Microsoft 365:「Need admin approval」

Microsoftが管理者を求める理由

• 2025年後半以降、職場や学校のテナントに対するMicrosoftの既定の同意ポリシーでは、従業員が Mail.Read や Mail.ReadWrite などのメール権限をアプリに承認できなくなりました。通常の同意画面の代わりに、MicrosoftはNeed admin approvalと表示します。
• これを設定しているのは組織であり、あなたのアカウントやMCPEmailsではありません。確認済みの発行元であってもこの制限は回避できず、すべてのアプリについてユーザーの同意をオフにしている組織もあります。
• 個人用のMicrosoftアカウント（Outlook.com、Hotmail、Live）には組織も管理者もないため、この画面は表示されません。
• Claude自身のMicrosoft 365コネクタにも同じ要件があります。Anthropicのヘルプ記事によると、組織内の誰かが使えるようになる前に、Microsoft Entraのグローバル管理者が同意する必要があります。以下の手順は、メールボックスをClaude、ChatGPT、その他のMCPクライアントに接続するMCPEmails向けです。

メールボックスを接続する方へ

1. MCPEmailsのダッシュボードで受信トレイを開き、受信トレイを接続からOutlookを選んで、Microsoftで接続をクリックします。
2. MicrosoftからNeed admin approvalと返された場合は、ダッシュボードに戻ってください。組織がメールボックスへのアクセスを承認する必要があることが表示され、IT管理者用のリンクを取得が選べます。接続ウィンドウのOutlookの項目にも、管理者用の承認リンクを取得として同じリンクがあります。
3. リンクをコピーして、メールやチャットでIT管理者に送ります。リンクは7日間有効で、何度でも開けます。管理者にMCPEmailsのアカウントは必要ありません。
4. 管理者が承認したら、もう一度Microsoftで接続をクリックします。自分のアカウントでサインインすると、受信トレイが接続されます。

ご自身が管理者の場合

• 同じダイアログで自分が管理者なので今すぐ承認するをクリックします。Microsoftの承認ページが同じタブで開き、承認後はダッシュボードに戻ってメールボックスを接続できます。
• そのページでは、次のセクションに挙げたいずれかのロールを持つアカウントでサインインしてください。ロールのないユーザーアカウントでは、小規模なテナントであっても承認できません。

IT管理者の方へ

• リンクを開くと、MCPEmailsに対するMicrosoft自身の管理者の同意ページ（login.microsoftonline.com/organizations/v2.0/adminconsent）が表示されます。Microsoftのページで、Microsoftの職場アカウントでサインインします。MCPEmailsがパスワードを目にすることはありません。
• 承認には、委任されたアクセス許可についてテナント全体の同意を付与できるロールが必要です。Microsoftが挙げているロールは、特権ロール管理者、クラウド アプリケーション管理者、アプリケーション管理者、AI 管理者で、グローバル管理者も承認できます。
• アクセス許可を確認して承諾してください。承認は一度で組織全体に適用されます。各ユーザーは接続時に引き続き自分のアカウントでサインインし、自分のメールボックスにのみアクセスできます。
• その後、Microsoftが承認を確認したかどうかを示すMCPEmailsのページが表示されます。管理者の作業はこれで完了です。
• リンク自体は何も許可しません。Microsoftの手続きを開始するだけで、そこで承諾するまでテナントには何の変更も加えられません。
• 管理センターから行いたい場合は、Entra ID、エンタープライズアプリ、すべてのアプリケーションにMCPEmailsがすでに表示されていればそれを開き、アクセス許可を選んで管理者の同意の付与をクリックします。この方法はMicrosoftのガイドで説明されています。

管理者が承認する内容

• Mail.ReadWrite（委任）: サインインしたユーザーのメールボックスのメールを読み取り、変更します。これにより、AIは検索、閲覧、下書きの作成、移動、フラグ付け、フォルダー管理、削除を行えます。
• Mail.Send（委任）: サインインしたユーザーとしてメールを送信します。Mail.ReadWrite には送信が含まれないため、別の権限になっています。
• offline_access: ユーザーが接続を解除するかアクセスが削除されるまで、再度サインインしなくても接続を維持します。
• 各ユーザーのサインイン時には、名前とアドレスを読み取るために、MCPEmailsは openid、profile、email も要求します。これらのサインインの基本項目は同意ポリシーで制限されないため、管理者の承認には含まれません。
• すべての権限は委任されたものです。MCPEmailsはアプリケーションのアクセス許可を一切要求しないため、サインインしたユーザーのためだけに動作し、テナント内のほかのメールボックスを開くことはできません。
• メッセージはリクエストのたびにMicrosoftからリアルタイムで取得され、保存されません。各サインインで得たトークンは暗号化して保存され、データはストックホルムに保管されます。詳しくはセキュリティをご覧ください。

後からアクセスを制限または削除する

• 一部のユーザーだけに接続を許可するには、エンタープライズアプリでMCPEmailsのAssignment required（割り当てが必要）をオンにし、サインインを許可するユーザーまたはグループを割り当てます。手順はMicrosoftのガイドにあります。
• 組織全体からアクセスを削除するには、エンタープライズアプリでMCPEmailsを削除するか無効にします。
• 各ユーザーは、MCPEmailsのダッシュボードで受信トレイを削除すれば、いつでも自分のメールボックスの接続を解除できます。

それでもうまくいかない場合

• 「承認が完了しませんでした」: Microsoftが承認を確認しなかったため、Outlookはブロックされたままです。管理者は、上記のいずれかのロールを持つアカウントでサインインして、もう一度リンクを開いてください。
• 「承認されていません」: Microsoftの画面で承認がキャンセルされたため、何も変更されていません。準備ができたら、もう一度リンクを開いてください。
• 「このリンクは有効期限が切れています」または「このリンクは無効です」: リンクの有効期間は7日間で、全体をコピーする必要があります。ダッシュボードから新しいリンクを取得してください。
• 「最初からやり直してください」: 承認に10分以上かかったか、別のブラウザーで完了しました。もう一度リンクを開き、同じブラウザーで最後まで進めてください。
• Outlookのメールボックスがない: Exchangeライセンスのない管理者アカウントなど、Exchange Onlineのメールボックスがないアカウントには接続できるものがないため、MCPEmailsは接続を拒否します。メールが別の場所でホストされている場合は、代わりにIMAPで接続してください。
• 承認ページではなく申請フォームが表示される: 組織でMicrosoftの管理者の同意ワークフローがオンになっている場合、接続しようとしたユーザーに承認を申請するフォームが表示されることがあります。管理者はその申請を承認するか、MCPEmailsのリンクを開くだけでかまいません。

ご自身で確認する

MCPEmailsはオープンソースです。このページで説明しているリンクの作成、承認の開始、権限の一覧は、次のファイルで実装されています。

• outlook-admin-link.ts 署名付きで7日間有効な承認リンクと、結果のステータス
• admin-consent/route.ts リンクが開く公開ルートと、管理者に求める権限
• outlook-oauth.ts 各ユーザーがサインイン時に付与する権限と、「Need admin approval」の応答を判定する方法