MCP ガバナンス：サーバー、アクセス、承認の実践ガイド
MCP ガバナンスを実践するためのガイドです。どのサーバーとツールを信頼するか、誰が使えるか、どの操作にレビューが必要かを決め、利用の拡大に合わせてテストを重ね、証跡を残していく方法を解説します。
決定の概要
MCP ガバナンスは、3 つの判断に集約されます。どのサーバーとツールを信頼するか、誰がどのデータでそれらを使えるか、エージェントのどの操作にレビューが必要か、です。それぞれに担当者、記録、元に戻す方法が必要です。まずインベントリと 1 つの接続から始め、許可されるリクエストと拒否されるリクエストをテストしたうえで、レビューと復旧を実際に試します。利用を広げるのは、許可の判定と実行結果の両方をチームが説明できるようになってからにしましょう。
MCP ガバナンスがカバーする内容
MCP ガバナンスとは、AI エージェントが業務で MCP サーバーをどのように使うかに関する判断と制御の総称です。その中心となるのは 3 つの判断です。どのサーバーとツールを信頼するか、誰がどのデータでそれらを使えるか、そしてエージェントのどの操作に、実行前の人によるレビューが必要かです。
それぞれの判断には、担当者、記録、元に戻す方法が必要です。各判断については詳しいガイドで解説しています。サーバーの承認とレビューについてはサーバーガバナンス、人とデータについてはアクセスガバナンス、個々の操作については承認ワークフローのガイドをご覧ください。このチェックリストでは、初めての導入に向けてそれらをまとめています。
| 判定 | 主な担当者 | 記録 | 元に戻す方法 |
|---|---|---|---|
| 信頼するサーバーとツール | プラットフォームチームまたは IT チーム | インベントリの項目とレビュー済みツールの一覧 | 接続を無効にし、その認証情報を失効させる |
| 誰が、どのデータで使えるか | 接続の担当者とセキュリティ担当 | チームへの割り当てとアクセスルール | メンバーシップを削除するか、ルールを絞り込む |
| レビューが必要な操作 | 事業部門の責任者とセキュリティ担当 | ポリシーのバージョンとレビューの判定 | より厳格なポリシーを公開する（承認は有効期限が来ると失効する） |
ガバナンスの範囲を定義する
MCP は、共通プロトコルを通じて機能を利用できるようにします。ガバナンスは、誰がそれらを使用できるか、どの変更をレビューする必要があるか、その後オペレータがどのような証拠を必要とするかを決定します。これらのコントロールは、クライアント、ゲートウェイ、サーバー、および上流プロバイダーにまたがることができます。
ゲートウェイはチームに共有コントロールを適用するための 1 つの場所を提供しますが、受信したリクエストに対してのみ適用されます。直接接続と代替認証情報もインベントリに追加します。ゲートウェイ テストが成功したことを、ユーザーまたはエージェントが同じデータにアクセスできるあらゆる方法を制御していると誤解しないでください。
インベントリへのアクセスと所有者の割り当て
1 つの具体的なユースケースから始めます。クライアント、申請者、接続、アップストリーム アカウント、環境、ツール、および関連するデータを記録します。アクセス権の付与、変更の確認、障害の解決を担当する人の名前を指定します。
- クライアントと要求者: 人物、自動化 ID、およびアクセスを取り消す方法を特定します。
- 接続先：利用するアカウント、認証情報の管理者、権限の範囲、環境を記録します。
- ツール: 読み取りと書き込みを区別し、機密データ、一括操作、および外部影響を識別します。
- 代替パス: 直接プロバイダーの認証情報とゲートウェイをバイパスする接続をリストします。
- 運用: レビュー担当者、インシデント所有者、および不確実な書き込みを調整するプロセスを割り当てます。
ポリシーとレビューツールを個別に設定する
Durin では、リクエストは ID、メンバーシップ、チーム、接続、認証情報、レビュー済みツール、リソース、および検査チェックに合格する必要があります。デフォルトの許可では、失敗したチェックは上書きされません。管理者は、すべてのツールへのアクセスを拒否し、個別にレビュー済みの書き込みを許可したり、別の管理者を要求したり、書き込みを拒否したりできます。
チームのポリシーで組織のポリシーをさらに絞り込むことができ、サンドボックスと本番環境には同じ制御が適用されます。カスタムルールでは、接続、ツール、リソース、環境、人、チームを対象にできます。ルールが一致した場合の優先順位は、拒否、承認の要求、許可の順です。データ分類を条件にすることはできないため、運用上のルールは、実際に利用できる条件に置き換えて設定してください。
未レビューのツールは、ツールのレビューが完了するまでブロックされたままになります。正確な書き込み承認は、そのレビューの代わりになったり、使用できない接続を準備したり、不足しているプロバイダー権限を付与したりすることはできません。
拡張する前に 1 つの接続をテストする
サポートされているサンドボックス フィクスチャを使用して、レビュー済みの接続を選択します。低感度の読み取りから開始し、要求者、決定、結果を検査します。許可された範囲外のリソースなど、拒否されたリクエストもテストします。
書き込み演習では、承認要件を構成し、別のアクティブな管理者を関与させます。最初のリクエストと承認自体ではアクションが実行されないことを確認します。有効期限が切れる前に正確な呼び出しを再試行し、実行結果を確認します。
テストの取り消し、引数の変更、許可の期限切れ、およびツール定義の変更。制御されたフィクスチャを使用して、あいまいな書き込み結果を実行し、それが自動的に繰り返されないことを確認します。同じチェックを使用してロールアウトを展開します。
明確な保持ポリシーで有用な証拠を保管します
要求者、接続、ツール、ポリシーの決定、必要な場合の承認、および実行結果を説明するのに十分なコンテキストを記録します。実行の許可と完了の確認は別の事実です。不確実な書き込みを接続先システムと調整する人を割り当てます。
意思決定記録には、すべてのプロンプトや応答を保存する必要はありません。 Durin では、デフォルトで会話キャプチャがメタデータのみに設定されます。管理者が編集されたキャプチャを有効にすると、新しいキャプチャは 7、90、または 180 日間、または Enterprise では 360 日間保持されます。古い 1 ～ 30 日の設定を持つワークスペースは、管理者がサポートされる期間を選択するまでその設定を保持します。これらの保存期間は、監査、アカウント、請求の保存とは別のものです。
信頼資料を使用して、管理範囲と裏付けとなる証拠を確認します。認証、独立した評価、および契約上の約束には、それぞれ独自の証拠が必要です。動作するデモではそれらが確立されません。
展開レビューのたびにこれらの質問を使用してください
クライアント、接続、認証情報、ツール、またはポリシーが変更された場合は、チェックリストを再確認してください。ガバナンスは運用プロセスであると同時にゲートウェイ構成でもあります。
- 有効な接続ごとに、申請者と管理担当者を把握できていますか？
- 目的のリソースへのアクセスの許可と拒否の両方をテストしましたか?
- ツールのレビューとアクションごとの承認は別個の決定として扱われますか?
- 設定された書き込みポリシーはチームの要件と一致していますか?
- 有効期限、正確な再試行、取り消し、および不確実な結果の処理を実証できますか?
- どのアクセス パスがゲートウェイをバイパスするか知っていますか?
- 監査記録の閲覧権限、保存期間、インシデント対応の責任者は文書化されていますか？