ClaudeでSumo Logic MCPを使う方法 — ログ検索とアラート確認を権限つきで任せる

Sumo Logic MCPで何ができるか

Sumo Logic MCPサーバーは、Sumo Logicのログ検索、アラート、ダッシュボード、Cloud SIEMのインサイトを、MCPクライアントから自然文で操作する入口です。Claude Codeからは、障害時に「直近1時間のエラーを出して、同じ時間帯のアラートも見せて」と頼む使い方になります。

接続はOAuth 2.0で、ツールの可視範囲はSumo Logic側のロール権限で決まります。Claudeに広い権限を渡すのではなく、ログインしたユーザーの権限がそのまま上限になります。

先に押さえておく点は4つです。

• 対応しているのは、チューリッヒとAWS欧州ソブリンクラウドを除く商用デプロイメントです
• CIMD(Client ID Metadata Document)という認証方式を、管理者が先に有効にする必要があります
• 一括データ抽出やモデル学習用途は想定外で、リクエストは毎秒4件までです
• 書き込み系のツール(ダッシュボード更新、インサイトの状態変更、検知ルール作成)が混じっています

最後の点は、Claude Code側の権限設定で絞れます。手順は後半の節にあります。

接続前に管理者と手元で揃えるもの

Sumo Logicは、デプロイメントごとにMCPサーバーのURLが違います。OAuthトークンは1つのデプロイメントに紐づくため、組織のリージョンに合うURLを選ぶ必要があります。

組織がSAMLでサブドメイン経由のログインをしている場合は、ホスト名の前にサブドメインを足せます。US Westで組織名が acme なら https://acme.mcp.us2.sumologic.com/mcp です。ブラウザが組織のログインページへ直接飛ぶので、サブドメインを聞かれる手間が省けます。

管理者に頼む作業は2つあります。

1. MCPサーバーアクセスの確認: Administration > Feature Managementの「MCP Server access」行が有効か見ます。既定では有効です
2. CIMDの有効化: AdministrationのAccount Security SettingsにあるPoliciesで「Enable CIMD Clients」にチェックを入れます。既定は無効です

特定のクライアントだけ許可したい場合は、同じ画面で「Restrict to pre-registered clients only」を選び、クライアントごとにCIMDクライアントを作る運用もできます。

Claude Code CLIは有料のClaudeサブスクリプションかAnthropic Consoleのアカウントが前提です。

Claude Codeに登録して認証する

登録はシェルから claude mcp add で行います。<MCP-server-URL> は上のリージョン別URLに置き換えます。

claude mcp add --scope user --transport http \
  sumo-logic "<MCP-server-URL>"

--scope user はすべてのディレクトリで使える登録です。特定のリポジトリだけで使うなら --scope project にすると、そのディレクトリの .mcp.json に書かれます。

登録後は claude を起動して認証します。

OAuthクレデンシャルを自分で作る必要はなく、トークンの更新もブラウザ認証の流れで自動です。別の組織に切り替えるときは、/mcp からsumo-logicの「Clear authentication」を選び、もう一度Authenticateします。同意を一度与えた組織では再度の同意画面は出ません。取り消したいときはSumo Logicのユーザー設定にある「Personal Authorized Apps」から該当アプリを外します。

CIMDを使えないときの接続

CIMDを有効にできない場合は、事前登録したOAuthクライアントで接続します。Sumo Logicの手順では、Administration > Security > OAuth Clientsで「+ Add OAuth Client」を押し、Client TypeにAuthorization Code、Redirect URIに http://localhost:8888/callback を指定します。作成にはAdministratorロールが必要です。

登録コマンドは次の形です。クライアントシークレットはコマンド実行後にプロンプトで入力します。

claude mcp add --transport http --scope user \
  --client-id "<client-id>" --client-secret --callback-port 8888 \
  sumo-logic "<mcp-server-url>"

--callback-port は、事前登録したリダイレクトURI(http://localhost:PORT/callback)とポートを揃えるためのフラグです。Claude Code側のMCPドキュメントでも、固定ポートが要るサーバー向けの仕組みとして説明されています。自動化されたクライアントでサービスアカウントを使うClient Credentialsフローも用意されていますが、対話的に使うClaude CodeならAuthorization Codeで足ります。

どのツールで何を調べられるか

ツールは6系統に分かれています。Claudeに見えるツールは、OAuthトークンのスコープ、つまりSumo Logicのロールの権限で絞られます。

ロールに viewCse が無ければ、Cloud SIEMのツールは一覧に出ません。ただし表示と利用可否は別で、ライセンスの無い機能(たとえばCloud SIEM)のツールが一覧に出ても、呼ぶと失敗することがあります。ツールが見当たらないときは、まずロールに必要なscopeがあるかを見ます。

ログ検索は「探してから絞る」順に動く

runLogSearch は、時間範囲を指定して集計レコードか生メッセージを返します。範囲を絞らない検索を避けるため、モデルはまず探索系のツールで関連する _sourceCategory を探し、小さなサンプル検索でソースを確かめ、_collector の値を拾ってから本検索に進みます。_sourceCategory・_collector・_index・_view のいずれの絞り込みも付けずに30分を超える範囲を検索すると、リクエストは拒否されます。

Claudeに頼むときは、ソースを指定すると遠回りが減ります。

• 良い頼み方: 「_sourceCategory が prod/api のログで、過去1時間の error を1分刻みで数えて」
• 避けたい頼み方: 「全ログから最近の異常を探して」(探索系の呼び出しと再試行が増えます)

アラートからログへつなぐ例

アラートの確認は alertsSearch で、状態・重大度・モニター名・ミュート状況などで絞れます。調査はアラートからログへ渡す形が基本です。

過去24時間に発火したCriticalのアラートを一覧にして。
そのうち最も多いモニターについて、直近の発火時刻の前後30分のログを
該当ソースカテゴリで検索し、ノイズか実際の障害かを判断材料つきで教えて。

この例は、Sumo Logicの例示プロンプト(モニターのアラートを探し、発火窓のログを検索してノイズか判定する)に沿って組み直したものです。Claudeが返す結果の形は環境のデータ次第なので、ここでは出力例を載せません。

Monte Carloのようにデータ品質の監視に寄ったMCPとの違いは、ClaudeとMonte Carloを連携する方法で比べられます。Sumo Logicはログとセキュリティイベントの側に寄っています。

書き込み系ツールをClaude Code側で止める

Sumo LogicのMCPには、読み取りだけでなく、次のような変更系のツールがあります。

• updateDashboard / createDashboard(ダッシュボードの作成・更新)
• updateInsightStatus / updateInsightAssignee(インサイトの状態・担当者の変更)
• createThresholdRule / createTemplatedMatchRule(検知ルールの作成)

調査だけ任せたい期間は、Claude Codeの権限ルールで拒否に倒せます。MCPツールは mcp__<サーバー名>__<ツール名> で指定でき、サーバー名は登録時に付けた sumo-logic です。たとえば次のような設定です。

{
  "permissions": {
    "deny": [
      "mcp__sumo-logic__updateDashboard",
      "mcp__sumo-logic__createDashboard",
      "mcp__sumo-logic__updateInsightStatus",
      "mcp__sumo-logic__updateInsightAssignee",
      "mcp__sumo-logic__createThresholdRule",
      "mcp__sumo-logic__createTemplatedMatchRule"
    ]
  }
}

これを .claude/settings.json に置くと、該当ツールはClaudeに見えなくなります。ほかの読み取りツールを自動承認にするなら、mcp__sumo-logic__runLogSearch のようにツール名を完全に書く許可ルールが使えます。

注意点が2つあります。MCPツールのルールは括弧つきの引数マッチを書けず、そうした行は設定読み込み時にスキップされます。パラメーター単位で絞る代わりにツール単位で止める設計になります。ワイルドカードの許可ルールは mcp__sumo-logic__* のように、サーバー名の部分を固定した形に限られます。

Sumo Logic側でも、Cloud SIEMの変更系には cseManageInsightStatus や cseManageRules といった別のscopeが要ります。OAuthクライアントを自分で作る場合は、Scopesの欄で付与範囲を絞れます(何も選ばなければ全scope)。両側で絞ると、片方の設定漏れを補えます。

レート制限とコストを先に知っておく

リクエストは1ユーザーあたり毎秒4件、アクセスキーあたり同時10件までです。MCP経由の呼び出しも、ほかのAPI利用と同じ組織全体の枠に数えられます。上限を超えるとHTTP 429が返り、Retry-After ヘッダーが付きます。

ログ検索の1回のタイムアウトは2分です。超えると、レート制限とは別のエラーが返ります。対処は、時間範囲を狭めるか、ソースカテゴリをもっと具体的にすることです。

用途の線引きは次のとおりです。

Claude Code側にも出力の上限があります。MCPツールの出力が10,000トークンを超えると警告が出て、既定では25,000トークンで切られます。MAX_MCP_OUTPUT_TOKENS で上限は変えられますが、生メッセージを大量に返す検索は、集計クエリに言い換えてから頼むほうが安定します。

sumo-investigatorスキルで調査の型を固定する

毎回「まず探索して、サンプルを取って、絞って」と指示するのは手間です。Sumo Logicはこの流れ(探索 → サンプル → 絞り込み)に、アラートやインサイト、検知ルールの扱い方を足した SKILL.md を配布しています。Claude Codeのスキルは、配置したフォルダ名がそのままスラッシュコマンド名になります。

mkdir -p ~/.claude/skills/sumo-investigator
# ダウンロードした SKILL.md を上のフォルダに置く

プロジェクト専用にするなら .claude/skills/sumo-investigator/SKILL.md に置きます。最初のスキルを追加した場合は、Claude Codeを再起動して読み込ませます。以後は調査の質問をすると自動で呼ばれるか、/sumo-investigator で明示的に呼べます。

このスキルは出発点という位置づけで、MCPサーバー側でツールが追加・削除・改名されたら、スキルの記述も合わせて直す前提です。スキルの作り方そのものはClaude Codeスキルの解説にまとめています。

つながらないときの切り分け

IPアローリストはMCP経由でも効きます。ログ検索(runLogSearch)を含む全ツールが、元のクライアントIPをSumo Logicに転送するためです。

導入前に決めておくこと

運用開始前に決めておきたいのは次の3点です。

• 権限: 調査専用のロールを作って、そのユーザーで認証するか。Claude Code側のdenyで書き込みも止めるか
• 範囲: 最初に読ませるソースカテゴリを数個に限り、Flex料金の組織は使用量を見る期間を設けるか
• 使い分け: 定型の集計や大量取得はSearch Job APIやダッシュボードに残し、MCPは「原因を探る会話」に絞るか

Sumo Logic側は、MCPサーバーへの接続を切っても既存のデータは消えず、MobotやSOC Analyst Agentの設定にも影響しないと説明しています。MCPの有効・無効は、組織単位でいつでも切り替えられます。同じ考え方での本番アクセスの設計はMCPの本番アクセス設計でも扱っています。