Claude Teamの外部接続をどう許可する？検索・送信・削除を分けて確認する

Claude Team環境で、外部サービスと連携してデータを取得・操作する「コネクター」機能をどのように許可するかは、運用上の重要な判断です。社内のメールやドキュメントを検索・要約させられる一方で、AIを通じたメールの送信やファイルの変更、削除といった操作には、意図しないデータの流出や消失を招くリスクが伴います。

本記事では、Claude Teamを管理する組織のOwnerやAI推進担当者に向けて、業務に必要な「検索」の機能だけをメンバーに残し、不要な「送信・変更・削除」を安全に制限するには、どの設定を切り分けてどの結果を確かめればよいかを解説します。コネクターの追加と操作制限の階層の違いを整理し、意図した制限が正しく機能しているかを一般メンバーの視点や別経路から確認する手順を説明します。自組織における安全な運用ルールを決定する際の判断材料としてご活用ください。

接続の追加・認証・操作制限を分けて対象を決める

コネクターを利用してClaudeの機能を拡張する際、安全な運用を展開するためには「接続の追加」「認証の仕組み」「操作の制限」という3つの階層を区別して対象を決める必要があります。

接続の追加と権限の原則

Claude TeamおよびEnterpriseプランでは、組織のOwnerまたはPrimary Ownerが管理画面（Organization settings > Connectors）から、組織内で利用を許可するコネクターを追加します。

ここで注意すべきは、Ownerがコネクターを追加したからといって、無条件に全メンバーの外部データがClaudeに読み込まれるわけではないという点です。利用者は原則として個別に外部サービスの認証を行う必要があり、個人認証の場合、Claudeがアクセスできるデータや操作できる範囲は、そのメンバー本人が元の外部サービスで持っている権限の範囲内に留まります。コネクターが元のアクセス権限を超えてデータを与えてしまうことはありません。 （※Team・Enterpriseプランで利用可能な管理認証（Enterprise-managed auth）の設定を行った場合は、個人の初回ログイン画面を省略して組織として接続させることも可能ですが、基本の構造としては本人の権限を継承します）

操作の機能と組織上限の設定

外部サービスとの連携には、データの検索・読み取りだけでなく、送信や変更、削除といった操作も含まれます。たとえばGoogle Workspaceコネクターの場合、Gmailの送信や転送、Google Driveにおけるファイルの共有、移動、ゴミ箱への移動などがこれに該当します。また、Google Docs、Sheets、Slidesの直接編集（live編集）を行うコネクターはDriveのコネクターとは別物として扱われます。そのため「Driveの設定を制限したから、すべてのGoogle文書の編集も止まったはずだ」と判断しないよう注意が必要です。

Ownerは、組織全体に対するコネクター操作の上限を以下の3段階で制限できます。

• Always allow（常に許可）。利用者が確認の省略を選べる上限
• Needs approval（承認が必要）。実行する前に利用者の画面での確認を求める
• Blocked（ブロック）。そのコネクターの対象操作の使用を禁止する

組織の上限と個人の設定の違い

制限を確認する際、設定画面の階層を確実に区別してください。管理する「組織の設定（Organization settings > Connectors）」と、利用者が操作する「個人の設定（Customize > Connectors）」では意味が異なります。

個人の画面でも操作時の承認について「Always allow / Ask / Never」を選ぶことができますが、これらは組織側で設定された上限を広げることはできません。例えば、Ownerが組織の設定で「Needs approval（承認が必要）」を上限としている場合、メンバーは個人の設定で「Always allow」を選ぶことはできなくなります。同様に組織側で「Blocked」に指定されたツールや操作は、個人側の設定にかかわらず使えません。

AI推進担当者と設定者は、対象のコネクターごとに「検索や読み取りは許可する」「送信や削除機能はNeeds approvalまたはBlockedにする」といった方針を明確に分け、接続と制限の対象を整理することが運用設計の第一歩となります。

検索を残し送信・変更・削除の上限を決める

外部サービスの検索機能を活用しつつ、意図しないデータの送信や削除を防ぐには、コネクター内に含まれる個別の「ツール」単位で制限の対象を分ける必要があります。組織全体のルールとして、必要な検索や読み取りの操作を許可し、送信・変更・削除に関わるツールは完全にブロック（Blocked）する、あるいは都度承認（Needs approval）と設定します。

ツール単位の細かな分類と制限漏れの防止

コネクターは単一の機能ではなく、複数の細かな操作（ツール）の集合体です。たとえばGoogleが提供するGmailコネクターの実ツールには、メールを検索する「search_threads」や内容を取得する「get_message」といった読み取り機能のほか、「send_message（送信）」「reply（返信）」「forward（転送）」、「trash_message（ゴミ箱へ移動）」、「create_draft（下書き作成）」などが含まれます。（※ツール名や数は将来変更される可能性があります）

ここで送信機能を禁止したい場合、「send_message」だけを「Blocked」にしても、「reply」や「forward」が有効なままであれば、返信や転送という形で外部へのメール送信が可能になってしまいます。そのため、許可したい検索・読み取りツールと、制限したい送信・変更・削除ツールを一つずつ区別し、対象となるツールを網羅的に確認して上限を設定することが重要です。

Cowork（自律タスク）における承認と書き込み禁止の違い

Claudeがユーザーの代わりに複数のステップを自律的に進める「Cowork」機能を利用する場合、コネクターの承認に関する組織設定が別に存在します。

組織設定（Organization settings）には「Allow Always allow for connector tools（コネクターツールの常時許可を認める）」という項目があり、既定ではオフになっています。公式の案内では、Gmailの送信・返信・転送などは既定でユーザーの承認が必要であり、TeamやEnterpriseプランではOwnerがこの承認を省略できるかを決定するとされています。この設定がオフのときは、書き込み可能なツールを使う際にそれまでの常時許可が尊重されず、タスクごとにユーザーへの確認が求められます（読み取り専用として例外扱いになるのは、接続側に明示的な注釈が付いている場合のみです）。

注意すべきは、このCoworkに関する設定が「タスク単位の承認を省略できるかどうか」を制御するものであり、「書き込み操作自体を禁止する」ものではないという点です。確認を求められた際にユーザーが画面上で承認し、ほかの権限条件も満たしていれば、送信や削除が実行され得ます。運用上、送信や削除を確実に行わせたくない場合は、Coworkの設定に頼るのではなく、コネクターの組織上限設定で対象ツールを直接「Blocked」にする必要があります。

設定画面の確認と今後の変化への備え

公式のドキュメントでは、組織のツール上限はOrganization settings > Connectorsで設定するとされていますが、一般のヘルプでは個人の設定画面（Customize > Connectors）が制限手順として案内されるなど、導線に違いが見られます。

設定者が画面を開いた際、表示されているのが個人としての承認設定なのか、組織全体への上限設定なのかを必ず確認してください。URLを開いただけで組織全体の設定に適用されたと判断せず、保存した設定がどの対象に効いているかを切り分けることが安全な運用に繋がります。また、今後コネクターのディレクトリに新しいツールが追加されたり既存ツールの機能が変更されたりする可能性も考慮し、定期的にツールの種類と制限設定を見直すことを推奨します。

一般メンバーの結果と別経路を確かめて展開する

組織の設定画面で上限を定めた後は、その制限が想定通りに機能しているかをテストし、想定した制限が確認できてから組織全体に展開（ロールアウト）します。設定者自身の画面だけで確認を終えるのではなく、制限を受ける「一般メンバー」の権限で実際に操作を試すことが重要です。また、ウェブ画面以外の経路や、元データの変化まで含めた総合的なテストを実施することで、運用開始後の意図しない操作につながる設定の漏れを探せます。本節では、安全な検証環境の用意から結果の判定、展開可否の判断方法までを説明します。

安全な検証用データを用いたテストの実施

検証を行う際は、実在する顧客へのメールや社外秘の機密情報、本番の外部宛先を利用してはいけません。万が一設定が漏れており誤送信やデータ削除が実行された場合の影響が大きいためです。自社で許可された専用の検証用アカウント（例えば、架空の会議案内を受信したテスト用Gmailなど）を対象にしてテストを実施します。

組織のOwnerが設定を終えたら、制限対象となる一般メンバーの権限を持つアカウントでログインし、実際のチャット画面から操作を試みます。なお、Enterpriseのロール変更が反映されるまでには最大15分程度の時間がかかることがあるため、全メンバー共通の固定待ち時間とはせずに、設定変更直後にテストを行う場合は注意が必要です。

画面上の表示と元データの変化を照合する

一般メンバーでの検証では、許可した検索操作と、制限した送信・削除操作の両方を意図的に指示してテストします。

まず、許可した検索ツールについて、検証用メールの検索や要約を指示します。このとき、AIの回答と元のメール内容を照合し、正しくデータが取得できているかを確認します。

次に、制限した操作（送信、返信、転送、ゴミ箱への移動など）を指示します。ここで重要なのは、AIの生成した文章だけで「制限に成功した」と断定しないことです。AIが「送信できませんでした」と回答しても、実際には処理が実行されている可能性を排除するため、必ず元のサービス（検証用Gmailなど）の画面も確認し、「送信済みトレイ」や「ゴミ箱」などに意図しない変化が起きていないことを対応させて確かめます。

また、組織の上限を「Needs approval（承認が必要）」に設定したツールを使う場合は、承認を求める画面が表示され、そこに「Always allow（常に許可）」の選択肢が出ないこと、そして「Blocked（ブロック）」に設定した禁止ツールが使用不可となっていることを確認します。

別経路や未確認事項の扱い

Claudeの連携機能はウェブ画面だけでなく、デスクトップアプリやモバイルアプリ、Claude Codeなど複数の経路で利用される場合があります。組織が追加したコネクターの制御はAnthropic経由のこれらの各経路でも強制される仕様ですが、利用者が独立して設定したローカル接続や第三者の基盤を使ったCowork、別のブラウザによる認証経路などをすべて止めるわけではありません。さらに、外部ツールの読み取り専用機能であっても、接続クライアントの仕組みによっては取得した情報が外部へ渡るリスクはあり、読み取り専用であることを安全の完全な保証にはできません。

テストを実施する際は、「操作」「対象のツール」「利用者の役割」「アクセス経路」「設定値」「期待される挙動」と、実際の「結果・確認時刻」を分けて記録します。未実施の確認項目を「おそらく制限されているだろう」という予想で埋めるのは避けてください。不明なアクセス経路や想定外の操作が見られた場合は、組織全体への展開を直ちに保留し、管理者と設定や仕様を再確認して想定した制限を確認してから運用を開始してください。

よくある質問

Q1. Teamプランにおいて、特定の部署や管理者だけにメール送信を許可するなど、メンバーごとにコネクターの制限を変えることはできますか？

Teamプランでは、ここで説明した組織のツール上限は全体に適用され、Enterpriseのカスタムロールのようにメンバーごとには分けられません。グループや役割ごとに異なる操作上限を設ける「カスタムロール」機能は、Enterpriseプラン固有の機能です。そのため、Teamプランを利用する場合は、設定した上限（Organization settings > Connectors）が組織全体に一律で適用されます。この組織上限を使って一部のメンバーにだけ送信や削除を許可することはできないため、組織全体の安全なベースラインとして、不要な書き込みツールは一律で「Blocked（ブロック）」または都度確認の「Needs approval（承認が必要）」に設定する判断が求められます。

Q2. メンバー全員が個別に外部サービスの認証を行うのは手間ですが、組織として一括で接続させる方法はありますか？

基本的に、管理者がコネクターを追加しただけでは全員のデータが認証されたことにはならず、個人での認証作業が必要です。ただしTeam・Enterpriseプランの場合、例外として管理認証（Enterprise-managed auth）の設定を利用して個人の初回ログイン画面を省略できる場合があります。この機能には、一般提供されているIdP管理型（IdP-managed）とベータ版のClaude発行型（Claude-issued）があり、管理者が対応するコネクターや接続先の条件を事前に設定します。重要な点として、この設定はあくまで認証手順を省略するものであり、利用者が元の外部サービスで持っている以上のアクセス権限を新たに拡大するものではありません。

Q3. 組織側で設定したコネクターの制限（ブロックなど）は、ブラウザ以外のClaude Codeやデスクトップアプリから利用した場合も確実に適用されますか？

組織で追加したコネクターをAnthropic経由で使う場合は、原則として適用されます。公式の説明では、組織で追加したコネクターの制御はウェブ画面、デスクトップやモバイルアプリ、Cowork、Claude Codeにおいても強制される仕様です。特にClaude Codeを利用する場合、組織の上限設定とClaude Code固有の管理設定が合成され、最も制限の厳しい設定が適用される条件があります。ただし、利用者が個人の環境で独自に用意したローカル接続や、別のAPI認証経路を利用した第三者のシステムまでは、この制御で完全に止めることはできません。組織へ展開する前には、社内で想定される複数のアクセス経路から検証を行うことを推奨します。

Q4. 送信や削除のツールをブロックし、読み取り専用（read-only）の検索機能だけを残せば、情報の流出リスクは完全に防げると考えてよいですか？

いいえ、読み取り専用であることを安全や非開示の完全な保証とはしないでください。外部データを取得する仕組みのセキュリティベストプラクティス（Notion提供元の原典など）でも、ツールから返る内容を信頼せず、意図しないデータ共有のリスクを考慮するよう説明されています。読み取り専用ツールであっても、AIが検索結果として取得したメールやドキュメントの全文をプロンプトの回答に含めた結果、接続クライアントを通じて別の場所へ情報が渡る可能性は残ります。個人認証で取得できる情報は本人が元サービスでアクセスできる範囲内に限られますが、極めて機密性の高いデータを扱う場合は、読み取り機能の許可についてもリスクを評価して判断してください。