Miro MCP 用の Enterprise-Managed Authorization を設定 – Miro Help Center

実行できる人： 会社の管理者
対象プラン： Enterprise
対応プラットフォーム： ブラウザ、デスクトップ

Enterprise-Managed Authorization（EMA）により、組織のアイデンティティプロバイダーが Miro MCP へのアクセスを付与できるようになり、ユーザーは MCP クライアントから別途 Miro にログインする必要がなくなります。In the first release, EMA applies to Claude. ほかの MCP クライアントは引き続き OAuth でログインします。

開始前に

組織で Miro MCP を有効化します。Miro MCP サーバー（管理者ガイド）を参照してください。
EMA 用の デフォルトのチーム を作成または選択します。できれば EMA を使う必要があるユーザーだけが含まれる、制限されたチームを選び、そのユーザーをチームに追加してください。
アイデンティティプロバイダーの管理者権限を持っていること。今回のリリースでサポートされているプロバイダーは Okta です。Okta ドキュメントの Set up AI agent token exchange を参照してください。
Miro コネクタ用に Enterprise-Managed Authorization をオンにできるよう、Anthropic 管理者コンソールの管理者権限を持っていること。

EMA を使うユーザーは 2 か所でアクセス権が必要です：Miro のデフォルトのチームのメンバーであること、そして Okta で付与するロールやアクセス。どちらか一方だけを完了しても不十分です。

Enterprise-Managed Authorization の仕組み

EMA を有効化すると：

アイデンティティプロバイダーが誰が Miro MCP へのリクエストを行えるかを決定します。
Claude は各ユーザーが個別に Miro の OAuth コンセントフローを完了しなくても Miro MCP に接続できます。
Miro は EMA 用に選択した デフォルトのチーム でボードを開きます。
ほかの MCP クライアント（たとえば Cursor や ChatGPT）は、引き続き標準の OAuth と通常のチームとユーザーグループのコントロールを使用します。

EMA は Miro の SSO（SAML/OIDC）とは別物です。Miro のウェブログイン用に SAML 接続を追加しても、その発行者が MCP に対して信頼されるわけではありません。MCP ページの 信頼済み発行者 にその発行者を明示的に追加する必要があります。

業界拡張の背景については、Model Context Protocol ブログの Enterprise-Managed Authorizationを参照してください。

Enterprise-Managed Authorization を設定

初回にこの機能をオンにすると、Miro がガイド付きセットアップパネルを開きます。パネル内の 3 つの手順をすべて完了し、セットアップを完了 をクリックしてください。完了するまで EMA は有効になりません。

管理者コンソール > Apps and integrations > MCP に移動します。
Enterprise-Managed Authorization の下で Enable enterprise-managed authorization for Claude をオンにします。
Enterprise-Managed Authorization を設定 パネルが開きます。
パネル内の 3 つの手順を完了します（以下に説明します）。
セットアップを完了 をクリックします。
MCP ページにデフォルトのチームと信頼済み発行者が表示されます。

ステップ 1：デフォルトのチームを選択

Enterprise-Managed Authorization を通じてログインする全員がこのチームにアクセス権を持ちます。セットアップの前後いずれでも、アクセスが必要なユーザーをチームに追加してください。

セットアップパネルでチームを検索します。
デフォルトにしたいチームを選択します。
続行をクリックします。

可能であれば、EMA 用に専用の制限されたチームを使ってください。EMA のボードアクセスが明確なメンバーに限定されます。

選択したチームにまだ MCP が有効になっていない場合、Miro がそのチームで MCP を有効にするよう促します。EMA セッションがそこでボードを開けるように、MCP を有効にする をクリックしてください。Miro はそのチームを チームとユーザーグループ の選択に追加します。

ステップ 2：信頼済み発行者を追加

Miro の値をアイデンティティプロバイダーにコピーし、その後 Miro に戻って発行者の URL を確認します。

この手順には Issuer URL というフィールドが 2 つ表示されます。最初のものは Copy these values into your identity provider の下にあり、Miro が示す値で、これを Okta にコピーします。2 番目は Confirm the issuer の下にあり、そこにアイデンティティプロバイダーの発行者 URL を入力します。

Copy these values into your identity provider の下で、Miro が表示する各値をコピーします：
- Issuer URL（例：https://mcp.miro.com/）
- Audience or tenant ID（組織固有の値）
- Resource indicator（例：https://mcp.miro.com/）
Okta で Miro 用のエージェント設定を作成し、これらの値を表示どおりに貼り付けます。その後、Okta でアクセスが必要なユーザーにロールを付与します。詳しい手順は Set up AI agent token exchange を参照してください。
Miro に戻り、Confirm the issuer の下にアイデンティティプロバイダーの発行者 URL を入力します。
この URL は Miro が組織に表示しているオーディエンス ID に対して登録されます。
発行者を追加 をクリックします。
Miro が検出とキーをチェックします。検出成功 と キー到達可能 が表示されるはずです。
続行をクリックします。

検出に失敗したりキーに到達できない場合は、アイデンティティプロバイダーが /.well-known/openid-configuration または /.well-known/oauth-authorization-server で jwks_uri を公開していることを確認してください。設定を修正したら 再確認 をクリックします。それでも失敗する場合は Miro サポートにお問い合わせください。

信頼済み発行者は複数追加できます。誤って追加した発行者はゴミ箱アイコンで削除できます。

ステップ 3：Claude でオンにする

Anthropic 管理者コンソールを開きます（セットアップパネル内の Open the Anthropic admin console を使用してください）。
Miro コネクタのために Enterprise-Managed Authorization をオンにします。
Miro に戻り、セットアップを完了 をクリックします。

ほかの MCP クライアントは引き続き OAuth でログインします。

Enterprise-Managed Authorization の設定を管理

最初のセットアップが正常に完了した後は、機能をオフ／オンしてもガイド付きパネルは再表示されません。代わりに MCP ページで設定を管理します。

デフォルトのチームを変更

管理者コンソール > Apps and integrations > MCP に移動します。
Enterprise-Managed Authorization の下で Default team を開きます。
別のチームを選択します。
そのチームにまだ MCP が有効になっていない場合は、表示されたら MCP を有効にする を確認してください。Miro はそのチームを チームとユーザーグループ の選択に追加します。

信頼済み発行者を追加または管理

管理者コンソール > Apps and integrations > MCP に移動します。
信頼済み発行者 の下で、各発行者のステータスと詳細を確認します：
- 有効または無効
- 検出成功 / 検出失敗
- キー到達可能 / キー到達不可
別の発行者を追加するには、+ 信頼済み発行者を追加 をクリックし、発行者の URL を入力して検出が成功することを確認します。
行のトグルで、発行者を削除せずに有効化／無効化できます。
ゴミ箱アイコンで、もはや信頼しない発行者を削除できます。

ここに一覧表示されている発行者だけが EMA を通じて MCP へのアクセスをリクエストできます。既存の Miro の SAML または OIDC SSO 接続だけでは不十分です。

Enterprise-Managed Authorization をオフにする

管理者コンソール > Apps and integrations > MCP に移動します。
Enterprise-Managed Authorization の下で Enable enterprise-managed authorization for Claude をオフにします。

Claude は通常の OAuth フローにフォールバックします。保存されたデフォルトのチームと信頼済み発行者は、後で機能を再度オンにしたときにそのまま利用可能です。

制限事項

EMA は現時点では Claude に適用されます。ほかの MCP クライアントは引き続き OAuth でログインします。
EMA のセッションは単一のデフォルトチームを使用します。他のチームのボードが必要なユーザーは、それらのチーム用に OAuth クライアントを使い続ける必要があります。
このリリースでは、Miro（デフォルトチームのメンバーシップ）と Okta（Miro エージェント設定に対するロールやアクセス）の両方でアクセスを付与する必要があります。
信頼済み発行者の検出は、アイデンティティプロバイダーが到達可能な JWKS エンドポイントを公開していることに依存します。