Microsoft 365 連接器適用於所有 Claude 方案：免費版、Pro、Max、Team 和 Enterprise。
它是什麼
Microsoft 365 連接器是一個 Anthropic 託管的整合，使 Claude 能夠透過使用者委派的權限安全地存取 Microsoft 365 服務（Outlook、SharePoint、OneDrive、Teams）。Anthropic 已完成 Microsoft 的發行者驗證流程，將我們經過驗證的 Microsoft 合作夥伴網路帳戶與此應用程式相關聯，以確認我們的組織身份。
連接器作為 安全代理 運作，您的 Microsoft 365 文件、電子郵件和檔案保留在您的租用戶中。連接器僅在主動查詢期間按需檢索資料，不會快取檔案內容。認證由 Anthropic 的後端基礎設施加密和管理。MCP 伺服器本身不儲存或管理這些認證。Microsoft 的 Azure SDK 處理按使用者基礎的代理人令牌交換和快取，以存取 Graph API。
存取限制
存取可以完全受限
連接器提供 多層存取控制 以滿足您的安全需求。如需有關 Microsoft 365 連接器管理的詳細資訊，請參閱 啟用和使用 Microsoft 365 連接器。
1. Microsoft Entra 租用戶要求
所有使用連接器的人員（無論使用哪個 Claude 方案）都必須使用與 Microsoft Entra 租用戶相關聯的 Microsoft 365 帳戶進行驗證。個人 Microsoft 帳戶（@outlook.com、@hotmail.com）無法使用。Microsoft Entra 全域管理員必須完成一次性同意流程，租用戶中的任何人才能連線。
2. 組織層級閘道（Team 和 Enterprise 方案）
在 Team 和 Enterprise 方案上，存取連接器需要兩步驟核准流程。首先，擁有者必須透過導覽至「組織設定」>「連接器」>「瀏覽連接器」>「新增『Microsoft 365』」，在 Claude 組織設定中明確啟用 Microsoft 365 連接器。在授予此核准之前，團隊成員無法存取。
其次，在擁有者啟用連接器後，Microsoft Entra 全域管理員必須代表整個組織完成個別驗證並授予同意，團隊成員才能連線。
3. 細粒度權限撤銷
您可以透過 Microsoft Entra 管理中心選擇性地停用特定功能。例如：
限制 | 動作 | 效果 |
所有存取 | 在 Claude 組織設定中停用連接器 | 完全關閉 |
僅 SharePoint | 在 Entra 中撤銷 Sites.Read.All 權限 | 封鎖 SharePoint |
電子郵件存取 | 在 Entra 中撤銷 Mail.Read 權限 | 封鎖 Outlook |
Teams 聊天 | 在 Entra 中撤銷 Chat.Read 權限 | 封鎖 Teams |
OneDrive 檔案 | 撤銷 Files.Read 和/或 Files.Read.All | 封鎖從 OneDrive 讀取檔案 |
變更對組織中的所有人立即生效。人員也可以在聊天期間選擇停用功能，方法是選擇性地關閉連接器的工具。
4. Microsoft 條件式存取整合
連接器完全支援您現有的 Entra (Azure AD) 原則：
多因素驗證 (MFA)：強制執行連接器存取的 MFA
裝置合規性：要求受管理/相容的裝置
IP 限制：將 Microsoft 驗證限制在公司網路或 VPN
群組型存取：限制為特定安全群組
5. 使用者層級權限
Microsoft 365 連接器使用 委派權限。
使用者只能存取他們 已經有權限 的 Microsoft 365 資料
SharePoint 搜尋需要 Sites.Read.All 權限。不支援網站特定的權限（使用 *.Selected 權限），因為基礎搜尋是租用戶範圍的。
使用者無法略過 SharePoint 共用設定或資料夾權限
使用者無法存取其他使用者的私人檔案或電子郵件
委派權限本質上尊重 Microsoft 365 資料遺失防護 (DLP) 原則
6. 令牌管理
重新整理令牌預設在 90 天無活動後過期，需要重新驗證。這可以在 Microsoft Entra ID 中使用令牌生命週期原則進行自訂。
存取權杖通常在 60-90 分鐘內過期（根據 Microsoft Entra ID 預設值），並會自動重新整理
管理員或使用者可以隨時透過 Microsoft Entra ID 撤銷存取權
Microsoft 365 連接器永遠不會查看或儲存密碼
安全性架構摘要
驗證流程
OAuth 2.0 代表授權 (OBO)：業界標準的委派驗證
PKCE 保護：公開用戶端使用授權碼交換的證明金鑰來防止授權碼攔截
兩階段權杖交換：使用者驗證以取得 MCP 伺服器的存取權杖，然後 MCP 伺服器使用 OBO 流程搭配機密用戶端認證將其交換為 Graph API 存取權。在此流程中，即使是使用者或其 Claude 用戶端也無法存取 OBO 權杖。只有 MCP 伺服器可以存取並使用具有透過 Microsoft Graph API 存取使用者資料權限的權杖。
無認證儲存：使用者永遠不會與 Anthropic 共享 Microsoft 密碼
加密的權杖儲存：存取和重新整理權杖在由 Claude 後端快取時會被加密
資料流程
文件和其他內容僅在主動查詢期間被擷取
來自連接器的工具呼叫結果（屬於已儲存聊天的部分）會被保留
要求 Claude 聊天的使用者可以看到工具呼叫結果和 Claude 的回應（包含資料）
在聊天上共享的其他使用者只能看到 Claude 的回應（包含工具呼叫結果）
每個請求都會建立一個新的資料流程，在傳回回應後進行清理
多租戶隔離
Microsoft Entra 租戶使用通用範圍的多租戶設定以密碼方式相互分離
多租戶隔離透過數位簽署的存取權杖以密碼方式強制執行，該權杖將每個使用者繫結到其組織的租戶
可用的功能
目前功能（唯讀存取）
連接器提供唯讀存取：
工具 | 說明 | 必要的權限 |
sharepoint_search | 搜尋 SharePoint 文件和頁面 | Sites.Read.All |
sharepoint_folder_search | 按名稱尋找 SharePoint 資料夾 | Sites.Read.All |
outlook_email_search | 使用寄件者/日期篩選搜尋電子郵件 | Mail.Read |
outlook_calendar_search | 搜尋行事曆事件 | Calendars.Read |
find_meeting_availability | 尋找可用的會議時間 | Calendars.Read |
chat_message_search | 搜尋 Teams 聊天訊息 | Chat.Read |
read_resource | 按 URI 讀取檔案、電子郵件或聊天 | 因資源類型而異 |
權限清單
基本權限
User.Read - 登入並讀取使用者設定檔（基本要求）
郵件權限
Mail.Read - 讀取使用者郵件（電子郵件工具/資源所需）
Mail.ReadBasic - 讀取使用者郵件中繼資料（功能受限的替代方案）
Mail.Read.Shared - 讀取使用者和共用郵件
MailboxFolder.Read - 讀取使用者的信箱資料夾
MailboxItem.Read - 讀取使用者的信箱項目
行事曆權限
Calendars.Read - 讀取使用者行事曆和事件
Calendars.Read.Shared - 讀取使用者可存取的行事曆，包括共用行事曆
使用者目錄
User.ReadBasic.All - 讀取所有使用者的基本設定檔（用於會議可用性）
聊天權限
Chat.Read - 讀取使用者聊天訊息
Chat.ReadBasic - 讀取使用者聊天中繼資料（功能受限的替代方案）
ChatMember.Read - 讀取聊天的成員
ChatMessage.Read - 讀取使用者聊天訊息（比 Chat.Read 更具體）
頻道權限
Channel.ReadBasic.All - 讀取頻道的名稱和描述
ChannelMessage.Read.All - 讀取頻道訊息
會議權限
OnlineMeetings.Read - 讀取線上會議
OnlineMeetingTranscript.Read.All - 讀取會議記錄
OnlineMeetingAiInsight.Read - 讀取線上會議的所有 AI 見解
OnlineMeetingArtifact.Read.All - 讀取使用者的線上會議成品
OnlineMeetingRecording.Read.All - 讀取線上會議的所有錄製內容
檔案權限
Files.Read - 讀取使用者檔案
Files.Read.All - 讀取使用者可存取的所有檔案
網站權限
Sites.Read.All - 讀取所有網站集合中的項目
Sites.Selected – 在網站集合層級管理應用程式存取，提供對特定網站集合的存取
目前的限制
無寫入功能：無法傳送電子郵件、排程會議、建立/修改文件或發佈 Teams 訊息。
僅限使用者層級存取：不支援使用服務主體驗證進行存取。
常見問題
我們可以在企業範圍推出前先用小型試驗群組進行測試嗎？
可以。建議的方法是使用應用程式指派來限制誰可以使用連接器：
啟用連接器（Team 和 Enterprise 擁有者在組織設定中啟用；個人方案使用者可以直接連接）。
Microsoft Entra 管理員完成預先同意設定
使用 Microsoft Entra Enterprise App 指派來限制對特定使用者或群組的存取（例如，僅將「IT 安全測試群組」指派給應用程式）。
逐步擴展群組以進行漸進式部署
我們如何確保在多租用戶環境中我們的組織與其他組織之間不會發生資料洩漏？
多租用戶隔離確保完全分離：
伺服器使用通用租用戶設定來接受來自任何 Microsoft Entra ID 租用戶的權杖
每個使用者的權杖包含其組織的租用戶 ID（tid 宣告），該 ID 會被驗證
透過 OBO 取得的 Graph API 權杖會自動限定於使用者及其租用戶
跨租用戶權杖存取由 Microsoft Graph 的 OAuth 2.0 實作設計在密碼學上防止。
如果有人嘗試使用個人 Microsoft 帳戶連接會發生什麼？
連接器需要與 Microsoft Business 方案相關聯的 Microsoft Entra 租用戶。個人 Microsoft 帳戶（@outlook.com、@hotmail.com）無法用於驗證。嘗試使用個人帳戶連接的人員將收到驗證錯誤。
您是否有用於合規性的稽核記錄？
是的。連接器進行的所有 Graph API 呼叫都會記錄在您組織的 Microsoft 365 稽核記錄中，您可以透過 M365 合規性中心存取。這些記錄顯示時間戳記、使用者、執行的操作和存取的資源，保留期間與您的 Microsoft 365 稽核原則相符。此外，Anthropic 會記錄驗證和工具執行事件。
如果我們發現未授權的使用，我們可以撤銷存取權限嗎？
有多種撤銷方法：
個人層級：使用者透過 自訂 > 連接器斷開連線
管理員層級：在 Team 和 Enterprise 方案上，擁有者在 Claude 組織設定中停用連接器（影響所有團隊成員）。
權限層級：在 Microsoft Entra 管理中心撤銷特定權限
租戶層級：在 Microsoft Entra 管理中心撤銷所有權限
Anthropic 有哪些認證？
Anthropic 具有以下認證：
SOC 2 Type II（年度審計）
ISO 27001 認證
GDPR 合規（提供 DPA）
Microsoft 發行者驗證應用程式
其他資源
Claude 說明中心：啟用和使用 Microsoft 365 連接器