AnthropicはModel Context Protocol(MCP)コネクタ向けに、エンタープライズ管理型の認可機能を導入しました。これにより組織は、社内で利用しているIDプロバイダーを通じて、Claudeが業務アプリケーションにアクセスする権限を一元的に付与・管理・取り消しできるようになります。
この新機能は、エンタープライズ向けAI導入における従来からの障害を取り除くものです。これまでは管理者がコネクタを有効化した後も、ユーザー一人ひとりが個別に承認作業を行う必要がありました。
新しい仕組みでは、管理者が一度コネクタを承認し、既存のIDプロバイダーのグループやロールにアクセス権をマッピングしておくだけで済みます。ユーザーは初めてClaudeにサインインした時点で、承認済みの接続を自動的に利用できるようになります。
Anthropicによると、この機能はDatadog、Notion、Slackに加え、Asana、Atlassian、Canva、Figma、Granola、Linear、Supabaseにも対応しています。Exa、Miro、Zoomへの対応も今後予定されています。
MCPはClaudeのようなAIシステムが外部ツールやエンタープライズのコンテキストにアクセスできるようにする仕組みです。しかし、接続を一つ追加するたびに新たな認可の境界が生まれ、管理されないOAuth権限付与、長期間有効な認証情報、一貫性を欠くオフボーディング処理、さらには従業員が個人アカウントを企業サービスに接続してしまうリスクなどが生じる可能性があります。
Anthropicの実装では、コネクタの認可プロセスを組織が既に運用しているID・アクセス管理(IAM)のワークフローに組み込みます。管理者はIDプロバイダー(まずはOktaに対応)を接続し、承認するMCPコネクタを選択したうえで、既存のグループやロール割り当てを使って利用範囲を設定します。
従業員がClaudeで認証を行うと、サービス側がIDプロバイダーを通じてアクセス権を確認し、個別の同意確認を挟むことなく承認済みのコネクタを提供します。この権限はClaude Chat、Claude Code、Coworkの全てで共通して適用されます。
このアプローチは、オフボーディング時のアクセス制御を大幅に改善できる可能性があります。ユーザーが持つ永続的なコネクタ権限に依存するのではなく、アクセス確認をIDプロバイダー経由で行うことで、組織はトークンの有効期間を短縮できます。
従業員がIdPのグループから外れたり、完全にプロビジョニング解除されたりした場合、関連するMCPコネクタへのアクセスも速やかに失効させることができます。
また管理者は、コネクタの認証を企業のIdP経由のみに限定するよう設定することも可能です。この制限は、従業員が個人アカウントを企業管理下のツールに紐付けることを防ぎ、個人領域とのデータ越境リスクを軽減することを目的としています。
Anthropicの説明によると、今回の発表はMCP向けEnterprise-Managed Authorization拡張機能の最初の実装事例に当たります。この拡張機能はオープンスタンダードに基づいているため、サードパーティのプロバイダーや企業の開発チームも、自社のMCPサーバー向けにこの認可フローを実装することが可能です。
このモデルには、セキュリティアーキテクチャ上3つの当事者が関わります。アクセスポリシーを実施するIDプロバイダー、データやアクションを提供するMCPプロバイダー、そして接続を導入するClaudeの顧客企業です。
セキュリティチームにとっては、AIコネクタのガバナンスを独立した別個のSaaS認可基盤として構築するのではなく、既存のIDコントロールに統合できる点がメリットとなります。
また、最小権限の原則を適用するための仕組みも明確になります。部署、プロジェクトグループ、ロール、その他IdPが管理するID属性に応じて、アクセス権を割り当てることができます。
今回の発表は、組織がAIアシスタントをコラボレーションプラットフォーム、ソースコード管理システム、デザインツール、分析サービス、社内データベースなどに接続するケースが増えている中で行われました。
認可プロセスを一元化することで、Anthropicはエンタープライズ管理型認証を、何千人ものユーザーが個別にOAuthの手続きを完了させる必要なくMCP導入を拡大していくためのガバナンス層として位置づけています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/anthropic-launches-enterprise-managed-auth/
