Noboruコンサルティング

ClaudeとSalesforceのMCP連携で確かめる権限設定｜見える範囲・書き込み承認・更新者の記録

2026年10月17日

この記事の要点

  • ニュース：WorkdayとAnthropicが提携し、Claudeからの操作にも業務システムの権限・ルール・監査をそのまま適用すると発表しました。Salesforceも同じ考え方で、Claudeとの接続を提供しています
  • 読み解き：MCPでつないだAIは、接続したユーザーの権限で動きます。権限が整っていなければ、その状態がそのままAIに引き継がれ、AIの更新も本人の更新として記録に残ります
  • 提言：AI専用の権限の仕組みは作らず、Salesforceの共有ルール・権限セット・項目履歴管理で整えます。権限を作り込む作業は要りませんが、誰に何を見せ、何を更新させるかを決めることは残ります

AIとSalesforceの接続で、権限を見直す理由

企業の情報漏洩のニュースが増えています。原因はさまざまですが、後から問われるのは「誰が、どこまで見られる状態になっていたか」です。

AIとSalesforceをつなぐときも同じです。私はClaudeとSalesforceをつないで業務に使っていますが、あらためて「AIは誰の権限で、どこまで見られるのか」「AIの更新は誰の更新として残るのか」を見直しました。この記事では、その結果をもとに、確かめておくことを整理します。

ニュース：WorkdayとAnthropicの提携と「Salesforce in Claude」

2026年10月13日、WorkdayとAnthropicが提携を発表しました。Claudeから依頼された操作にも、Workdayの権限・業務ルール・監査の仕組みがそのまま適用され、利用者には見る権限のある情報だけが表示されます。

Salesforceも、Claudeの中から商談やパイプラインを扱える「Salesforce in Claude」を2026年9月からベータ版で提供しています。営業担当者が自分のSalesforceアカウントでサインインし、Claudeはその人が扱える記録だけを読み書きします。

どちらも、AIの側に新しい権限の仕組みを作るのではなく、業務システムの権限がそのままAIの安全の仕組みになるという設計です。

MCPとHeadless 360とは

MCP（Model Context Protocol）は、AIと業務システムをつなぐための共通の規格です。

Headless 360は、Salesforceが提供するMCPサーバーです。ClaudeなどのAIから、Salesforceの記録を読んだり更新したりできます。Salesforce側にAIが入っているわけではなく、AIはClaude側で動き、Salesforceは依頼された操作を実行します。

接続の方法特徴
Salesforce in ClaudeSales Cloudの最新のEnterprise Edition向けのベータ版。申し込みと承認が必要
Headless 360（Salesforceが提供するMCPサーバー）管理者がMCPサーバーを有効にし、Claudeのコネクタとして登録して使う
自分で用意したMCPサーバー渡す機能（ツール）を自分で選べる。認証の方式によっては管理者の管理の外になるため注意が必要

どの方法でも、確かめる内容は同じです。

確かめること1：見える範囲（共有ルールはAIにも効くか）

Headless 360でClaudeからSalesforceに接続するときは、OAuth認証を使います。Salesforceのログイン画面で本人がサインインし、接続を許可する方式です。つまり、Claudeはサインインした本人としてSalesforceにログインしています。

そのため、プロファイル、権限セット、共有ルール、項目レベルセキュリティは、AIの操作にもそのまま適用されます。本人に見えない商談は、AIにも見えません。

確かめるときは、次の手順で比べます。

  1. 営業担当者Aさんのユーザーで、他の担当者の商談が見えない設定になっていることを確認する
  2. AさんのアカウントでClaudeを接続し、「今月クローズ予定の商談を全部出して」と頼む
  3. Aさんに見えない商談が、答えに含まれていないかを確かめる

この比較には、Aさん用のSalesforceアカウントとClaudeのアカウントの両方が必要です。私の環境では、まだ試せていません。

注意したいのは、管理者のアカウントで接続すると、AIも管理者と同じ範囲を見られることです。検証で手軽だからと管理者でつなぎ、そのまま本番で使うのが、いちばん起こりやすい失敗です。

確かめること2：書き込みの承認（どこで何を制御するか）

私の環境を確かめると、書き込みの機能は「常に許可」になっていました。AIが更新するとき、毎回の確認は入っていなかったということです。

書き込みの制御は、Claude側とSalesforce側に分かれています。

制御できること決める人
Claude側機能（ツール）ごとに「承認が必要」「常に許可」「使わせない」を選ぶ使う人ごと
Salesforce側有効にするMCPサーバーを選ぶ（読み取り専用のサーバーだけにすれば書き込めない）。必要な機能だけを入れたMCPサーバーを作るシステム管理者
Salesforce側接続できるユーザーを、外部クライアントアプリケーションへのプロファイル・権限セットの割り当てで限定するシステム管理者
Salesforce側プロファイル・権限セット・項目レベルセキュリティで、編集できるオブジェクトと項目を決めるシステム管理者

プロファイル別に「誰がAIを接続できるか」「AIで何を更新できるか」は、Salesforceの管理者が制御できます。一方、「更新の前に確認を出すかどうか」は、使う人ごとのClaude側の設定です。

最初は、読むのは自由、書くのは毎回確認から始めることをおすすめします。

確かめること3：更新者の記録（AIの更新は誰の名前で残るか）

AIは接続した本人の認証で動くため、AIが更新した記録も、最終更新者は本人になります。私の環境でも、最終更新者は「上嶌」でした。

AI用の特別なアカウントが要らない点は良いところです。一方で、記録を見ても、本人の更新かAIの更新かを区別できません。

実際に、社内の会議で「誰も更新していないはずの商談の『次のステップ』が変わっている」ことがありました。調べると、Meetの打ち合わせのあと、Geminiが作った議事録をClaudeの自動実行が読み、SalesforceにToDoを作成し、それをもとに次のステップが更新されていました。更新者はすべて「上嶌」で、私は何も操作していませんでした。

AIを自動で動かす仕組みを作ると、人が頼んでいない更新も、接続した人の名前で残ります。対策として、次の3つを決めておきます。

  • AIに更新させる項目は、項目履歴管理（変更者・変更日時・変更前後の値を残す標準機能）を有効にする
  • AIで更新したときは、活動に「AIで更新」と残すなど、後から分かるルールを決める
  • 自動で動かす仕組みは、何を読み、どの項目を更新するかを書き出しておく

費用の面でも「誰が何回使ったか」が問われる

Salesforceは、外部のAIエージェントがMCPやAPIで呼び出した回数に応じて、将来Flex Credits（Salesforceの従量課金の単位）を消費させる方針を示しています。単価や開始時期は未発表で、開始の30日前に通知されるとされています。従来のAPI連携は対象外です。

AIの利用回数を把握しておくことは、安全面だけでなく費用面でも必要になります。

本番で使う前のチェックリスト

確認すること見るところ
接続に使うアカウントが管理者になっていないかユーザーのプロファイル・権限セット
AIを接続できるユーザーを限定しているか外部クライアントアプリケーションの設定（プロファイル・権限セット）
必要なMCPサーバーだけを有効にしているかMCPサーバーの設定（読み取り専用のサーバーで足りないか）
AIに見せたくない記録が、共有ルールで守られているか組織の共有設定・共有ルール
AIに更新させたくない項目に、編集の権限がないかプロファイル・権限セット、項目レベルセキュリティ
更新の前に人の確認が入るか。「常に許可」の運用を決めたかClaude側の接続設定・社内ルール
自動実行で、どの項目を更新しているか把握しているか自動実行の設定・社内ルール
AIに更新させる項目で、変更履歴が残るか項目履歴管理の設定
AIによる更新だと後から分かるか運用ルール（活動への記録など）
AIの利用回数を把握できるか利用状況の確認方法・Salesforceからの通知

まとめ：AIのための権限は作り込まない

Salesforceには、共有ルール・権限セット・項目履歴管理という、もともと用意された仕組みがあります。Salesforceの想定している使い方で権限を整えておけば、それがそのままAIの安全の仕組みになります。

「全員が全部見られる」「誰が何を変えたか分からない」という状態のSalesforceにAIをつなぐと、その状態がそのままAIにも引き継がれます。

権限の仕組みを作り込む作業は要りません。でも、誰に何を見せ、AIに何を更新させるかを決めることは残ります。

まずは、AIの接続に使っているアカウントのプロファイルを確認してみてください。

最後までお読みいただきありがとうございました。

無料診断を行っています

Salesforceを導入済みの企業様が取引先、取引先責任者、商談、活動の入力作業を、AIに任せるとどれくらい時間を減らせるかを無料診断でお伝えします。

▶ 無料診断のお申し込み：noboru-consulting.com

参考

← ブログ一覧へ戻る