Claudeインタラクティブコネクターの権限ガイド（2026年版）

Anthropicが2026年11月10日に発表したアップデートで、Claudeのインタラクティブコネクターは、コンパクトなウィジェットだけでなく、Adobe、Atlassian、Box、Notionなど13種類のフルWebアプリを表示できるようになった。対象は全プランだ。「Always allow」に設定すると対象となる読み取り処理は許可されるが、デフォルトのAutoモードでは、高リスクの書き込み操作を実行するか、承認待ちにするかを分類器が判断する。ツールごとの権限やベンダー側のスコープを固定しない限り、書き込み操作が自動で通るとは限らない。

Claude Marketplaceに掲載されているコネクターは1,108個、プラグインは532個。そのうち、チャットの横に完全な埋め込みインターフェースを表示できるのは、検証済みの連携だけだ。権限はコネクター、セッション、管理者という3つのレイヤーで適用される。

インラインカード、サイドバイサイド、全画面アプリの違いと表示場所

Claudeのインタラクティブコネクターに関するドキュメントによると、Claudeは外部アプリをインラインカード、サイドバイサイドパネル、全画面表示の3形式でレンダリングする。いずれもサンドボックス化されたiframe内で動作し、対象は6つのサブスクリプションプラン（Free、Pro、Max、Ultra、Team、Enterprise）すべて。コネクター料金はかからない。インラインカードはiOSとAndroidでも利用できるが、サイドバイサイドパネルと全画面エディターは、アカウントにチャットとCoworkを統合したインターフェースが提供された後のClaude WebとClaude Desktopでのみ読み込まれる。

2026年11月10日のフルツール対応リリースでは、13のローンチパートナーがアプリ全体の埋め込みに対応した。対象はAdobe、Asana、Atlassian Confluence、Box、Canva、Carta、Dropbox、HubSpot、monday.com、Notion、Smartsheet、Vercel、Webflowだ。追加の3社（Figma、Harvey、Shopify）はフルビュー連携を開発中で、Figmaは現時点でインラインのFigJam図解とレビューカードにとどまる（2026年1月のMCP Appsリリース）。

Anthropicのインタラクティブコネクターのセキュリティ仕様では、各インタラクティブビューは厳格なContent Security Policy（CSP）で管理されたサンドボックス内の<iframe>で動作する。親ページのDOM、Cookie、ローカルストレージにはアクセスできず、ホストモデルとは監査可能なJSON-RPCメッセージで通信する。コネクターサーバーは接続先の外部ドメインを事前に宣言する必要があり、Claudeは表示前にHTMLペイロードを検査する。インタラクティブビューは元のコネクターのOAuth許可を再利用するため、2回目のログインは求めない。また、埋め込みビュー内での金融取引と購入は、チャット内のすべてのケースでAnthropicがブロックしている。

チャットクライアントにサードパーティー製のWebエディターを埋め込まず、Claudeから社内データだけを検索させたいIT管理者もいる。TeamとEnterpriseのオーナーは、UIの表示とバックエンドのツール呼び出しを切り離せる。Organization settings → Connectorsで、インタラクティブビューを表示するツール呼び出しを無効にすると、基盤のコネクターを有効にしたまま、Claudeを通常のテキストのみのMCP実行へ戻せる。

承認粒度を決める3つの層：コネクター設定、セッションモード、ロール上書き

Claudeのインタラクティブコネクター権限は、Claude CoworkガイドとEnterpriseのRBACドキュメントにまたがって説明されている3層で評価される。具体的には、コネクターのツール設定（Always allow、Needs approval、Blocked、EnterpriseのCustom）、会話の実行モード（Manual、Auto、Skip）、組織のロールポリシーだ。ユーザーが埋め込みアプリ内をクリックした場合でも、開いているページ、行、ファイルに対してClaudeが行う操作は、この3つのゲートすべての共通範囲を通過しなければならない。

コネクター側の設定とメッセージボックスの実行モードの組み合わせは重要だ。統合Claudeインターフェースでは、Pro、Max、Ultra、TeamがAutoをデフォルトとし、EnterpriseはManualをデフォルトとする。バックグラウンド操作を安全性分類器がどう評価するかは、ClaudeのAuto Modeデフォルト動作ガイドで詳しく解説している。

Enterpriseでは、管理者がOrganization settings → Permissions → Custom roles → Connectorsで4つ目のコネクター状態（Custom）を設定できる（Enterprise RBAC設定ガイド）。Customを選ぶとツール単位の設定が可能になる。たとえばEnterprise管理者は、Jiraのsearch_issuesをNeeds approvalにし、同じコネクターの作成、更新、削除ツールをBlockedにできる。一方、Teamのオーナーが設定できるのは、組織全体に適用されるツール単位のAlways allow、Needs approval、Blockedだ。次の4点を押さえておきたい。

1. ロールが競合した場合は許可が優先される：Enterpriseのロールベース権限ガイドによると、異なるカスタムロールを持つ複数グループにユーザーが所属する場合、コネクター権限は加算的に統合され、最も寛容な許可が適用される。ただし、組織全体のコネクターポリシー上限は超えない。ロールの変更が反映されるまで最大15分かかる。
2. 既存ロールと新規ロールでは初期値が違う：Enterprise管理者が既存のカスタムロールでコネクター権限を有効にすると、アクセスを維持するためClaudeはAll connectors: Always allowを設定する。一方、新しく作成したカスタムロールは、すべてのコネクターでNeeds approvalが初期値になる。
3. Coworkでは書き込みツールをロックできる：Coworkと統合セッションでは、組織設定Allow "Always allow" for connector toolsが、書き込み可能なツールについてデフォルトでオフになっている（Enterprise RBACドキュメント、Coworkドキュメント）。従業員がチャットで「Always allow」を選んでも、Ownerが組織全体の設定を有効にしない限り、書き込み操作には手動確認が必要だ。
4. Researchモードは追加確認を省略する：カスタムリモートMCPガイドによると、Claude Researchを実行すると、Claudeは数百のソースを調査し、許可済みのコネクターツールを2回目の確認なしで自動実行する。カスタムコネクターでResearchを使う前に、会話のSearch and toolsメニューで書き込み可能なツールを無効にしておこう。

Redditのコミュニティ報告を見ると、権限が保持されるかどうかはMCPサーバーのパッケージ方法にも左右される。r/ClaudeCoworkでは、サブエージェントを含むプラグイン内にコネクターを同梱した場合、「Always allow」をクリックしてもセッションをまたいで保存されなかったという報告がある。

「コネクターがプラグインの一部としてパッケージされ、コネクターとしてインストールされていないことが原因かもしれません。」（r/ClaudeCoworkのu/Throwaway_alt_burner）

Adobe、Atlassian、Box、Notionのプレビュー制限と権限範囲

Anthropicのコネクター拡張ガイドとカスタムリモートMCPガイドにあるとおり、接続したインタラクティブアプリはOAuthでサインインしたユーザーの権限（共有APIキーの場合はそのキーのグローバルスコープ）をそのまま引き継ぐ。Claudeが実行できるのは、サードパーティー側がMCPアプリのツールとして公開した操作だけだ。2026年11月10日のリリースではパートナーごとにガードレールが異なるため、Adobe、Atlassian、Box、Notionでは承認粒度とプレビューの制限も同じではない。

Atlassian（ConfluenceとJira）：管理者が設定するRead、Write、Search

WebまたはDesktopでAtlassian MCPコネクターからConfluenceを開くと、簡略化されたプレビューではなく、認証済みのConfluenceエディター全体が読み込まれる（11月10日のリリース）。OAuthはユーザーがアクセスできるすべてのJiraプロジェクトとConfluenceスペースを継承するため、AtlassianはConfigure Atlassian MCP Server Permissionsでサーバー側の管理レイヤーを用意している。設定場所はAtlassian Administration → Connectors → Atlassian MCP server → Permissionsだ。組織管理者は3種類の権限意図（Read、Write、Search）を、それぞれAllowed、Blocked、Partially allowedに設定できる。

Atlassian AdministrationのEdit detailsダイアログを使えば、JiraのWriteは許可しつつConfluenceのWriteはブロックする、といった設定が可能だ。さらにApply to future additionsを有効にすれば、今後リリースされるAtlassian MCPツールにもポリシーを自動適用できる。Atlassian Administrationでの変更はClaudeの再起動なしで即時反映され、ブロックされたツールが呼び出されると"Access denied: Your organization admin has not authorized the write permission"が返る。

チケットを一括処理する際はレート制限にも注意したい。r/atlassianでは、エージェントがAtlassian MCPサーバー経由でJiraチケットを短時間に大量作成した結果、HTTP 429エラーに遭遇したという報告がある。一部のチームは、自動化ワークフローの前段にローカルのNode.jsスロットルプロキシを置いている。

Notion：ワークスペース全体に及ぶOAuthスコープとゲストアカウントによる回避策

Notionのインタラクティブコネクターは、チャットの横に完全なNotionドキュメント・データベースエディターを表示する（11月10日のリリース）。手動でブロックを編集しながら、Claudeにデータベースの行を追加させることも可能だ。ただし、Claudeのコネクターは接続アカウントのアクセス権を継承する。そのためNotionのMCP OAuthトークンは、Notionユーザーがアクセスできるすべてのページとデータベースへの権限を持ち、Claude側には特定のフォルダーやサブページだけに制限する設定がない。

さらに、r/ClaudeAIのスレッド（約2,289ポイント）では、検査されていないサードパーティー製MCP指示のリスクが話題になった。ユーザーからは、NotionのMCPコネクターがタスクの途中で宣伝プロンプトを挿入したという報告が出ている。r/NotionでClaudeのアクセス先を特定ページに絞る方法を尋ねたユーザーは、プロンプトによる指示では強固な認証情報の分離を代替できないと指摘している。

「MCPトークンはあなたの権限を継承します。必要なページだけを見られるゲストアカウントを経由して接続すれば……」（r/Notionのu/redpiapps）

リソース単位のOAuthスコープが追加されるまでは、専用のNotionゲストアカウントを作成し、対象のページやデータベースだけをそのゲストに共有し、そのゲストのログイン情報でClaudeコネクターを認証する方法が最も確実な分離策だ。

ディレクトリコネクターとカスタムMCP Apps：設定手順とパブリックプレビューの制限

既存のコネクターをインストールする場合でも、MCP Apps SDKでカスタムサーバーを展開する場合でも（SDKは2026年11月10日にパブリックプレビューへ移行）、Claudeでは検証済みディレクトリ、コミュニティディレクトリ、カスタムリモートMCP URLで、インストール方法とUI機能が異なる。

registerAppTool()、registerAppResource()、App.connect()を使ってMCP Appを開発・展開する場合、MCP Appsを始めるためのドキュメントとClaudeのツールアクセス管理ガイドでは、次の4つの技術的制約が示されている。

• コミュニティディレクトリでは埋め込みサイトとEntry pointsが使えない：どのMCPサーバーでも基本的なチャット内ビューは表示できるが、Embedded websites（<iframe>によるサイト読み込み）とEntry points（Artifactsページから開く、またはサイドバーにピン留めする機能）は、検証済みディレクトリ掲載が必要だ（MCP Appsの機能表）。個人用カスタムコネクターとして追加したときに埋め込みサイトが動作しても、コミュニティマーケットプレイスの掲載からインストールしたユーザーには両機能が無効になる。
• ローカルのnpx --stdioサーバーではフルアプリ機能をテストできない：claude_desktop_config.jsonを使えば、@modelcontextprotocol/[email protected]のようなサンプルサーバーをローカルで実行できる。しかしApp tools、Entry points、Embedded websitesには、AnthropicのクラウドIP範囲からHTTPSで到達できるリモートMCPサーバーが必要だ（MCP Appsドキュメント、リモートMCPのネットワーク要件）。openai/uiのEntry pointsを宣言する既存のOpenAI Apps SDKプロジェクトを移行する場合も、Claude固有のEntry point設定が必要になる。
• 32文字のSHA-256によるui.domainハッシュが必須：ui.domain仕様では、サーバーのResource._meta.ui.domainフィールドを、MCPサーバーURLのSHA-256ハッシュ先頭32文字の16進数に.claudemcpcontent.comを付けた値と一致させる必要がある。たとえばhttps://example.com/mcpはc3d80a4ed901ee05b21755a88273b4a4.claudemcpcontent.comになる。不一致の場合はInvalid ui.domain formatまたはui.domain mismatchエラーが発生する。
• コネクター10個以上、またはツール30個以上ではコンテキストが膨らむ：有効なコネクターは会話のコンテキストを消費する。コネクターを10個以上（または個別ツールを30個以上）接続したら、AnthropicのClaudeのツールアクセス管理ガイドは、チャットの+メニュー → Connectors → Tool accessを開き、AutoまたはAlways availableからOn demandへ切り替えることを推奨している。On demandではコネクター呼び出し前に追加の検索インタラクションが1回発生するが、長い文書やコードのためにコンテキスト容量を温存できる。

よくある質問

ClaudeがAdobe、Box、Notion内で編集したファイルはどこに保存されますか？

認証済みのNotionとConfluenceのセッションでは、承認した変更がクラウドワークスペースへ直接書き込まれる。Box（および分離したページブランチに編集をステージするWebflow）では、コミットする前にサイドバイサイドで確認できるようリビジョンがステージされる。一方、未認証のAdobeセッションは、Adobeアカウントにログインしない限り一時的な編集にとどまる。

共有APIキー認証は、TeamとEnterpriseのコネクター権限にどう影響しますか？

カスタムリモートMCPガイドによると、通常のOAuthコネクターは各メンバーの外部サービス権限にClaudeのアクセスを制限する。一方、固定リクエストヘッダーの認証情報（共有APIキーやベアラートークンなど）を設定すると、そのコネクターを使う組織内の全メンバーが、共有認証情報と同じ完全なアクセス権を持つ。Organization settings → Connectorsに共有キーを追加する前に、読み取り・書き込みとも最小権限に絞るべきだ。

カスタムコネクターのURLやOAuthスコープを変更する必要がある場合は？

カスタムリモートMCPドキュメントによると、既存のカスタムコネクター設定はその場で編集できない。Customize → Connectors（TeamとEnterpriseのオーナーはOrganization settings → Connectors）からコネクターを削除し、更新後のURL、ヘッダー、OAuth設定で追加し直す必要がある。

本番アプリを接続する前に確認したい権限強化マトリクス

ワークスペースでインタラクティブコネクターを有効にする前に、自分の役割とプランに合った設定場所で、次の構成を適用しよう。