管理者向け初期設定ガイド
最終更新: 2026-07-28
このページは、フラクソン管理者が利用開始前に設定する内容をまとめたものです。
初期設定の流れ
- テナント情報を確認する。
- kintone連携を設定する。
- 管理者自身のkintone OAuth認証を行う。
- 利用者を招待する。
- ユーザーごとの許可スコープを確認する。
- アプリ利用制限とフィールド制御を設定する。
- 生成AIサービス別のRemote MCP接続を準備する。
- テスト利用者で動作確認する。
1. テナント情報を確認する
管理画面の テナント設定 で、会社情報、テナント表示名、管理者連絡先、ログイン時の追加認証、契約プラン、利用上限、ロールの初期設定を確認します。詳しくは テナント設定ガイド を参照してください。
確認ポイント:
- 会社名とテナント表示名が、利用者へ案内する組織名と一致していること。
- テナント識別子を変更できない前提で、Remote MCP URLやOAuthの案内に使える名前になっていること。
- 管理者連絡先、担当者情報、請求先情報が古い担当者のままになっていないこと。
- メールOTP MFAを有効にする場合、利用者が確認コードのメールを受け取れること。
- 契約プランで必要な機能が使えること。
- seat利用と月間MCP呼び出しの上限を把握していること。
- ユーザー招待で使うロールとデフォルトスコープが、最初の利用範囲に合っていること。
2. kintone連携を設定する
フラクソンは、利用者本人のkintone OAuth認可を使ってkintoneにアクセスします。管理者が全員分のkintone API tokenを登録する方式ではありません。
管理者は、フラクソンに必要なkintone OAuth設定、リダイレクトURI、必要スコープ、送信元IPなどを確認し、社内のkintone管理ルールに沿って設定します。
注意:
- kintone OAuth tokenを生成AIサービスに渡すことはありません。
- 利用者ごとにkintone OAuth認証が必要です。
- kintone側で許可されていないアプリやレコードは、フラクソン経由でも利用できません。
3. 管理者自身のkintone OAuth認証を行う
管理者画面で、管理者自身のkintone OAuth認証を完了します。
この認証は、主に次の用途で使います。
- アプリ一覧やフィールド一覧の取得。
- 管理者が設定するフィールド制御の候補確認。
- アプリメタデータの確認。
管理者自身のkintone権限で見えないアプリやフィールドは、管理画面でも確認できない場合があります。
4. 利用者を招待する
利用者のメールアドレス、ロール、初期許可スコープを確認して招待します。
招待前に決めること:
- その利用者がどの部署・業務でフラクソンを使うか。
- 読み取りだけでよいか、書き込みも必要か。
- ファイル操作やアプリ設定変更を許可する必要があるか。
- 利用者のkintone権限が業務に合っているか。
最初は読み取り中心のスコープから始め、利用状況を見て必要な範囲だけ広げる運用を推奨します。
5. ユーザーごとの許可スコープを確認する
Remote MCPで実際に使える操作は、次の両方を満たす範囲です。
- 管理者がユーザーに許可したスコープ。
- 生成AI接続時にRemote MCP接続へ発行されたスコープ。
ユーザー許可スコープを狭めた場合は、既存接続にも制限が反映されます。広げた場合は、既存接続が自動的に強くなるのではなく、再OAuthが必要になる設計です。
6. アプリ利用制限とフィールド制御を設定する
アプリごとに、フラクソンでの扱いを決めます。
| 方針 | 使いどころ |
|---|---|
| kintone権限に委譲 | 特別な追加制限が不要なアプリ |
| 利用拒否 | 生成AIから利用させたくないアプリ |
| 制限付き利用 | 一部フィールドだけ見せる、件数を制限する、書き込みを絞るアプリ |
制限付き利用では、次の観点を確認します。
- 生成AIに表示してよいフィールド。
- マスクすべきフィールド。
- 書き込みを許可するフィールド。
- 検索や集計に使ってよいフィールド。
- レコード条件で対象を絞る必要があるか。
- 1回の検索で取得できる件数上限。
アプリ単位の考え方は アプリ利用制限ガイド、フィールドごとの扱いは フィールド制御とセマンティックレイヤー を参照してください。
7. 生成AIサービス別のRemote MCP接続を準備する
社内で利用を許可する生成AIサービスを決め、サービスごとに接続方法を案内します。
| 生成AIサービス | 管理者の主な作業 |
|---|---|
| Claude Team / Enterprise | Claude組織にフラクソンのカスタムコネクタを追加し、利用者に接続手順を案内する |
| ChatGPT Business / Enterprise / Edu | ワークスペース管理者がAppsの利用可否、書き込み系アプリの扱い、接続手順を整理する |
| Microsoft Copilot | Copilot StudioでMCP接続を取り込み、組織のガバナンス設定に従ってエージェントを公開する |
生成AIサービス側のプラン、管理機能、監査、データ利用設定は各サービスの契約に依存します。フラクソンだけで生成AIサービス側の会話保存や学習利用設定を制御することはできません。
8. テスト利用者で動作確認する
本番利用者に案内する前に、テスト用の利用者で次を確認します。
- 招待メールからフラクソンに参加できる。
- kintoneユーザーID入力とkintone OAuth認証が完了する。
- 生成AIサービスからフラクソンへ接続できる。
list_apps相当のアプリ一覧確認ができる。- 代表アプリのフィールド構成を確認できる。
- 制限したフィールドが生成AIに返らない、またはマスクされる。
- 利用拒否アプリが拒否される。
- 呼び出しログまたは監査ログで利用状況を確認できる。
運用開始後に見るもの
- 月間MCP利用量。
- Remote MCP接続数。
- ユーザーごとの最終利用時刻。
- 失敗ログや拒否ログ。
- 不要になった接続や退職者の残存接続。
- フィールド制御の見直しが必要なアプリ。
初期設定で迷いやすい点
kintone権限とフラクソン権限はどちらが優先されますか
kintone権限が基本です。フラクソンはそれを広げず、追加で拒否・制限します。
管理者が全データを見られれば、利用者も生成AIから見られますか
いいえ。生成AIからのkintoneアクセスは利用者本人のkintone OAuth認可に基づきます。管理者のkintone権限を利用者に貸し出す方式ではありません。
書き込み系ツールは最初から許可すべきですか
最初は読み取り・集計中心を推奨します。書き込みを許可する場合は、対象アプリ、対象フィールド、操作種類、確認手順を明確にしてください。