

書き込みツールが表示されないとき

書き込みツールを有効化したはずなのにメンバー側のツール一覧に出てこない場合は、次の4点を順に確認してください。

1. Microsoft Entraのグローバル管理者が、更新後の権限セットに同意し直しているか
2. 組織設定でコネクタの書き込みツールが有効になっているか
3. 該当メンバーがロールベースのアクセス制限の対象に含まれているか(制限をかけている場合)
4. メンバー自身が「Customize」→「Connectors」で一度切断してから再接続したか

いずれか一つでも欠けていると、権限自体は許可されていても書き込みツールが表示されないままになります。

Enterprise-managed authでの一括認証は使えるか

Claudeには、Oktaと連携して組織のIDプロバイダー経由でConnectorsを一括認可する「Enterprise-managed auth」というベータ機能もあります。ただし対応コネクタはAsana・Atlassian・Canva・Datadog・Figma・Granola・Linear・Notion・Slack・Supabaseの10種類で、Microsoft 365は含まれていません。仕組みの詳細はClaude Enterpriseでコネクタを一括認証する設定手順にまとめています。

Microsoft 365は、Okta経由の一括認証とは別に、Microsoft Entra自身のテナント同意という独自の仕組みで組織展開を実現しています。同意さえ済めば以降のメンバーは個別の認証画面を見ずに済む点は共通していますが、鍵を握るのがOktaのIDプロバイダーではなくMicrosoft Entra管理者である点が違います。両方の仕組みを混同すると、Microsoft 365をEnterprise-managed authの対象コネクタ一覧に探しに行って見つからず、設定漏れと勘違いしてしまう手戻りが起きやすいところです。

よくある質問

同意が済む前にメンバーが接続しようとするとどうなりますか

管理者がアプリの権限を許可する必要がある旨のエラーが表示されます。Microsoft Entraのグローバル管理者が必要な権限を承認するまで、接続は失敗し続けます。

エンタープライズ検索と組み合わせて使えますか

使えます。エンタープライズ検索が有効な環境では、Slack・Google WorkspaceなどほかのConnectorと横並びで、Microsoft 365も統合検索の対象になります。

読み取れるファイル形式は何ですか

Word・Excel・PowerPoint(古い.doc・.xls・.ppt形式を含む)、PDF、.txt・.md・.csvのようなプレーンテキスト形式です。OneNoteなど対応していない形式もあります。

まとめ

Claude Microsoft 365コネクタの導入は、Team・Enterpriseなら組織側の有効化とMicrosoft Entra管理者のテナント同意という2段階が必須です。書き込みツールを使うにはさらに更新後の権限への再同意と組織側の有効化が加わります。権限はユーザー・グループ単位でもスコープ単位でも個別に絞り込め、失敗時の多くはConditional AccessポリシーがAnthropicのサーバー側IPレンジをブロックしていることが原因です。OktaベースのEnterprise-managed authとは対象コネクタが別物である点も、導入前に押さえておく価値があります。