什么是 Microsoft 365 连接器
Microsoft 365 连接器是一个 Anthropic 托管的集成，使 Claude 能够通过用户委派权限安全地访问 Microsoft 365 服务（Outlook、SharePoint、OneDrive、Teams）。Anthropic 已完成 Microsoft 的发布者验证流程，将我们经过验证的 Microsoft 合作伙伴网络账户与此应用程序关联，以确认我们的组织身份。
连接器作为 安全代理 运行，您的 Microsoft 365 文档、电子邮件和文件保留在您的租户中。连接器仅在活跃查询期间按需检索数据，不缓存文件内容。凭证由 Anthropic 的后端基础设施加密和管理。MCP 服务器本身不存储或管理这些凭证。Microsoft 的 Azure SDK 处理代表用户的令牌交换和缓存，用于访问 Graph API。
访问限制
访问可以完全受限
连接器提供 多层访问控制 来满足您的安全需求。有关 Microsoft 365 连接器管理的详细信息，请参阅 启用和使用 Microsoft 365 连接器。
1. 组织级别门控
Team 和 Enterprise 计划用户对连接器的访问需要两步批准流程。首先，所有者必须在 Claude 管理设置中明确启用 Microsoft 365 连接器，方法是导航到"管理设置"→"连接器"→"浏览连接器"→"添加 Microsoft 365"。在授予此批准之前，用户无法访问。
其次，在所有者启用连接器后，Microsoft Entra 全局管理员必须完成个人身份验证并代表整个组织授予同意，然后任何团队成员才能连接。
2. Microsoft Entra 管理员预同意要求
在用户可以访问连接器之前，Microsoft Entra 管理员必须完成一次性设置，该设置将：
在 Microsoft Entra ID 中添加两个服务主体和企业应用（M365 MCP 客户端和 M365 MCP 服务器）。这为您租户中的 Microsoft 365 连接器应用建立了服务级别身份
为您的 Microsoft 365 租户授予管理员预同意
可选：限制允许使用连接器的 Microsoft Entra ID 用户和组
可选：限制连接器允许使用的权限，以选择性地控制哪些 Microsoft 365 服务可访问
3. 细粒度权限撤销
您可以通过 Microsoft Entra 管理中心选择性地禁用特定功能。例如：
限制内容 | 操作 | 效果 |
所有访问 | 在 Claude 管理设置中禁用连接器 | 完全关闭 |
仅 SharePoint | 在 Entra 中撤销 Sites.Read.All 权限 | 阻止 SharePoint |
电子邮件访问 | 在 Entra 中撤销 Mail.Read 权限 | 阻止 Outlook |
Teams 聊天 | 在 Entra 中撤销 Chat.Read 权限 | 阻止 Teams |
OneDrive 文件 | 撤销 Files.Read 和/或 Files.Read.All | 阻止从 OneDrive 读取文件 |
更改对组织中的所有用户立即生效。请注意，用户也可以选择在聊天或会话期间禁用他们有权使用的功能，方法是选择性地关闭连接器的工具。
4. Microsoft 条件访问集成
连接器完全支持您现有的 Entra（Azure AD）策略：
多因素身份验证 (MFA)：为连接器访问强制执行 MFA
设备合规性：要求托管/合规设备
IP 限制：将 Microsoft 身份验证限制为公司网络或 VPN
基于组的访问：限制为特定安全组
5. 用户级权限
Microsoft 365 连接器使用 委派权限。
用户只能访问他们 已有权限 的 Microsoft 365 数据
SharePoint 搜索需要 Sites.Read.All 权限。不支持特定于站点的权限（使用 *.Selected 权限），因为底层搜索是租户范围的。
用户无法绕过 SharePoint 共享设置或文件夹权限
用户无法访问其他用户的私人文件或电子邮件
委派权限本质上尊重 Microsoft 365 数据丢失防护 (DLP) 策略
6. 令牌管理
刷新令牌在默认情况下在 90 天不活动后过期，需要重新身份验证。这可以在 Microsoft Entra ID 中使用令牌生命周期策略进行自定义。
访问令牌通常在 Microsoft Entra ID 默认值内的 60-90 分钟内过期，并自动刷新
管理员或用户可以随时通过 Microsoft Entra ID 撤销访问
Microsoft 365 连接器从不查看或存储密码