CIPP MCP - Microsoft 365, Entra ID, Intune, Exchange, Defender, GDAP

CIPP + AI：Microsoft 365、Entra ID、Intune、Exchange、Defender、GDAP 向け MCP サーバー - ChatGPT、Claude、GitHub Copilot、Microsoft 365 Copilot、Gemini など、MCP に対応するあらゆるエージェント向け

非公式です。CIPP API 向けにコミュニティが開発した Claude Code Skill および MCP サーバーです。CyberDrain とは提携関係になく、同社の推奨や後援を受けていません。

_{▶ 30 秒のデモを見る - デモデータはシミュレーションです。表示されているコマンドはすべて、実際の CLI に存在します。}

CIPP 向けの MCP サーバーと CLI です。Microsoft 365、Entra ID、Intune、Exchange Online、Defender、GDAP をすべてのクライアントテナントで扱えます。オフラインストア、フリートのセキュリティ態勢分析、テナント横断の一括処理にも対応しています。すでにお使いの AI、ChatGPT（Plus/Pro+）、Claude Desktop、Codex、Claude Code、Claude Cowork、GitHub Copilot に加えて、リモート接続経由で Microsoft 365 Copilot / Copilot Studio と Google Gemini でも動作します。無料のオープンソースで、ノートパソコン上で実行できます。MSP のオーナー向けに構築されています。コーディングは不要です。

エージェントで使用する

MSP のオーナーが実際に使っている 6 つのエージェントに対応しています（セルフサービスで、今すぐ利用可能です）。

AI エージェント	CIPP スキルのインストール方法
Claude Desktop	インストーラーを実行し、Settings > Extensions から cipp-mcp を登録します（JSON の編集は不要です）。
ChatGPT（有料プラン）	インストーラーを実行し、cipp-mcp を HTTPS 経由で公開して、Developer Mode コネクターとして登録します。
Codex CLI	以下のインストール用プロンプトを貼り付けます。
Claude Code	以下のインストール用プロンプトを貼り付けます。
Claude Cowork	以下のインストール用プロンプトを貼り付けます。
GitHub Copilot（VS Code）	インストーラーを実行し、mcp.json の servers キーの下に cipp-mcp を追加してから、Agent モードを選択します。

ChatGPT では、cipp-mcp --transport http を実行して HTTPS の背後で公開してください。ブリッジパッケージは不要です。mcp-install.md を参照してください。

Microsoft および Google の環境でも使用可能

多くの環境にインストールされていますが、率直にお伝えすると、こちらはインストールしたローカルバイナリではなく、リモート／エンタープライズ向けの方法です。

エージェント	必要なもの
Microsoft 365 Copilot / Copilot Studio	セルフサービスではありません。 cipp-mcp を HTTPS 経由でホストし、Copilot Studio（Tools > Add a tool > Model Context Protocol > Server URL）または宣言型エージェントに接続します。Copilot Studio ライセンスとテナント管理者の権限が必要です。mcp-install.md を参照してください。
Google Gemini	Gemini CLI はローカルで動作し、Claude Code と同様です。Gemini アプリはリモートで動作し、ChatGPT と同じ HTTPS 経由の方法になります。mcp-install.md を参照してください。

スキル対応エージェント（こちらも対象です）： Hermes と OpenClaw は、このスキルの SKILL.md を直接読み込み、MCP にも対応しています。詳しくは以下のインストールセクションを参照してください。MCP 経由で Cursor、Windsurf、Cline、Continue.dev、Zed でも動作します。ツールごとの接続方法は、docs/which-agent.md を参照してください。

複数のエージェントを使いますか？ 1 つのコマンドで、対応する 51 以上のエージェントすべてにインストールできます：npx skills add Servosity/msp-skills@latest（Node.js が必要です。続いて、CLI／MCP バイナリ用のスキルごとのインストーラーを実行してください）。docs/which-agent.md を参照してください。

60 秒でインストール

Claude Desktop で最速の方法 — ワンクリック .mcpb

Claude Desktop バンドル： .mcpb は macOS（Intel と Apple Silicon）、Windows x64、Linux x64 で起動します。すべてのツールは、同梱の cipp-cli を呼び出します。2026-09-18 以降にリリースされたバージョンには、その CLI がバンドル内に含まれています。それより古いバンドルには MCP サーバーのみが含まれているため、同梱 CLI がない場合は、まず以下のパス A またはパス B のインストーラーを実行するか、既存のバイナリを CIPP_CLI_PATH に設定してください。詳細： #331。

CIPP MCP をダウンロード（.mcpb） — 次に Claude Desktop > Settings > Extensions を開き、ファイルを選択します。ワンクリックで完了し、JSON もシェルも不要です。（すべての CIPP リリースはリリースページをご覧ください。）

Claude Code プラグインをお使いですか？マーケットプレイスを一度追加してからインストールしてください。すぐに使え、ディレクトリ一覧の取得も不要です。

/plugin marketplace add Servosity/msp-skills
/plugin install cipp@msp-skills

パス A — AI エージェントにプロンプトを 1 つ貼り付ける（推奨）

以下を Claude Code、Codex CLI、または Claude Cowork にコピーします。

このエージェントのワークスペースに、Servosity/msp-skills から CIPP Skill と MCP サーバーをインストールしてください。このワークスペースが POSIX シェル（macOS、Linux、WSL、Bash）を使う場合は、bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.sh) を実行してください。Windows PowerShell を使う場合は、iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.ps1 | iex を実行してください。その後、README に従って認証し、cipp-cli --help を実行して機能を確認してください。

このプロンプトは、シェルを実行できる任意のエージェントで使えます。

パス B — インストーラーを自分で実行する

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.ps1 | iex

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.sh)

インストーラーは、cipp-cli（CLI）と cipp-mcp（MCP サーバー）の両方をユーザーの bin パスに配置します。Claude Code、Codex、Cowork は、このディレクトリ内の SKILL.md を介して Skill を検出します。

確認：

cipp-cli --version

最新バージョンにアップグレードする

インストーラーは常に最新リリースを取得します。アップグレードするには、もう一度実行してください。

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.sh)

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cipp/install.ps1 | iex

Claude Desktop の .mcpb ユーザー：最新の .mcpb（このセクションの冒頭）をダウンロードし、Settings > Extensions で再度選択してください。Claude Code プラグインのユーザー：/plugin update cipp@msp-skills。

Claude Desktop、GitHub Copilot、Gemini CLI、Microsoft 365 Copilot、またはその他の MCP クライアントに追加する

インストーラーを実行した後、エージェントごとの接続方法について、mcp-install.md と docs/which-agent.md をご覧ください。各エージェントのセクションには、GitHub Copilot の servers キーや、リモートの Microsoft 365 Copilot / Copilot Studio の手順も含まれています。Claude Desktop では Settings > Extensions パネルが最も簡単です。JSON の編集を希望するユーザー向けの MCP 設定ブロックは mcp-install.md に記載されています。

Hermes にインストールする

Hermes CLI から：

hermes skills install servosity/msp-skills/skills/cipp --force

Hermes のチャットセッション内で：

/skills install servosity/msp-skills/skills/cipp --force

Hermes はネイティブに MCP に対応しているため、cipp-mcp サーバーを直接使うこともできます。インストール方法と環境変数は同じです。

OpenClaw にインストールする

OpenClaw エージェントに以下を伝えてください（コピーして使用できます）。

https://github.com/servosity/msp-skills/tree/main/skills/cipp から cipp スキルをインストールしてください。このスキルには、必要な CLI（cipp-cli）を openclaw: フロントマターブロック経由でインストールする方法が定義されています。

OpenClaw はまだ一般公開されていません。フロントマターの設定は事前に組み込まれており、OpenClaw の公開と同時に有効になります。

認証する

CIPP ポータルから取得した、CLI に必要な認証情報を設定します。

CIPP_API_KEY=<value> cipp-cli doctor

doctor は、データに触れる処理を実行する前に認証情報が機能することを確認します。認証情報が拒否された場合でも終了コード 0 を返すため、スクリプトでは --fail-on error を追加してください。

このスキルでできること

MSP からよく聞かれる質問	コマンド
MFA をまだ登録していないユーザーがいるテナントはどれですか？	cipp-cli posture --dimension mfa
すべてのテナントで、条件付きアクセスの適用範囲はどのように異なりますか？	cipp-cli posture --dimension ca
誰も使っていない M365 ライセンスに料金を払っているのはどこですか？	cipp-cli licenses waste
すべてのクライアントを通して、90 日間サインインしていないライセンス割り当て済みアカウントはどれですか？	cipp-cli users stale --days 90
前回の確認以降、セキュリティベースラインから逸脱したテナントはどれですか？	cipp-cli standards drift
すべてのクライアントのテナントを対象に一度に読み取りを実行し、ローカルに保存するには？	cipp-cli fanout --endpoint /ListUsers --all-tenants --save
429 のバックオフと再開に対応して、CSV から退職者を一括処理するには？	cipp-cli bulk --from offboards.csv --execute
CIPP の認証情報と接続は正常ですか？	cipp-cli doctor

すべてのコマンドについては、guide.md を参照してください。AI エージェントの運用ルール（--agent、--dry-run、変更を加える前に確認するタイミング）については、AGENTS.md を参照してください。

他との違い

ほとんどの CIPP 連携機能や MCP サーバーは、質問のたびにリアルタイムで単一テナントの API を呼び出します。1 件のレコードなら問題ありません。しかし、QBR の時期に「40 のクライアント全体で、MFA が未設定のユーザーは何人いるか」といった質問をすると行き詰まります。テナントごとに個別の呼び出しが必要になり、Microsoft Graph はフリート規模のアクセスをスロットリングするためです。

このスキルは、すべてのテナントに対する読み取りを並行して実行し、ローカルの SQLite ストアに保存します。これにより、フリート全体に関する質問に対して、ローカルで即座に集計できます。posture はテナントごとに MFA、条件付きアクセス、Standards、BPA を結合し、licenses waste は同期済みライセンスとユーザーを結合して未使用のライセンスを明らかにします。また、standards drift は時間を隔てた 2 つの同期済みスナップショットを比較します。オフラインで動作し、429 の後に再開できるため、ステートレスな API ラッパーにはできない処理が可能です。

解決する課題

CIPP のほぼすべてのエンドポイントは単一の tenantFilter で対象が限定されるため、ポータルではクライアントのテナントを 1 つずつ操作する必要があります。MSP のオーナーが QBR の時期に実際に尋ねる、フリート全体に関する質問――すべてのクライアントで MFA が未設定のユーザーは何人いるか、ベースラインから逸脱したテナントはどれか、未使用のライセンスはどこにあるか――に答える画面はありません。公式の CIPP API ドキュメントによると、API は Azure AD アプリ登録を使用した OAuth2 クライアント認証情報で認証し、Microsoft Graph を経由して実行されます。Microsoft Graph は大規模なアクセスをスロットリングするため、数十のテナントにまたがる一括変更では HTTP 429 / Retry-After が発生し、バッチが中断すると最初からやり直す必要があります。CIPP は 2026 年 6 月に独自の MCP サーバーを追加しましたが、設計上読み取り専用です。CIPP が書き込みと分類するすべてのエンドポイントが除外されているため、それを使うエージェントはユーザーのオフボーディング、MFA のリセット、ライセンスの変更、メールボックスの変換を実行できません。このコネクターは、これらのエンドポイントもラップしており、テナントごとに呼び出せます。それぞれの操作は --dry-run で事前に確認できます。

このスキルは、次の方法でその課題を解決します。

• cipp-cli fanout --endpoint /ListUsers --all-tenants --save - スロットリングを考慮したバックオフと、中断後の再開に対応して、すべてのテナントを対象に一度に読み取りを実行し、ローカルストアに保存します。
• cipp-cli posture --dimension mfa（ca、standards、bpa も指定できます）- UI では表示できない、テナント横断のセキュリティ態勢マトリックスを表示します。
• cipp-cli licenses waste - すべてのテナントを対象に、割り当て済みながら未使用のライセンスを表示します。
• cipp-cli users stale --days 90 - フリート全体から、最近サインインしていないライセンス割り当て済みアカウントを表示します。
• cipp-cli bulk --from offboards.csv --execute - 429 のバックオフと、429 の後に再開するためのチェックポイントに対応して、CSV からユーザーの追加、オフボーディング、ユーザーの削除、転送設定を実行します。

詳しい説明については、pain-point.md を参照してください。

よくある質問

ChatGPT で使えますか？

はい、Plus、Pro、Team、Business、Enterprise、Education の各プランで利用できます（Free プランでは、まだ Developer Mode が利用できません）。ChatGPT は、ローカルの stdio バイナリではなく、HTTPS 経由でリモート MCP サーバーに接続します。CIPP MCP サーバーはローカルで動作しますが、HTTP にネイティブ対応しています。cipp-mcp --transport http --addr :7777 で起動し、HTTPS トンネルまたは独自のリバースプロキシの背後に配置してください。ブリッジパッケージは不要です。手順は mcp-install.md をご覧ください。

Codex、Cursor、Windsurf、Cline、Copilot、Gemini でも使えますか？

はい。どれも MCP に対応しています。各ツールのインストールコマンドは上の一覧に、詳しい説明は docs/which-agent.md に記載されています。

コーディングの知識は必要ですか？

いいえ。推奨されるインストール方法は、Claude Code または Codex に一文を貼り付けることです。エージェントが SKILL.md を読み込んでインストールします。代替方法として、OS ごとの 1 行インストーラー（bash または PowerShell）もあります。どちらの方法でも、コードを書く必要はありません。CIPP の認証情報を一度入力するだけです。

CIPP のデータは安全ですか？

データはお使いのマシンから外に出ません。CLI と MCP サーバーはローカルのバイナリです。SQLite ミラーは、ユーザーアカウント配下のディレクトリに保存されます。AI エージェントが参照するのは CLI が返す内容のみで、通常はクエリ結果であり、生の一括データではありません。認証情報は環境変数またはエージェントの設定から読み込まれます。このリポジトリに含まれたり、MSP Skills によってどこかへ送信されたりすることはありません。

これを使うには、自分の CIPP インスタンスが必要ですか？

はい。ご自身のセルフホスト可能な CIPP インスタンスの API を利用します。CIPP で API クライアントを作成すると、クライアント ID、シークレット、テナント ID、トークン URL が発行されます。CLI は cipp-cli auth login を使って OAuth2 クライアント認証情報で認証するか、cipp-cli auth set-token を使ってベアラートークンを保存します。すべての読み取りと操作はお使いの CIPP を通じて行われ、CIPP に置き換わるものではありません。

Microsoft Graph または CIPP のレート制限に達しますか？

複数テナントのロールアップ（posture、licenses waste、users stale、standards drift）は、1 回の fan-out の後はローカルストアを読み取るため、同じ質問を繰り返しても API 呼び出しは発生しません。fanout は --concurrency でスロットリングし、クライアントは Retry-After に従って 429 を再試行します。bulk は --resume を使って完了した行をチェックポイントに保存するため、スロットリングされたバッチは最初からやり直さずに続行できます。

テナントを変更できますか、それとも読み取り専用ですか？

どちらも可能です。CIPP はフル機能の管理 API であるため、CLI からユーザーの作成、オフボーディング、転送設定などを行えます。ただし、フリートのロールアップは読み取り専用です。また、bulk はデフォルトで実行計画を表示し、--execute を指定した場合にのみ書き込みを行います。レポートのみに利用する場合は、CIPP で API クライアントの権限を読み取り専用に設定してください。認証情報が権限の境界になります。

CIPP ポータルの代わりになりますか？

いいえ。個々のテナントに対する詳細な作業には、引き続き CIPP ポータルを使用します。このスキルは、複数テナントを横断するレポート機能を追加し、AI エージェントが自然言語で CIPP を操作できるようにします。

費用はいくらですか？

無料です。Apache-2.0 ライセンスで提供されています。費用が発生するのは、利用する AI エージェント（Claude、ChatGPT、Codex など）のみで、その請求は当方ではなく AI プロバイダーから行われます。

安全モデル

ティア	例	推奨されるエージェントポリシー
読み取り（集計と一覧）	cipp-cli posture --dimension mfa、cipp-cli licenses waste、cipp-cli users stale --days 90、cipp-cli standards drift、cipp-cli fanout --endpoint /ListUsers --all-tenants、cipp-cli list-tenants、cipp-cli doctor	許可
書き込み（通常）	cipp-cli add-user、cipp-cli edit-user、cipp-cli bulk --from changes.csv --execute（デフォルトでは計画を作成し、--execute を指定した場合のみ書き込みます）	--dry-run でプレビューしてから、レビュー済みの書き込みを実行
認証情報／セキュリティ	cipp-cli exec-reset-mfa、cipp-cli exec-per-user-mfa、cipp-cli exec-get-local-admin-password、cipp-cli exec-token-exchange	必ず人間が介在
破壊的操作	cipp-cli exec-offboard-user、cipp-cli remove-user、cipp-cli exec-device-delete、cipp-cli delete-sharepoint-site	必ず人間が介在し、明示的な確認を実施

最も強力な制御策は、CIPP の認証情報に付与するスコープです。CLI で実行できるのは、その認証情報に許可された操作のみです。制限方法を含む詳細は、governance.md をご覧ください。

ステータス

ベータ版です。CIPP API の範囲に照らして検証済みで、週次の Build Sessions では、本番環境のテナントで実際に運用する MSP による検証を進めています。参加登録は compoundingteams.com/build-sessions から行えます。

---

標準。 オープンな Agent Skills spec（Anthropic、2025年12月、40以上のエージェント）に準拠しています。MCP と互換性があり、Hermes を含む MCP 対応エージェントで動作します。OpenClaw に対応済みです（フロントマターの設定は完了しており、OpenClaw のリリース待ちです）。

Servosity がメンテナンスしています。Apache-2.0 ライセンスです。CLI Printing Press で構築されています。最終更新日：2026-06-05。