Microsoft 365 Mail

@mindstone/mcp-server-microsoft-mail

Microsoft 365 Outlook Mail MCP サーバーです。Microsoft Graph API を介して、メールの一覧表示、検索、閲覧、送信、返信、転送、下書き作成、移動、削除、添付ファイルのダウンロード、スレッドの閲覧、トリアージ（既読／フラグ設定）、不在時の自動返信の管理を行います。

コホート形式の Microsoft 365 メール MCP です。OAuth フローはホストが管理し、このサーバーはアカウントごとのトークンをディスクから読み込みます。各ツールは構造化された auth_required エンベロープを返して安全側に失敗するため、ホストが再認証を実行できます。

ステータス

• バージョン： 0.3.0 · npm
• 認証： OAuth（ホストによるオーケストレーション）(MS_CLIENT_ID)
• ツール： 22（メッセージ、フォルダー、下書き、添付ファイル、スレッド、設定）
• 対象： クラウド API
• 機械可読： STATUS.json
• 共有ライブラリ： @mindstone/mcp-server-microsoft-shared

開発の背景

2026 年 5 月に本コネクターを移植した時点では、Microsoft 独自の Graph MCP ラインアップには、単独で動作する Outlook Mail サーバーはまだありませんでした。当時のコミュニティ製の選択肢はいずれも、OAuth 中に独自のブラウザーコールバックサーバーを起動していましたが、ホストアプリケーションはすでに同じコホート内の他のコネクター用に認証情報を取得する OAuth フローを実行しています。そのため、MindstoneRebel に同梱されていたコネクターを 1:1 で移植し、同じ 5 つの Microsoft 365 コネクター（メール、カレンダー、ファイル、Teams、SharePoint）で、単一の OAuth インターフェースと、トークンの永続化、リクエストのタイムアウト、ホストがすでに復旧方法を認識している構造化された auth_required エンベロープを提供する単一の共有ライブラリパッケージを共有できるようにしました。このコネクターはコホートの認証ツール（authenticate_microsoft_account）を担当し、他の 4 つのコネクターはこのツールが取得した認証情報を再利用します。

やり取りの例

「Alice から届いた最新の未読メールを 5 件表示し、最も新しいメールに『ありがとう、今夜読みます』と返信してください。」

ホストが呼び出すツール：

1. search_emails — from:[email protected] isRead:false、上位 5 件。
2. reply_to_email — 検索結果の最上位にあるメッセージ ID に、指定された本文で返信を送信します。

応答（一部抜粋）：

{
  "matches": [
    {
      "id": "AAMkAD...",
      "subject": "Q3 planning",
      "from": "[email protected]",
      "receivedDateTime": "2026-05-19T09:14:11Z"
    }
  ],
  "reply": {
    "id": "AAMkAD...",
    "isDraft": false
  }
}

要件

• Node.js 20+
• npm
• Microsoft OAuth フローを実行し、アカウントごとのトークンファイルを ${MS_CONFIG_DIR}/credentials/${sanitised-email}.token.json に、${MS_CONFIG_DIR}/accounts.json インデックスを ${MS_CONFIG_DIR} に書き込むホストアプリケーション。このサーバーはこれらのファイルを読み込みますが、OAuth 自体は開始しません。

ワンクリックインストール

ボタンをクリックすると、ホストで次の値を入力するよう求められます：MS_CLIENT_ID、MS_CONFIG_DIR、MS_MCP_PACKAGE_ID、MICROSOFT_REQUEST_TIMEOUT_MS。

{
  "mcpServers": {
    "Microsoft 365 Mail": {
      "command": "npx",
      "args": [
        "-y",
        "@mindstone/mcp-server-microsoft-mail"
      ],
      "env": {
        "MS_CLIENT_ID": "",
        "MS_CONFIG_DIR": "",
        "MS_MCP_PACKAGE_ID": "Microsoft365Mail",
        "MICROSOFT_REQUEST_TIMEOUT_MS": "60000"
      }
    }
  }
}

クイックスタート

インストールとビルド

cd <path-to-repo>/connectors/microsoft-mail
npm install
npm run build

npx（公開後）

npx -y @mindstone/mcp-server-microsoft-mail

ローカル

node dist/index.js

設定

このサーバーは、Microsoft 365 の OAuth フローを管理するホストアプリケーションと連携して動作します。ホストが認証情報をディスクに書き込み、このサーバーがそれを読み込みます。

必須の環境変数

任意の環境変数

ホスト設定の例

Claude Desktop / Cursor

{
  "mcpServers": {
    "Microsoft365Mail": {
      "command": "npx",
      "args": ["-y", "@mindstone/mcp-server-microsoft-mail"],
      "env": {
        "MS_CLIENT_ID": "your-entra-application-client-id",
        "MS_CONFIG_DIR": "/absolute/path/to/microsoft-config"
      }
    }
  }
}

ホストが ${MS_CONFIG_DIR}/credentials/<account>.token.json と ${MS_CONFIG_DIR}/accounts.json を書き込むまで、すべてのツール呼び出しは構造化された auth_required レスポンスを返します（ホストの MCP サービスはこの形式を認識し、登録済みの Microsoft 365 OAuth オーケストレーターに処理を振り分けます）。

ローカル開発（npm への公開は不要）

{
  "mcpServers": {
    "Microsoft365Mail": {
      "command": "node",
      "args": ["<path-to-repo>/connectors/microsoft-mail/dist/index.js"],
      "env": {
        "MS_CLIENT_ID": "your-entra-application-client-id",
        "MS_CONFIG_DIR": "/absolute/path/to/microsoft-config"
      }
    }
  }
}

ツール（22）

Graph のアクセス許可

メールツールは、委任された Mail.ReadWrite と Mail.Send の権限で動作します。不在時の自動応答ツールには、さらに MailboxSettings.Read／MailboxSettings.ReadWrite が必要です。多くの組織では管理者によるこの権限の承認が必要です。また、接続されたアカウントにこの権限がない場合、ツールは Graph の生の 403 エラーではなく、ガイダンス用のエンベロープを返します。

並び順と検証に関する注記

• フィルターを適用した一覧表示の並べ替えはページ内に限られます。 Microsoft Graph は $filter と $orderby の併用を拒否するため、list_emails に filter を指定した場合（および get_conversation の場合は常に）、コネクターは返されたページ内のみでクライアント側の並べ替えを行います。Graph は先に $top を適用するため、結果はメールボックス全体を対象に並べ替えたものではなく、Graph が返したページ内の表示順を並べ替えたものになります。フィルターなしの list_emails は引き続きサーバー側で並べ替えられます。
• 宛先は検証されます。 to／cc／bcc の各項目はメールアドレスである必要があります（前後の空白を除去した後で最大 254 文字、各フィールド最大 500 件）。無効な項目は Graph の呼び出し前に拒否されます。
• スケジュール設定された不在時の自動応答期間には ISO 8601 形式の日時が必要です。明示されたオフセットは UTC に変換されます（タイムゾーンのない値は UTC として扱われます）。また、開始日時は終了日時より前でなければなりません。

セキュリティに関する注意事項

• トークンファイルはホストによってモード 0600 で書き込まれます。このサーバーはコホート共有ライブラリを介してファイルを読み取り、形式が不正なファイルはフェイルクローズします。
• クラウド環境では、デスクトップセッションのみがリフレッシュトークンの管理元となり、使い捨てのリフレッシュトークンをめぐる競合を避けられるよう、MICROSOFT_DISABLE_REFRESH=1 がデフォルトです。
• ツールが成功した場合のレスポンスでは、バンドル版の successResult の形式に合わせて、OSS版のみの ok:true ラッパーを取り除きます。手動検証エラーやビジネスエラーは、ホストの復旧レイヤーが対処できるよう、{ ok:false, error, action_required, next_step } ペイロードとともに isError:true を返します。
• ツールごとの Graph 呼び出しは、.options({signal}) と多層防御のための Promise.race ラッパーを使い、呼び出し元とコホートのタイムアウトシグナルを合成したもののもとで実行されます。
• download_attachment は MCP_WORKSPACE_PATH 内（未設定の場合は OS の一時ディレクトリ内）にのみ書き込みます。単純なファイル名以外は拒否し、ダウンロードサイズは 25 MB までに制限します。添付ファイルのバイトデータは上限を厳守しながら $value エンドポイントからストリーミングされ（上限を超えて全体がメモリ上に展開されることはありません）、同じ理由からメタデータも 1 MB の上限を設けてストリーミングされます。また、書き込み前にワークスペースのルートを正規化し（シンボリックリンクを解決し）ます。各ダウンロードは、正規化されたワークスペースルート直下にアトミックに作成された新しい非公開ステージングディレクトリ（fs.mkdtemp、モード 0700）に保存され、引き継がれるのは添付ファイル名だけです。報告される savedTo は、このステージングディレクトリ内を指します。ディレクトリ名はコネクターが生成するため、検証から書き込みシステムコールまでの間に事前配置、名前変更、シンボリックリンクの差し替えが可能な、検証済みのユーザー表示パス名は存在しません。そのため、ファイル記述子相対 API を使わずに、すべてのプラットフォームで親ディレクトリの確認と使用の間に生じる競合を構造上排除しています。ファイル自体も排他的オープン（O_CREAT|O_EXCL、モード 0600）で作成されるため、上書きは不可能で、同名の既存ファイルやシンボリックリンクに触れることもありません。書き込みに失敗した場合はステージングディレクトリ全体が削除され、残存物はありません。攻撃者が制御する添付ファイルのフィールド（名前、種類、コンテンツタイプ）は、エラーパスを含め、テキストとして表示されるすべての場所で信頼できないコンテンツのエンベロープに包まれます。ホストがファイルを開くために必要なので、savedTo には実際のファイルパスを報告する必要がありますが、ユーザー向けの message にはコネクターが生成したステージングディレクトリ名だけを記載するため、攻撃者が指定したファイル名が信頼できる文章としてそのまま表示されることはありません。
• 認証以外の失敗に対するエラーガイダンスでは、再認証を決して推奨しません。Graph の 403 権限拒否には、同じアカウントで再認証しても解決しないことを説明するコネクター独自のガイダンスで応答し、上流の Graph エラーテキストはモデルに渡す前に信頼できないコンテンツのエンベロープに包まれます。

ライセンス

FSL-1.1-MIT — Functional Source License, Version 1.1。MIT の将来ライセンスが付与されています。競合しない用途であれば無料で使用できます。LICENSE に記載されたコンバーター日付に MIT ライセンスへ変更されます。