Datadog MCPをClaude Codeに接続する方法 — プラグイン・OAuth・PATの選び方

Datadog MCPをClaude Codeに接続する最短手順は、/plugin install datadog@claude-plugins-officialでプラグインを入れ、OAuthでログインすることです。Claude Code向けのセットアップ手順でも、このプラグインが最初の手段として案内されています(GovCloudサイトを除く)。プラグインが使えない環境や、CIで認証を自動化したい場合は、claude mcp addによる手動接続とPAT/SATのヘッダー認証が選べます。

Datadog MCP Serverは、Claude Codeからログ・トレース・モニターを直接調べるためのMCPサーバーです。Web・デスクトップ向けのDatadogConnectorと違い、Claude Codeでは認証方式とツールの公開範囲を自分で選べます。ここでは接続方法・認証・スコープ制御に加え、claude mcp addで実際に書き出される設定ファイルの中身も確認します。

Connector版とMCP Server版はどこが違うか

Claude Code側の全体像はClaude Code完全ガイドにあります。

接続方法はプラグインか手動かの2択

Datadog公式は、公式Anthropic Plugin Marketplaceのプラグインと、claude mcp addによる手動設定の2つを案内しています。手動で入れたサーバーが残ったままプラグインを追加すると設定が競合するので、どちらか一方に統一します。

プラグイン版のセットアップ

プラグイン版はMCP Serverとスキルをまとめてパッケージ化し、新しいバージョンが出ると自動更新されます。

手動でMCP Serverを追加する

プラグインが使えない環境では、リージョンごとのMCP Serverエンドポイントへ直接つなぎます。

claude mcp add --transport http datadog-mcp <YOUR_MCP_SERVER_ENDPOINT>

エンドポイントはDatadogの契約サイト(app.datadoghq.comやapp.datadoghq.euなど)ごとに異なり、セットアップページのサイト選択で確認できます。書き込み先を変えたいときは --scope を使います。claude mcp add --help(v2.1.285で確認)では、既定が local で、user と project も選べると表示されました。

--scope project を付けた場合に何が書かれるかを、作業用の空ディレクトリで試しました。エンドポイントはダミーの https://mcp.example.com/mcp です。

claude mcp add --transport http --scope project datadog-mcp \
  "https://mcp.example.com/mcp?toolsets=core,software-delivery&omit_tools=create_datadog_notebook"

Added HTTP MCP server datadog-mcp with URL: https://mcp.example.com/mcp to project config
File modified: <作業ディレクトリ>/.mcp.json

完了メッセージのURLはクエリ文字列が省かれて表示されます。なおclaude mcp get datadog-mcpでは、登録直後の状態がPending approvalと出ました。projectスコープのサーバーは、claudeを起動して承認するまで接続されません。一方、カレントディレクトリに作られた .mcp.json には、toolsets と omit_tools がそのまま残っていました。

{
  "mcpServers": {
    "datadog-mcp": {
      "type": "http",
      "url": "https://mcp.example.com/mcp?toolsets=core,software-delivery&omit_tools=create_datadog_notebook"
    }
  }
}

表示だけを見て「絞り込みが消えた」と判断せず、.mcp.json(または claude mcp get datadog-mcp)で実際のURLを確かめる、という見方ができます。なお、.mcp.json はリポジトリにコミットしてチームで共有する前提のファイルです。トークンを headers に直書きするとそのまま共有されるので、Claude Codeが対応している ${VAR} の環境変数展開を使う書き方もあります。ただしリモートサーバーの url と headers では、ANTHROPIC_API_KEY のようなClaude Code自身の認証情報の変数名は空として読まれます。DD_ACCESS_TOKEN のような独自の名前を使います。

認証方式 — OAuth 2.0とPAT/SATの使い分け

ほとんどのユーザーにはOAuth 2.0が推奨されます。接続時にブラウザでログインするだけで、長期の認証情報を自分で管理する必要がありません。組織がカスタムサブドメイン(<SUBDOMAIN>.datadoghq.com)でサインインしている場合は、エンドポイントURLに subdomain クエリを足します。付けないとOAuthがデフォルトのDatadogドメインから始まり、サブドメインでログイン済みでも再ログインを求められます。

OAuthのブラウザログインが使えないサーバー環境やCI環境では、ヘッダー認証に切り替えます。個人にはPersonal Access Token(PAT)、サービスアカウントにはService Access Token(SAT)を使い、AuthorizationヘッダーにBearerトークンとして渡します。APIキーは不要です。

{
  "mcpServers": {
    "datadog": {
      "type": "http",
      "url": "<YOUR_MCP_SERVER_ENDPOINT>",
      "headers": {
        "Authorization": "Bearer <YOUR_ACCESS_TOKEN>"
      }
    }
  }
}

DD_API_KEYとDD_APPLICATION_KEYをヘッダーに渡すAPIキー認証も使えますが、Datadog公式はPAT/SATを優先の方式としています。APIキー方式を使う場合は、必要な権限だけを持つサービスアカウントのキーにするよう案内されています。

Clineを使う場合や、リモート認証が不安定・使えない場合に向けて、datadog_mcp_cli というローカルバイナリが用意されています。datadog_mcp_cli login でOAuthを済ませたあと、stdioサーバーとして登録します。バイナリは次のコマンドで入手し、~/.local/bin/datadog_mcp_cliに置かれます。導入後はAIクライアントを完全に再起動します。

curl -sSL https://coterm.datadoghq.com/mcp-cli/install.sh | bash

Claude Codeでは、公式が次のコマンドを示しています。

claude mcp add datadog --scope user -- ~/.local/bin/datadog_mcp_cli

toolsetsとomit_toolsでツールを絞り込む

toolsetsクエリパラメーターで、公開するツール群を選べます。指定しなければcoreだけが有効です。coreはログ・メトリクス・トレース・ダッシュボード・モニター・インシデント・ホスト・サービス・イベント・ノートブックを扱います。

この表は一部です。一般提供のtoolsetsには、ほかに ddsql・rum・workflows・audit-trail・code-exec・cost・dashboards などがあります。全体と各ツールの一覧は、Datadogの「Datadog MCP Server Tools」ページにまとまっています。

エンドポイントURLの末尾に?toolsets=apm,llmobsのように足すと、そのtoolsetsだけが有効になります。この指定はリモート接続(URL)でだけ使え、前節のローカルバイナリには効きません。toolsets=allは一般提供のtoolsetsを一括で有効にする指定で、ツール絞り込みに対応するクライアント向けとされています。Claude Codeは、MCPのツール定義を必要になるまで読み込まないツール検索が既定で有効なので、この条件に当てはまります。それでも、使わないtoolsetまで入れるとClaudeが検索して選ぶ候補が増えるため、coreと実際に使うtoolsetの組み合わせから始める形が扱いやすくなります。

特定のツールだけ除きたいときはomit_toolsをカンマ区切りで足します。toolsetsが先に解決され、そのあとにomit_toolsが一致するツールを取り除きます。未知のツール名を書いてもサーバーは警告を出して続行します。

<YOUR_MCP_SERVER_ENDPOINT>?toolsets=core,software-delivery&omit_tools=create_datadog_notebook,edit_datadog_notebook

apm・cases・governance・investigator・live-debugger・remote-actionsはプレビュー段階で、toolsets=allには含まれません。名前を明示して指定します。apmとremote-actionsは事前のサインアップが必要で、casesは不要と書かれています。

mcp_read/mcp_writeで読み取り専用に絞る運用

ツールの実行可否は、Datadogロールのmcp_readとmcp_writeで決まります。ログ検索やモニター取得はmcp_read、モニター作成やホストのミュートはmcp_writeが必要です。さらに、mcp_readに加えて対象リソースの通常の権限(モニターならMonitors Read)も要ります。

Datadog Standardロールのユーザーは、デフォルトで両方の権限を持ちます。カスタムロールの場合は、Organization Settings > Rolesでロールを編集し、MCP ReadとMCP Writeのチェックを手動で付け外しします。組織管理者は、Organization Settings > Preferencesから、MCPアクセス全体と書き込み機能を管理できます。

MCP Serverは接続したユーザー本人の認証情報をDatadog APIへ転送する仕組みです。RBAC(役割ベースのアクセス制御)やLog Restriction Queryもそのまま効き、Claudeが読めるのは本人がDatadog UIで見える範囲までです。機密度の高いログやスパンには、Data Access Controlで読めるユーザーを絞る方法もあります。

レート制限と利用状況の追跡

上限は変更される場合があり、要件次第で調整をDatadogサポートに依頼できます。

ツール呼び出しはすべてDatadogのAudit Trailに、ツール名・引数・ユーザー・使ったMCPクライアントとともに記録されます。イベント名MCP Serverで検索できます。標準メトリクスはdatadog.mcp.session.startsとdatadog.mcp.tool.usageの2つです。後者は分布メトリクスで、呼び出し回数はsumではなくcountに.as_count()を付けて取ります。

count:datadog.mcp.tool.usage{*} by {user_email}.as_count()

clientタグにはMCPクライアント名(claude・cursorなど)が入るため、Claude Code経由の利用だけを切り出すこともできます。

データの扱い・ネットワーク制限・利用できないサイト

DatadogのデータをDatadog MCP Serverが第三者のAIプロバイダーへ送ることはありません。どのデータがAIプロバイダーに渡るかは、接続しているAIクライアント(ここではClaude Code)とそのモデルが決めます。ただし、セマンティック検索や自然言語からのクエリ生成のように、DatadogのAIプロバイダーがホストするモデルを使うツールが一部あります。組織全体で生成AIプロバイダーを無効にしたい場合は、Datadogサポートへの連絡が必要です。

Datadogは、MCP Serverの利用状況(操作、エラーの有無と原因、ユーザー識別子、MCPツール利用につながったプロンプトなどの文脈)を収集し、120日間保存します。

接続元のネットワークを絞りたい場合は、組織側のIP許可リストを有効にします。必要な権限を持つユーザーでも、承認済みの発信元以外からは接続できなくなります。

HIPAAについては、Datadog MCP ServerはHIPAA対応(eligible)とされますが、接続するAIツール側が要件を満たすかは利用者の責任です。app.ddog-gov.com・us2.ddog-gov.comのGovCloudサイトはMCP Server自体が対象外で、契約している場合は使えません。同種のObservability系ツールをSentryで使う場合は、Sentry MCPをOAuthでClaude Codeに接続する方法が参考になります。Dynatraceの場合はDynatrace MCPをClaudeにつなぐ手順にまとめています。

つまずいたときの切り分け

/ddsetupを実行してもOAuthログインが進まない

/ddsetupの途中には、Datadogサイトを選んでからOAuthログインを済ませる手順があります。app.datadoghq.comやapp.datadoghq.euなど、契約しているサイトを選び間違えていないかを最初に見ます。

toolsetsを変更してもツールが増えない

プラグイン版では、設定を変えたあとに/reload-pluginsと再認証が必要です。手動設定版では、同じ名前のままclaude mcp addをやり直すと「already exists」で失敗し、URLは元のままです。claude mcp remove datadog-mcpで一度削除してから、URLを書き換えてclaude mcp addし直します。スコープを指定して登録した場合は-s <scope>も付けます。.mcp.jsonや~/.claude.jsonのurlを直接書き換える方法もあります。

手動設定とプラグインが両方登録されて動作が不安定になる

以前に手動でclaude mcp addしたサーバーが残っていると、プラグインとの設定が競合します。claude mcp remove datadog-mcpのように手動設定側を削除してからプラグインへ切り替えます。

Claude Codeを介さずにエンドポイントだけ確認したい

MCP inspector(npx @modelcontextprotocol/inspector)を起動し、Transport TypeにStreamable HTTPを選んでエンドポイントを入力します。Connect後にTools > List Toolsを開くと、公開されているツールの一覧を確認できます。

まとめ

Claude Codeでは、プラグインで手早く始めるか、claude mcp addとtoolsets・omit_toolsでツールを絞って始めるかを選べます。読み取り専用にしたい場合は、URLでの絞り込みに加え、Datadog側のRoleからmcp_writeを外して実行権限まで狭めておくと、意図しない書き込みを防げます。業務SaaSを自前のMCPサーバーとして繋ぐ一般的な手順は業務SaaS MCP連携ガイドに、接続断からの自動再接続の仕組みはMCPのツール更新と接続断からの自動再接続の仕組みにあります。