Cowork常に許可がグレーアウトする原因と直し方
Coworkの承認ダイアログで「Allow for all tasks」が選べないのは、組織設定がオフのままだからです。症状からの切り分けと管理者側の直し方、直らないときの確認点を示します。
Coworkの承認ダイアログで「Allow for all tasks」(すべてのタスクで許可)がグレーアウトして選べないとき、原因はほぼ一つです。組織設定「Allow "Always allow" for connector tools」がオフになっています。
この設定名の"Always allow"は、コネクタ側のツール権限「常に許可」とダイアログの選択肢「Allow for all tasks」に対応する言葉です。三者の対応がつかめないと原因を見誤ります。コネクタ側の権限を個別に「常に許可」へ変えても、組織設定がオフのままだと反映されません。
Team・Enterpriseプランでは既定でオフなので、設定を触っていない組織ではこの症状が出ます。
症状からたどる切り分け
グレーアウトを見たメンバーが、管理者へ頼む前に自分で確認できる順番を示します。
グレーアウトの原因を絞る4つの確認
- 1
契約がTeam・Enterpriseか
この組織設定が説明されているのは、Team・Enterprise向けのヘルプ記事です。Getting startedのヘルプ記事も、管理者による承認の制御をTeam・Enterpriseに限って書いています。個人プランには組織の管理画面がないので、この組織設定が原因になる経路は記事上ありません。組織の管理画面がある契約かどうかを先に確かめます。
- 2
止まっているツールは書き込み可能か
設定の対象は、書き込み可能なコネクタツールです。読み取り専用のツールだけが止まっているなら、次の確認へ進みます。メンバー側のツール権限は、チャット欄の「+」メニューか「Customize > Connectors」ページで確認できます。
- 3
コネクタが読み取り専用と注釈しているか
読み取り専用のツールが対象外になるのは、コネクタ側がそう注釈している場合だけです。注釈のないカスタムコネクタでは、すべてのツールが対象に入ります。
- 4
管理者に組織設定の状態を聞く
上の3点に当てはまるなら、管理者がオンにするまでメンバー側では解除できません。操作手順は後の節にあります。
グレーアウトの直接の原因は組織設定が上位にあること
Coworkの承認は、個人が選ぶモードと、コネクタごとのツール権限という2つの軸で決まります。モードは「Manually approve(要確認)」「Automatically approve(自動承認)」「Skip all approvals(すべての承認を省略)」の3種類です。コネクタ側のツール権限は「常に許可」「要承認」「ブロック」の3種類です。
| コネクタツール権限 \ モード | Manually approve | Automatically approve | Skip all approvals |
|---|---|---|---|
| 常に許可 | Manually approve確認なしで実行 | Automatically approve読み取り専用は自動実行、書き込み・削除はClaudeが判断 | Skip all approvals確認なしで実行 |
| 要承認 | Manually approve都度確認 | Automatically approveClaudeが判断 | Skip all approvals確認なしで実行 |
| ブロック | Manually approve拒否 | Automatically approve拒否 | Skip all approvals拒否 |
この表は個人の設定だけで決まる挙動です。Team・Enterpriseでは、管理者の組織設定がもう一段重なります。
「Organization settings > Cowork」の「Permissions」配下に、書き込み可能なコネクタツールのタスクごとの承認を、メンバーが省けるかを決める項目があります。既定はオフです。
オフのあいだは、組織全体のツール方針がそのツールを許していても、ダイアログの「Allow for all tasks」がグレーアウトします。以前に保存した「常に許可」も効かず、メンバーは書き込み系ツールをタスクごとに承認し続けます。
つまり、原因は個人設定のミスではありません。組織設定が上位で蓋をしている状態で、直すには管理者権限が要ります。
名前の似た4つの組織設定を取り違えない
「Organization settings > Cowork」には、承認や実行場所に関わる設定が並んでいます。症状に関係するのは、このうち1つだけです。コネクタごとの権限設定の基本はClaude CoworkのConnectors一覧にあります。
紛らわしい4つのトグル
Enable for your organization
Coworkを組織で使えるかどうかを決めます。オフだと、Cowork自体が使えません。
Run Cowork in the cloud
セッションをクラウドで動かせるかどうかを決めます。承認ダイアログの挙動とは別の設定です。Team・Enterpriseの既定の違いや、この2つの切り分けはCoworkの組織有効化とクラウド実行トグルの違いで扱っています。
Allow “Automatically approve” mode
メンバーが「Automatically approve」を選べるかどうかを決めます。既定はオンで、オフにするとモード選択からこの項目が消えます。
Allow “Always allow” for connector tools
グレーアウトに関係するのは、この設定だけです。既定はオフです。
Auto modeのトグルとコネクタツールのトグルは、どちらも承認に関わるので混同されがちです。前者は「どのモードを選べるか」、後者は「書き込みツールのタスクごとの承認を省けるか」を決めます。
Auto modeやクラウド実行のトグルをオンにしても症状が変わらないのは、見ている設定が違うからです。
同じ画面には組み込みブラウザーのトグルもありますが、これも承認とは別の設定です。
管理者が組織設定をオンにする手順
操作するのは、Team・Enterpriseの組織のOwnerまたはPrimary Ownerです。Coworkを組織で有効にするトグルの操作が同じ権限で案内されているため、この設定も同じ画面から変更します。
トグルをオンにする4ステップ
- 1
Ownerとしてログインする
Team・Enterprise組織に、OwnerまたはPrimary Ownerとしてログインします。
- 2
Coworkの設定を開く
「Organization settings」から「Cowork」を開きます。
- 3
該当トグルを探す
「Permissions」の中にある「Allow "Always allow" for connector tools」です。
- 4
トグルをオンにする
オンにすると、メンバーは承認ダイアログで「Allow for all tasks」を選べるようになります。
反映は組織全体に及びます。ヘルプ記事に書かれているのは組織単位のオン・オフだけで、メンバー単位で切り替える設定は載っていません。
オンにしても解決しない場合の確認点
トグルをオンにしても症状が消えないときは、次の点を確認します。
読み取り専用のはずなのにグレーアウトが残る場合は、コネクタ側の実装が原因です。読み取り専用ツールが対象外になるのは、コネクタが「読み取り専用」と注釈している場合に限られます。公式ヘルプは、注釈のないカスタムコネクタが多く、その場合はすべてのツールが対象になると説明しています。注釈はコネクタの提供元が付けるものなので、Cowork側の設定では変えられません。
Enterpriseでロールに権限を付与しても直らないなら、レイヤーの優先順位を取り違えています。この組織設定はカスタムロールによる権限付与と並んで働き、重なる場面では最も制限の厳しい側が勝ちます。ロールの付与で、この組織設定を上書きすることはできません。まず組織設定をオンにして、そのあとでロール設計で個別チームの範囲を絞る順番になります。
保存済みの「常に許可」が効かないのも、同じ原因です。ヘルプ記事は、設定がオンになるまでメンバーは該当ツールをタスクごとに承認すると説明しています。オンにした後の挙動の詳細は書かれていないので、反映されているかはコネクタの権限設定とダイアログで確かめます。
削除の承認は、この設定とは別の話です。Coworkはファイルを完全に削除する前に、必ず明示的な許可を求めます。「Allow」を選ばない限り削除は進みません。この組織設定の対象は書き込み可能なコネクタツールなので、削除の確認がなくなるわけではありません。削除側の挙動はCoworkの削除承認が必須になる仕様にあります。
管理者に頼めない間のメンバー側の選択肢
組織設定がオフのままの間、メンバーが取れる道は大きく2つです。
1つ目は、タスクごとの承認を受け入れることです。ダイアログの承認は手間ですが、書き込みの前に毎回内容を見られます。
2つ目は、管理者がAuto modeを許可している場合に、「Automatically approve」へ切り替えることです。このモードではClaudeが各操作の安全性を確認し、安全でないと判断したものを自動でブロックします。表のうえでは、読み取り専用ツールは自動で承認され、書き込みと削除はClaudeが判断します(上の表の「常に許可」の行)。ただし組織設定がオフのときに、書き込みツールのタスクごとの承認をAutoが省けるかは、ヘルプ記事に記載がありません。
Autoは、承認を省くのではなく、承認の判断をClaudeに任せるモードです。ヘルプ記事は、追加の確認を行う分だけ使用量の上限を他のモードより多く消費するとも説明しています。
ブロックされた操作では、Claudeがより安全な方法を探すか、その場で尋ねます。ブロックが続くと、各ステップの許可を求める方式へ自動で戻ります。Autoの対象はコネクタだけではなく、プラグイン、組み込みブラウザー、Claude in Chrome、Webサイトの取得にも及びます。承認をClaudeに任せても、結局ダイアログが出る場面があるということです。お金が動く作業や本人名義の送信、重要なファイルが絡む作業では、「Manually approve」に戻すことも検討するよう書かれています。
Pro・Maxで段階的に展開されている新しいClaudeの画面では、メッセージ欄の権限設定が「Auto」と「Manual」(既定)の2択で表示されます。Team・Enterpriseの組織は従来のままで、3つのモードが並びます。「Skip all approvals」がこの組織設定にどう影響されるかは、ヘルプ記事に記載がありません。
承認プロンプトの多さそのものに困っているなら、個人のモード選択と組織側の権限という2層に分けたCowork承認プロンプトの対処法も参考になります。
この設定が及ばない範囲
「Allow "Always allow" for connector tools」の対象として書かれているのは、書き込み可能なコネクタツールです。Coworkに同梱されるプラグインは、この設定の対象としては書かれていません。
ヘルプ記事によると、プラグインはCowork自体を有効にする管理者トグルと同じ設定で制御されます。プラグインのアクセスを管理する別の設定は載っていません。プラグインの利用可否は、このトグルと組織のプラグイン配布方針で決まります。プラグインの権限設計はClaude CoworkのRBAC運用で扱っています。
組織全体でオンにするかの判断材料
この設定は組織全体のオン・オフで、部署ごとに分けるスイッチはヘルプ記事に記載がありません。判断は、書き込みが誤ったときの影響で分かれます。
読み取り中心の定型レポート業務が多い部署では、承認の手間が減る効果が大きくなります。支出の確定や個人情報の更新のように取り消しにくい書き込みが多い部署では、タスクごとの承認を残す方が見張りやすくなります。
部署で強弱を付けたいなら、コネクタ側のツール権限(常に許可・要承認・ブロック)と、Enterpriseのカスタムロールの組み合わせで設計することになります。
オンにした後の見通しを補う手段もあります。Team・EnterpriseのOwnerは、OpenTelemetryでCoworkのイベントをSIEMや監視基盤へ流せます。ヘルプ記事によると、ツール呼び出し、ファイルアクセス、人による承認の判断などが対象です。ただし監査ログの代わりにはならないと、同じ記事に書かれています。
データの扱いとあわせた全体像はCoworkのセキュリティとデータの扱いにあり、部署別の設計例はCowork Approval Gatesを部門ごとに設計する考え方にあります。
まとめ
「Allow for all tasks」がグレーアウトしたら、まず組織設定「Allow "Always allow" for connector tools」の状態を管理者に確認します。直すのは、OwnerまたはPrimary Ownerが「Organization settings > Cowork > Permissions」で行うオンへの切り替えです。
オンにする前に決めておきたいのは、取り消しにくい書き込みを承認なしで通してよいか、という点です。通せない部署があるなら、トグルの切り替えより先に、コネクタ側の権限とロールの設計を詰めることになります。