Cowork常に許可がグレーアウトする原因と直し方

Coworkの承認ダイアログで「すべてのタスクで許可」がグレーアウトして選べないとき、原因はほぼ一つです。組織設定「Allow "Always allow" for connector tools」がオフになっています。この設定名の"Always allow"が、コネクタ側のツール権限「常に許可」およびダイアログの選択肢「すべてのタスクで許可」と同じ言葉を指しており、この三者の対応がつかめないと原因を見誤ります。コネクタ側の権限を個別に「常に許可」へ変えても、この組織設定がオフのままだと反映されません。Team・Enterpriseプランでは既定でオフのため、設定を変更していない組織では必ずこの症状が起きます。

「すべてのタスクで許可」がグレーアウトする直接の原因

Coworkの承認は、個人が選ぶモードと、コネクタごとのツール権限という2つの軸で決まります。モードは「Manually approve(要確認)」「Automatically approve(自動承認)」「Skip all approvals(すべての承認を省略)」の3種類、コネクタ側のツール権限は「常に許可」「要承認」「ブロック」の3種類です。この組み合わせで、実際にどこまで自動で進むかが変わります。

この表は個人アカウントの範囲で完結する挙動です。ところがTeam・Enterpriseプランでは、これに管理者側の組織設定がもう一段重なります。「Organization settings > Cowork」の「Permissions」配下に、書き込み可能なコネクタツールについてメンバーがタスクごとの承認を省略できるかを管理者が決める項目があり、この設定は既定でオフです。オフの状態では、コネクタ側の権限をいくら「常に許可」に変えても、承認ダイアログの「すべてのタスクで許可」という選択肢自体がグレーアウトして選べません。以前に保存していた「常に許可」の設定も無効化され、この組織設定がオンになるまでメンバーは書き込み系のツールをタスクごとに承認し続けることになります。

つまり、グレーアウトは個人設定のミスではなく、組織設定が上位で蓋をしている状態です。ここを直すには管理者権限が必要です。

似た名前の組織設定と混同しない

「Organization settings > Cowork」の「Permissions」には、名前が紛らわしい設定が複数並んでいます。原因を切り分ける前に、この4つを区別しておくと遠回りを防げます。コネクタごとの権限設定の基本はClaude CoworkのConnectors一覧にまとめています。

• Coworkを組織で有効にするかどうかのトグル(Enable for your organization): これがオフだと、そもそもメンバーの画面にCowork自体が表示されません
• クラウドでの実行を許可するかどうかのトグル(Run Cowork in the cloud): セッションをAnthropicのクラウド上で動かせるかどうかを決めるだけで、承認ダイアログの挙動には関係しません
• Auto modeを使えるかどうかのトグル(Allow "Automatically approve" mode): メンバーがモード選択で「Automatically approve」を選べるかどうかを決めるだけの設定で、既定でオンです。オフにするとこのモード自体が選択肢から消えますが、これは「どのモードを使えるか」の話であって、モードを選んだ後に個々のツールをどこまで自動で通すかとは別軸です
• コネクタツールの「常に許可」を許可するかどうかのトグル(Allow "Always allow" for connector tools): 本稿で扱っている設定で、これだけが「すべてのタスクで許可」のグレーアウトに関係します。既定でオフです

Auto modeのトグルとコネクタツールのトグルは、どちらも「承認」という言葉が付くため混同しやすいものの、前者はモードの有無、後者はモード内での省略可否を決める全く別の設定です。管理者がAuto modeのトグルやクラウド実行のトグルをオンにしても症状が変わらないのは、そもそも見ている設定が違うためです。4つとも同じ「Permissions」や「Cowork」の画面内に並んでいるため、名前を確認してから操作します。

管理者が組織設定をオンにする手順

グレーアウトを解除するには、Team・EnterpriseのOwnerまたはPrimary Ownerの権限で以下を行います。

1. Team・Enterprise組織にOwnerまたはPrimary Ownerとしてログインする
2. 「Organization settings」から「Cowork」を開く
3. 「Permissions」内の「Allow "Always allow" for connector tools」トグルを見つける
4. トグルをオンにする

オンにすると、コネクタ側で「常に許可」に設定した書き込みツールについて、メンバーは承認ダイアログで「すべてのタスクで許可」を選べるようになります。反映は組織全体に及ぶ点に注意してください。この設定はメンバー単位ではなく組織単位のオン・オフしか用意されていません。

オンにしても解決しない場合に確認すること

トグルをオンにしても症状が消えないときは、次の4点を順に確認します。

読み取り専用のはずなのにグレーアウトが残る場合、原因はコネクタ側の実装にあります。読み取り専用ツールがこの制限の対象外になるのは、コネクタがそのツールを「読み取り専用」だと明示的に注釈している場合に限られます。多くのカスタムコネクタはこの注釈を持たないため、実質的にはほとんどのツールがこの組織設定の対象に入ります。コネクタの提供元が注釈を付けていない限り、Cowork側の設定だけでは解決しません。

Enterpriseでロールに権限を付与しても直らない場合、レイヤーの優先順位を勘違いしています。この組織設定はカスタムロールによる権限付与とも重なり、両者が競合する場面ではより制限の厳しい側が優先されます。ロール側で許可を広げても、組織設定側の制限を上書きすることはできません。まずこの組織設定をオンにしてから、ロール設計で個別チームの範囲を絞り込む順番が必要です。

削除操作は常に明示的な許可が必要なのは仕様です。ファイルの完全削除は、モードや組織設定にかかわらず常に許可を求められます。この組織設定をオンにしても、削除は対象外のまま残ります。

以前保存していた「常に許可」の設定が反映されないのも、この組織設定がオフだったことが原因です。オンにした後、コネクタ側の権限設定を一度確認し直すと反映されます。保存済みの設定が自動的に有効になるわけではない点に注意してください。

この設定が及ばない範囲

「Allow "Always allow" for connector tools」は、コネクタのツールにだけ効く設定です。Coworkに同梱されるプラグインには、コネクタのような個別の承認トグルが用意されていません。プラグインへのアクセスはCowork自体を組織で有効にするかどうかの管理者設定に含まれる形で扱われるため、この組織設定をオンにしてもプラグイン側の挙動は変わりません。プラグインの権限設計はClaude CoworkのRBAC運用で扱っています。

また、この症状が起きるのはTeam・Enterpriseプランに限られます。Pro・Maxプランは個人契約で、組織単位の管理者設定という概念自体がありません。Pro・Maxで「すべてのタスクで許可」がグレーアウトして見える場合は、別の原因(コネクタ側の権限が「要承認」や「ブロック」になっている、対象が完全削除である、など)を疑う必要があります。

組織全体でオンにするかは部署の業務内容で決まる

この設定を組織全体でオンにするかどうかは、一律に決まる話ではありません。読み取り中心の定型レポート業務が多い部署では、オンにする恩恵が大きい一方、支出確定や個人情報を扱う書き込み操作が多い部署では、タスクごとの承認を残す方が安全に働きます。組織設定は全社一括のオン・オフしかないため、部署ごとに強弱を付けたい場合はコネクタ側のツール権限(常に許可・要承認・ブロック)と、Enterpriseのカスタムロールを組み合わせて設計する必要があります。オンにした後の実害を抑えたい場合は、Team・EnterpriseのOwnerが利用できるOpenTelemetry連携でCoworkの操作イベントをSIEMや監視基盤へ流し込み、書き込みツールがどこまで自動実行されたかを事後に追える状態にしておくと、承認を省いた分の見通しを補えます。この判断軸と部署別の設計例はCowork Approval Gatesを部門ごとに設計する考え方にまとめてあるので、グレーアウトを解除した後の運用設計はそちらを参照してください。

まとめ

「すべてのタスクで許可」がグレーアウトする原因は、組織設定「Allow "Always allow" for connector tools」がオフになっていることです。Team・EnterpriseのOwnerが「Organization settings > Cowork > Permissions」でこのトグルをオンにすれば解除されます。オンにしても直らないときは、コネクタの読み取り専用注釈の有無、Enterpriseのロール権限との優先順位、削除操作の例外、保存済み設定の再確認、の4点を順にチェックしてください。組織全体でオンにするかどうかは部署の業務内容次第で、一律の正解はありません。