為什麼連接 Microsoft 365 連接器時會看到「需要管理員核准」？
這不是帳號異常或系統故障，而是 Microsoft Entra ID 內建的應用程式同意保護機制。以下依「使用者」與「管理者」兩種角色，逐步說明會看到什麼畫面、該點什麼、該去哪裡設定，全程附真實測試租戶截圖。
實際回報畫面
帳號 panda@pylabs.asia.edu.tw 嘗試連接 Claude 的 Microsoft 365 連接器時，登入頁停在下圖狀態，僅能選擇以管理員帳號登入或取消。
測試環境 管理者：pyadmin@pylabs.asia.edu.tw ｜ Claude 帳號：panda@ipanya.com
| 應用程式 | M365 MCP Client for Claude 08ad6f98-a4f8-4635-bb8d-f1a3044760f0 |
|---|---|
| 服務端 | M365 MCP Server for Claude 07c030f6-5743-41b7-ba00-0a6e85f37c17 |
| 發行者 | Anthropic（Anthropic PBC） |
| 用途 | 讓 Claude 存取 Outlook、行事曆、OneDrive/SharePoint、Teams |
觸發原因是什麼？
雙方適用依 Microsoft Entra 官方說明，符合下列任一情況即會出現此畫面：
- 租戶的「使用者同意設定」為 Do not allow user consent、僅允許已驗證發行者的低風險權限，或設為 Let Microsoft manage your consent settings（讓 Microsoft 管理您的同意設定）但此應用程式的權限不在 Microsoft 目前允許的清單內。
- 此連接器要求的權限（如 Mail.ReadWrite、Files.ReadWrite.All）被判定為「高影響力」權限，超出使用者可自行同意的範圍。
- 租戶尚未執行過租戶層級管理員同意，且未啟用「管理員同意工作流程」，使用者完全無自助申請管道。
| 類別 | 權限 (Scope) | 說明 |
|---|---|---|
| 基本 | User.Read | 登入並讀取個人設定檔 |
| 郵件 | Mail.Read / Mail.ReadWrite* / Mail.Send* | 讀取、搜尋 Outlook 郵件與共用信箱 |
| 行事曆 | Calendars.Read / Calendars.ReadWrite* | 讀取／管理行事曆事件 |
| 檔案 | Files.Read.All / Files.ReadWrite.All* | 讀取／寫入 OneDrive、SharePoint 檔案 |
| SharePoint | Sites.Read.All | 搜尋 SharePoint 網站內容 |
| Teams | Chat.Read / ChatMessage.Send* / Chat.Create* | 讀取／傳送 Teams 訊息 |
* 為「寫入工具」啟用後才需要的權限；啟用後租戶須重新執行一次管理員同意。
我是使用者，遇到這個畫面該怎麼辦？
👤 使用者步驟 1・於 Claude 設定中連接 Microsoft 365
登入 claude.ai（或 Claude 桌面版）後，依下列 5 個小步驟開啟連接流程：
1-1 點選畫面左下角（桌面版）或右上角帳號頭像，於選單中點選 Settings。
1-2 進入 Settings 後，點選左側選單「Connectors」，預設會停在「Your connectors」頁籤，列出目前已連接的服務。
1-3 切換到「Discover」頁籤，搜尋「Microsoft 365」，找到官方卡片後點選右側「+」（Connect to Claude）圖示。
1-4 進入「Connect Microsoft 365」頁面，閱讀說明後勾選「I understand」；勾選前 Connect 按鈕為灰色無法點擊。
1-5 勾選後 Connect 按鈕轉為可點擊，點選即跳轉至 Microsoft 登入頁（接下方步驟 2）。
步驟 2・登入後看到「需要管理員核准」
2-1 點選 Connect 後，瀏覽器會另開 Microsoft 365 驗證視窗。若裝置先前已用 Windows 登入過該帳號，會直接看到「選取帳戶」畫面；點選帳號即可繼續（未登入過則會看到一般輸入電子郵件畫面，效果相同）。
2-2 選擇帳號後，因租戶尚未同意此應用程式、且您本身無法自行同意，畫面會停在下圖狀態，屬正常保護機制，並非帳號有問題。
步驟 3・（管理員已開放自助申請）填寫原因送出
管理員依 Q3 方案 B 啟用「管理員同意工作流程」並生效後，重新執行步驟 1～2、卡在「需要管理員核准」畫面時，會在權限清單下方多出一段文字輸入欄位，可填寫申請原因；下方另有「使用其他帳戶登入」可切換帳號，以及「此應用程式看起來可疑嗎？在這裡舉報」的檢舉連結。填寫原因後點選「要求核准」即可送出：
點選「要求核准」後，畫面顯示「要求已傳送」，說明系統管理員已收到通知，審核後將以電子郵件通知結果：
步驟 4・核准後重新連接
不論管理員採哪一種方式核准，只要重新執行一次 Connect 流程，即可正常完成授權，不會再出現上方畫面。
我是管理者，該如何讓使用者可以連接？
🛡️ 管理者有兩種做法，擇一即可；也可以先用方案 A 全面開放，之後改採方案 B 做精細審核。
檢查目前的使用者同意設定
Entra admin center → Entra ID → 企業應用程式 → 安全性 → 同意和權限 → 使用者同意設定，確認目前套用的原則。
執行租戶層級管理員同意
若兩個應用程式尚未出現在 Enterprise applications 清單中（代表尚無人完成過登入或同意流程、服務主體尚未建立），可用下列直接同意連結，以管理員帳號開啟後直接完成租戶層級同意：
https://login.microsoftonline.com/pylabs.asia.edu.tw/adminconsent?client_id=08ad6f98-a4f8-4635-bb8d-f1a3044760f0 https://login.microsoftonline.com/pylabs.asia.edu.tw/adminconsent?client_id=07c030f6-5743-41b7-ba00-0a6e85f37c17
以管理員帳號開啟上述網址後，會先看到「選取帳戶」畫面：
選擇管理員帳號登入後，隨即出現「要求的權限」（Permissions requested）畫面，列出應用程式代表使用者要求的完整權限清單：
往下捲動至頁面底部，會看到完整權限清單、資料使用聲明，以及「接受」（Accept）／「取消」（Cancel）按鈕：
兩個應用程式分別點選「接受」後，即完成租戶層級管理員同意；此時 Entra ID 才會正式建立對應的服務主體。回到 Microsoft Entra 系統管理中心（entra.microsoft.com）→ Entra ID → 企業應用程式 → 所有應用程式，在搜尋欄中查找「Claude」，即可看到應用程式新增完成：
日後若需重新確認或再次授予同意（例如 Claude 端新增權限後），不必再使用網址方式，可直接在此清單中操作：企業應用程式 → 所有應用程式 → 點選該應用程式名稱（例如「M365 MCP Client for Claude」）→ 左側選單 安全性 下的 權限，即可進入該應用程式的權限頁面：
頁面上方的藍色按鈕「代表 <組織名稱> 授與管理員同意」，就等同於方案 A 一開始使用的直接同意連結，日後只要點這顆按鈕即可重新執行一次租戶層級同意，不需再打網址。下方「系統管理員同意」／「使用者同意」兩個頁籤，可分別檢視、撤銷或還原已授予的權限。
啟用管理員同意工作流程
Entra admin center → Entra ID → 企業應用程式 → 安全性 → 同意和權限，左側子選單點選 管理員同意設定。將「使用者可要求系統管理員同意他們無法同意的應用程式」切換為「是」，並在「可以檢閱管理員同意要求的人員」下新增審核者（可為使用者、群組或角色）。
點選「儲存」後，畫面右上角會出現成功通知：
實測約數分鐘至最長 1 小時內生效。啟用後使用者會多看到「說明原因」欄位（對應 Q2 步驟 3）。
使用者送出申請後，我該怎麼審核？
🛡️ 管理者於系統管理員同意要求查看待審清單
審核者（本例為 pyadmin@pylabs.asia.edu.tw，被指定為 Q3 方案 B 設定的審核者）登入 Entra admin center → Entra ID → 企業應用程式 → 活動 →「系統管理員同意要求」，於「我的待決」頁籤即可看到剛剛使用者送出的申請：
點選該筆請求，右側會展開「詳細資料」面板，上方提供「檢查權限及同意」「封鎖」「拒絕」「檢閱應用程式」等操作按鈕；「應用程式詳細資料」頁籤列出應用程式名稱、回覆 URL、首頁 URL 等資訊：
切換到「要求者」頁籤，可核對申請人身分與其填寫的申請原因：
檢查權限並完成同意
核對申請人與應用程式資訊無誤後，點選上方「檢查權限及同意」，會另開瀏覽器彈出視窗要求登入／選取管理員帳戶：
選定帳戶後，即進入與方案 A 相同的「要求的權限」畫面，逐一列出應用程式要求的完整權限：
捲動至頁面底部，點選「接受」即完成核准；若認定應用程式不應存取，則於前一畫面點選「拒絕」或「封鎖」，使用者將收到對應結果通知信：
設定完成後使用者仍無法連接，怎麼辦？
雙方適用| 檢查項目 | 操作位置 | |
|---|---|---|
| 1 | 確認「使用者同意設定」內容是否與預期一致 | Enterprise apps → Consent and permissions |
| 2 | 確認兩個 App ID 是否皆已出現在 Enterprise applications | Enterprise apps → All applications |
| 3 | 檢查 Assignment required 是否為 Yes；該使用者是否已被指派 | 應用程式 → Properties／Users and groups |
| 4 | 比對登入請求的 scope 與已授予的 Permissions 是否一致 | 應用程式 → Security → Permissions |
| 5 | 查看活動記錄了解失敗原因（AADSTS90094／AADSTS65001 等） | Audit logs（Category：ApplicationManagement） |
| 6 | 確認登入網址未殘留 &prompt=consent 參數 | 瀏覽器網址列 |
這個連接器安全嗎？管理者該注意什麼？
🛡️ 管理者- 授權前逐項確認 Q1 的權限清單是否合理，評估全信箱／全站台存取的資料外洩風險。
- 建議先以 Assignment required = Yes + 試點群組小範圍測試，確認無虞後再擴大。
- 勿以「需符合規範裝置 或 多因素驗證」取代既有裝置合規性條件式存取原則 — 官方安全指南提醒此作法會削弱防護。
- 此連接器伺服端請求均來自 Anthropic 官方 IP 範圍；若組織設有地區／網段存取限制，需另行排除，否則所有使用者都會連接失敗。
- 日後 Claude 端新增「寫入工具」時權限集會更新，需重新執行一次租戶層級同意。