ツールのアクセス権限の管理

管理コンソールを使用すると、企業全体で利用できるBox MCPサーバーツールを制御し、選択した書き込み可能なツールにセキュリティガードレールを設定できます。 これにより、組織のセキュリティ、コンプライアンス、およびガバナンスの要件を満たすことができます。

​

ツールのアクセス権限の仕組み

Box MCPサーバーツールのアクセス権限は、企業全体と、個別の統合またはPlatformアプリの2つのレベルで制御できます。 すべての公開されている統合と未公開Platformアプリは、デフォルトで、企業全体の構成に従います。 このデフォルト構成は、個々の統合またはアプリの [Box MCPサーバー] タブで [カスタム構成] を設定するまで適用されたままになります。設定したカスタム構成は、その統合またはアプリに対してのみ優先的に適用されます。 Boxでは、以下の順に設定が適用されます。

1. [カスタム構成] — 統合またはPlatformアプリに設定されている場合、その統合またはアプリにのみ適用されます。
2. [グローバル構成] — 独自のカスタム構成が設定されていない統合またはPlatformアプリに適用されます。

統合やアプリごとに設定を変更できるため、同じBox MCPサーバーでも、使用されているAIプラットフォームに応じて異なるツールを公開できます。

​

企業全体のアクセス権限

グローバル構成は、すべてのユーザーと、独自のカスタム構成が設定されていない統合またはPlatformアプリに適用されます。 企業全体のツール設定を開くには、以下の手順に従います。

1. [管理コンソール] を開きます。
2. 左のサイドバーで、[統合] を選択します。
3. [Box MCPサーバー] タブを選択します。

表には、各ツールカテゴリと現在のアクセスレベルのほか、[構成] ボタンが表示されます。 ここからアクセス権限を管理できます。

• ツールカテゴリごと
• 個々のツールごと
• その両方

​

カテゴリ全体のアクセス権限の設定

カテゴリ全体のアクセス権限を設定するには、以下の手順に従います。

1. Box MCPサーバーの表で、構成するカテゴリを見つけます。
2. [有効化] ドロップダウンを選択します。
3. 以下のアクセスレベルのいずれかを選択します。
   • [すべてのツールを無効にする] — このカテゴリのツールは利用できなくなります。
   • [読み取り専用ツールを有効にする] — データを読み取るツールのみが利用可能です。
   • [読み取りおよび書き込み可能なツールを有効にする] — このカテゴリのすべてのツール (データを作成または変更するツールを含む) が利用可能です。
   • [カスタム構成] — このカテゴリのどのツールを利用可能にするかを個別に選択します。

その後、カテゴリレベルの変更はすぐに適用されます。

​

個々のツールのアクセス権限の設定

カテゴリ内の特定のツールへのアクセス権限を制御するには、以下の手順に従います。

1. Box MCPサーバーの表で、構成するカテゴリを見つけます。
2. [構成] を選択します。

構成ウィンドウの [読み取り専用のMCPツール] と [書き込み可能なMCPツール] には、そのカテゴリのツールが一覧表示されます。ツールにはそれぞれ、切り替えボタンが用意されています。 [有効化] の選択内容と個々の切り替えボタンは常に同期されます。

• [有効化] オプションを選択すると、カテゴリ内の切り替えボタンがすべて更新されます。
• 個々の切り替えを変更すると、[有効化] の選択内容が更新されます。
  • 読み取り専用ツールのみを有効にすると、[読み取り専用ツールを有効にする] が選択されます。
  • すべてのツールを有効にすると、[読み取りおよび書き込み可能なツールを有効にする] が選択されます。
  • すべてのツールを無効にすると、[すべてのツールを無効にする] が選択されます。
  • それ以外の組み合わせでは、[カスタム構成] が選択されます。

[保存] を選択すると、確認メッセージが表示されます。

​

特定の統合またはアプリのアクセス権限

特定の統合またはPlatformアプリに対してツールのアクセス権限を設定し、その統合やアプリに限定して、企業全体のデフォルト設定を上書きすることもできます。 これにより、各AIプラットフォームを個別に管理しつつ、それ以外のすべてについて企業全体で統一的な基準を維持できます。 各統合およびPlatformアプリには専用の [Box MCPサーバー] タブがあり、そこで、ツールのアクセス権限の適用方法を選択できます。

• [グローバル構成] — 企業全体の設定を継承します。 これがデフォルトです。
• [カスタム構成] — その統合またはアプリ専用のツールのアクセス権限を設定し、企業全体の設定を上書きします。

[カスタム構成] を選択するとツールカテゴリが表示され、任意のカテゴリを展開して個々のツールを有効または無効にできます。 タブの場所や、変更がどのように適用されるかは、アプリの種類によって異なります。

​

統合に対するツールのアクセス権限の設定

1. [管理コンソール] を開きます。
2. 左のサイドバーで、[統合] を選択します。
3. 構成する統合を見つけます。 リストを絞り込むには、[MCP] カテゴリでフィルタをかけるか、名前で検索します。
4. 対象の統合の [構成] を選択します。
5. 表示されたウィンドウで、[Box MCPサーバー] タブを選択します。
6. [カスタム構成] を選択します。
7. カテゴリを選択して展開し、各ツールの切り替えボタンを使用してツールを有効または無効にします。 リストを特定のスコープに絞り込むには、カテゴリの上にある [すべて]、[読み取り専用]、または [書き込み専用] フィルタを選択します。
8. [保存] を選択します。

統合を企業全体の設定に戻すには、[グローバル構成] を選択して [保存] を選択します。

​

Platformアプリに対するツールのアクセス権限の設定

1. [管理コンソール] を開きます。
2. 左のサイドバーで、[Platform] を選択します。
3. ウィンドウの上部にある [Platformアプリ] タブを選択します。
4. 構成するアプリを探して、その名前を選択します。
5. アプリの詳細ページで [Box MCPサーバー] タブを選択します。
6. [カスタム構成] を選択します。
7. カテゴリを選択して展開し、各ツールの切り替えボタンを使用してツールを有効または無効にします。 変更はすぐに適用されます。

アプリを企業全体の設定に戻すには、[グローバル構成] を選択します。 カスタム構成は削除され、 その統合またはアプリは再度、企業全体の設定 (後から行われる変更も含む) に従うようになります。

​

ツールを無効にした場合

企業全体、または特定の統合やPlatformアプリに対してツールを無効にすると、以下のようになります。

• MCPクライアントに返されるツールリストから削除されます。
• エージェントはそのツールを検出することも使用することもできなくなります。

エージェントですでに検出されているツールを無効にすると、以下のようになります。

• Boxは、実行時にその変更を適用します。
• Box MCPサーバーから次のようなエラーが返されます。

Tool has been disabled by the enterprise admin. Contact your enterprise admin for more information. (ツールは企業の管理者によって無効になっています。詳細については、企業の管理者にお問い合わせください。)

アクティブなセッション中は、代わりに一般的なエラー (「ツールが見つかりません」など) がユーザーに表示される場合があります。 正確なメッセージはMCPクライアントによって異なります。

​

書き込み可能なツールのセキュリティガードレール

セキュリティガードレールでは、AIエージェントが選択したBox MCPサーバーの書き込み可能なツールを使用できる範囲を定義します。 ツールを全面的に有効または無効にするのではなく、ツールを有効にしたうえで、ツールに応じて、その利用を特定のコンテンツまたはユーザーに制限できます。 例えば、ファイルのアップロード先を特定のフォルダのみに制限したり、ツールによる外部コラボレータの追加をブロックしたりできます。 ガードレールは、コンテンツのアップロード、移動、コピー、共有など、データが公開される可能性のあるアクションや、コンテンツの外部への移動など、ビジネスに支障をきたす可能性のあるアクションをエージェントが実行するのを防ぐのに役立ちます。 エージェントは自律的かつ大規模にアクションを実行できるため、ガードレールでは、このようなアクションを実行後に検出するのではなく、実行前に阻止します。 ガードレールが設定されているツールをエージェントが呼び出すと、Boxは、そのツールを実行する前に、リクエストをルールに照らして評価します。 リクエストが設定した範囲外の場合、Boxはそのアクションをブロックします。 ガードレールでは、Box Automateのガードレールと同じ種類の制約を使用します。

• [コンテンツの制限]: ツールがアクションを実行できる場所。例えば、特定のフォルダやHub、特定の分類ラベルが設定されたコンテンツなど。
• [管理対象ユーザーの基準]: ツールの対象にできる管理対象ユーザー。
• [外部ユーザーの基準]: ツールが外部ユーザーとどのようにやり取りできるか。

許可リスト、不許可リスト、外部からアクセス可能な項目のブロックなど、各オプションの詳細については、高度なガードレールの構成を参照してください。

​

サポートされているツール

ガードレールは、[ファイルとフォルダ] および [コラボレーション] カテゴリの一部の書き込み可能なツールで使用できます。 ガードレールをサポートしているツールを確認するには、利用可能なツールのガードレール列を確認してください。 ガードレールは読み取り専用ツールには適用されません。 エージェントが読み取ることのできるコンテンツを制御するには、Shieldのスマートアクセスポリシーを使用します。

​

ガードレールの構成

企業全体のBox MCPサーバー設定では、ツールを有効にする際に、ツールごとにガードレールを構成します。 Box MCPサーバーツールを有効または無効にする場合と同じ管理者権限が必要です。 ツールのガードレールを構成するには、以下の手順に従います。

1. [管理コンソール] を開きます。
2. 左のサイドバーで、[統合] を選択します。
3. [Box MCPサーバー] タブを選択します。
4. 対象のツールが含まれているカテゴリを見つけ、[構成] を選択します。
5. [書き込み可能なMCPツール] でツールを有効にし、そのツールのガードレール設定を開きます。
6. 必要に応じて、[コンテンツの制限]、[管理対象ユーザーの基準]、[外部ユーザーの基準] を設定します。 利用可能な基準はツールによって異なります。 各オプションの詳細については、高度なガードレールの構成を参照してください。
7. [保存] を選択します。

企業全体のガードレールは、ツールがどこで有効になっているかに応じて、カスタム構成が設定されている統合やPlatformアプリにも適用されます。

• ツールが企業全体と統合またはアプリの両方で有効になっている場合は、企業全体のガードレールが適用されます。
• ツールが統合またはアプリでのみ有効になっていて、企業全体では有効になっていない場合、ガードレールは適用されません。

​

ガードレールによってアクションがブロックされる場合

リクエストがガードレールのルールに違反している場合、Boxはそのアクションを実行しません。 Box MCPサーバーから、セキュリティガードレールによってアクションがブロックされたことを示す構造化エラーがエージェントに返されます。 MCPクライアントによっては、エージェントがこのエラーをユーザーに表示するか、別の方法を試す場合があります。

​

ツールの変更の監査

特定の統合またはPlatformアプリに対する変更を含め、ツールの設定がいつ、どのように変更されたかを確認するには、以下の手順に従います。

1. [管理コンソール] を開きます。
2. 左のサイドバーで、[レポート] をクリックします。
3. [レポート作成] を選択し、[セキュリティログ] を選択します。
4. [統合] で [MCPツールの有効化ステータスの変更] を選択します。

レポートに含まれる情報は以下のとおりです。 詳細については、[セキュリティログ] レポートを参照してください。 Boxでは、セキュリティガードレールの構成に対するすべての変更も、Enterprise Event Streamに記録されます。 これらのイベントを取得するには、Events APIを使用します。

​

使用状況の監視

企業内のMCPアクティビティを確認するには、[管理コンソール] > [レポート] で以下のレポートを使用します。