Enterprisemcp

🚀 Microsoft MCP Server for Enterprise

オープンなModel Context Protocolをベースに構築された、Microsoft MCP Server for Enterpriseのパブリックプレビュー版は、自然言語のクエリをMicrosoft Graph API呼び出しに変換することで、AIエージェントがMicrosoft Entraデータにアクセスできるようにします。このMCPサーバーにより、開発者とIT管理者は、組織データの管理をAIワークフローに統合できます。

🚀 クイックスタート

Microsoft MCP Server for Enterpriseを使用するには、以下の手順に従ってください。

1. Microsoft Graph PowerShell SDKモジュールがMicrosoft.Entra.Betaモジュールと競合しないことを確認します。Microsoft.Graphモジュールがインストールされている場合は、最初にアンインストールすることを検討してください。

   Install-Module Uninstall-Graph
   Uninstall-Graph -All
   

2. Microsoft.Entra.Beta PowerShellモジュール（バージョン1.0.13以降）をインストールします。

   Install-Module Microsoft.Entra.Beta -Force -AllowClobber
   

3. Microsoft Entra IDを、MCPサーバーを登録するテナントに接続します。

   Connect-Entra -Scopes 'Application.ReadWrite.All', 'DelegatedPermissionGrant.ReadWrite.All'
   

4. テナントにEnterprise用のMCPサーバーを登録し、Visual Studio Codeにすべてのアクセス許可を付与します。

   Grant-EntraBetaMCPServerPermission -ApplicationName VisualStudioCode
   

5. 上記のいずれかの手順で問題が発生した場合は、詳細なインストール手順を参照してください。
6. Microsoft MCP Server for Enterpriseをインストールするをクリックして、VS CodeのMCPインストールページを開きます。
7. VS Codeで「インストール」ボタンをクリックし、上記のテナントの管理者アカウントでログインします。
8. Copilot Chatを開き、テナントに関する質問を入力します。

✨ 主な機能

このMCPサーバーは、Microsoft Graphの各操作に個別のツールを公開するのではなく、Retrieval-Augmented Generation (RAG) とフューショットプロンプトを適用して、完全なMicrosoft Graphクエリを生成します。信頼性の高い実用的なワークフローを実装するために、3つのツールのみを公開しています。

1. microsoft_graph_suggest_queries：ユーザーの意図に基づいて、関連するMicrosoft Graph API呼び出しを見つけます。
2. microsoft_graph_get：ユーザーのロールとMCPクライアントのスコープを尊重して、読み取り専用のMicrosoft Graph API呼び出しを実行します。
3. microsoft_graph_list_properties：特定のMicrosoft Graphエンティティのプロパティを取得し、AIモデルを支援します。

📚 ドキュメント

現在の対応範囲と機能

パブリックプレビューでは、Microsoft Entra IDとディレクトリ操作（ユーザー、グループ、アプリケーション、デバイス管理、および管理アクション）に焦点を当てた読み取り専用のエンタープライズITシナリオをサポートすることに重点を置いています。

具体的には、MCPサーバーは以下に関連するクエリを処理できます。

1. セキュリティ態勢：認証方法/強度、条件付きアクセス、セキュリティデフォルト。
2. 特権アクセス：誰がどのディレクトリロールを持っているか、割り当て方法（直接またはグループ）、およびPIMの状態。
3. アプリケーションリスク：存在するアプリ/サービスプリンシパル、所有者、使用するアクセス許可/SSO、および所有者のいないまたは外部のアプリ。
4. アクセスガバナンス：誰が何にアクセスできるか（ユーザー、グループ、パッケージ）、レビュー決定、新規入社/異動/退社の自動化。
5. デバイスの準備状況：管理/準拠状態、参加状態、OS/バージョンの分布、および古いまたは非アクティブなデバイス。
6. 起源と調査：エンドツーエンドのテレメトリ（サインイン、監査、プロビジョニング、ネットワーク）、正常性アラート、およびSLA/可用性。
7. 支出の最適化と保守：ライセンスの数/使用状況、未使用または古いアプリ/グループ、ドメイン構成と連絡先。

対応クライアント

Microsoft MCP Server for Enterpriseは、最新の標準をサポートするすべてのMCP互換クライアントと連携するように設計されています。

⚠️ 重要提示

• 動的クライアント登録 (DCR) はサポートされていませんが、将来のリリースでOAuthクライアントIDメタデータドキュメント (CIMD) のサポートを予定しています。
• ChatGPTは、カスタムクライアントIDを使用する場合のみサポートされており、現在はProプランでのみ利用可能です。
• Claudeには、Entraリソースでの認証を妨げるバグがあります。開発チームは修正に取り組んでいます。また、カスタムクライアントIDが必要であり、これはTeamsプランでのみ利用可能です。

Visual Studio Code と Copilot Chat拡張機能 での使用をお勧めします。

承認とアクセス許可

Enterprise用のMCPサーバーは、委任されたアクセス許可のみを使用して、Microsoft Graph APIを介してMicrosoft Entraテナント内のデータにアクセスし、Microsoft Graphが公開するアクセス許可のサブセットを提供します。

以下のコマンドレットを使用して、Enterprise用のMCPサーバーが提供するアクセス許可を一覧表示します。

(Get-EntraBetaServicePrincipal -Property "PublishedPermissionScopes" -Filter "AppId eq 'e8c77dc2-69b3-43f4-bc51-3213c9d915b4'").PublishedPermissionScopes | Where-Object { $_.IsEnabled -eq $true -and $_.AdditionalProperties["isPrivate"] -ne $true } | Select-Object Value, AdminConsentDisplayName | Sort-Object

独自の登録アプリケーションを使用する場合は、以下のコマンドレットを使用して、MCPクライアントアプリケーションに付与されたスコープを管理します。

Grant-EntraBetaMCPServerPermission -ApplicationId "<MCP_Client_Application_Id>" -Scopes "<Scope1>", "<Scope2>", "<...>"
Revoke-EntraBetaMCPServerPermission -ApplicationId "<MCP_Client_Application_Id>" -Scopes "<Scope1>", "<Scope2>", "<...>"

詳細は、Enterprise用のMCPサーバーのアクセス許可を管理する を参照してください。

利点

1. リモートMCPサーバー：構成が簡単で、完全に準拠しており、信頼性が高い。Microsoft Graphと同じリージョンに展開され、最適なパフォーマンスを実現します。
2. IT管理者の完全なコントロール：MCPクライアントは、テナントデータにアクセスするために、特定のMCP.*スコープ（Microsoft Graphスコープを反映）を付与される必要があります。
3. シンプルなアーキテクチャ：すべてのAPI操作に個別のツールを管理するのではなく、3つのツールで動作します。
4. 高品質のクエリ生成：RAG (Retrieval-Augmented Generation) を通じて500以上の実世界の例を使用して、正確なクエリを生成します。
5. 完全な監査可能性：すべてのMCP操作が特定のユーザーエージェントを持つ同じアプリIDの下で実行されるため、簡単に監査できます。
6. 追加のライセンス不要：既存のMicrosoft EntraとMicrosoft Graph APIのライセンスのみが適用されます。

可用性、ロードマップとフィードバック

Microsoft MCP Server for Enterpriseは、パブリッククラウド（グローバルサービス）でのみ利用可能です。ソブリンクラウドのサポートは、将来のリリースで予定されています。

現在のMicrosoft Entraシナリオを超えた拡張を続けますが、M365 APIはAgent 365によってカバーされます。書き込み操作のサポートは、将来のリリースで予定されています。

フィードバックフォームから、提案や問題を共有してください。フィードバックを送信する

ライセンスと使用方法

• Enterprise用のMCPサーバーは、追加の費用や個別のライセンスを必要としません。
• アクセスするデータには、適切なライセンスが必要です（例: 特権ID管理 (PIM) データの場合は、Microsoft Entra ID GovernanceまたはMicrosoft Entra ID P2ライセンス）。
• このMCPサーバーへのすべてのリクエストは、ユーザーごとに1分あたり100リクエストに制限されています。microsoft_graph_getへのリクエストは、Microsoft Graphのスロットリング制限 の対象となります。

ログ

使用状況を監視するには、テナントでMicrosoft Graphアクティビティログを有効にします。システムは、MCPサーバーを介して行われたすべてのAPI呼び出しをログに記録します。

MCPサーバーの使用状況をフィルタリングするには： Microsoft MCP Server for Enterpriseのアプリケーション（クライアントID）を使用します。e8c77dc2-69b3-43f4-bc51-3213c9d915b4

以下のKustoクエリを使用して、これらのログを取得します。

MicrosoftGraphActivityLogs
| where TimeGenerated >= ago(30d)
| where AppId == "e8c77dc2-69b3-43f4-bc51-3213c9d915b4"
| project RequestId, TimeGenerated, UserId, RequestMethod, RequestUri, ResponseStatusCode

サポートとリファレンス

ドキュメント、トラブルシューティング、およびフィードバックについては、Microsoft Learnの公式ドキュメントとサポートチャネルを参照してください。

セキュリティとコンプライアンス

すべての操作は、Microsoft Graphのアクセス許可とセキュリティポリシーを尊重しています。MCPサーバーを統合する際には、組織、規制、および契約上の要件に準拠するようにしてください。

保証の否認と責任の制限

このソフトウェアは、明示的または黙示的ないかなる保証も伴わず、「現状のまま」提供されます。Microsoftは、このソフトウェアの使用、誤使用、または誤構成に起因する損害について一切の責任を負いません。