Google Workspace MCP

Google Workspace + AI - ChatGPT、Claude、GitHub Copilot、Microsoft 365 Copilot、Gemini、および MCP に対応するあらゆるエージェント向け

非公式です。Google Workspace API 向けにコミュニティが開発した Claude Code スキルおよび MCP サーバーです。Google LLC との提携、承認、支援を受けていません。

_{▶ 30 秒のデモを見る - デモデータはシミュレーションですが、表示されているコマンドはすべて実際の CLI で使えます。}

クライアントを問わず Google Workspace を管理できます。2SV の不足、ライセンスの無駄、共有設定のずれ、安全なオフボーディングに対応します。すでにお使いの AI（Claude Desktop、Codex、Claude Code、Claude Cowork、GitHub Copilot）でコード不要です。さらに、リモート経由で ChatGPT、Microsoft 365 Copilot / Copilot Studio、Google Gemini にも対応します（このコネクターの再公開まで一時停止中です。mcp-install.md をご覧ください）。無料のオープンソースで、ノート PC 上で動作します。MSP オーナー向けに開発されています。

お使いのエージェントに対応

セキュリティに関する注意（このコネクターの再公開まで）。 HTTP モード （--transport http）は、ローカルホスト上であっても実行しないでください。このビルドはトークンを確認しますが、 修正版リリースのリクエストサイズと時間の制限が適用される前のものです。MCP ツールは、 お客様の認証情報を使って変更を行うこともできます。デフォルトの stdio トランスポートを使用してください。 リモートエージェント用にトンネルを設定した場合は、停止してください。修正版は近日公開予定です。

MSP オーナーがよく使うエージェント（セルフサービスですぐに使えます）：

お使いの AI エージェント	Google Workspace スキルのインストール方法
Claude Desktop	インストーラーを実行し、Settings > Extensions から google-workspace-mcp を登録します（JSON の編集は不要です）。
Codex CLI	以下のインストールプロンプトを貼り付けます。
Claude Code	以下のインストールプロンプトを貼り付けます。
Claude Cowork	以下のインストールプロンプトを貼り付けます。
GitHub Copilot（VS Code）	インストーラーを実行し、mcp.json の servers キーの下に google-workspace-mcp を追加してから、Agent モードを選択します。

ChatGPT、Microsoft と Google の各スタックにも対応

導入先は多いものの、正直にお伝えします。これらは、インストールしたローカルバイナリではなく、リモート／エンタープライズ向けの方法です。

エージェント	必要なもの
ChatGPT（有料プラン）	このコネクターの再公開まで一時停止中です。ChatGPT には HTTP モードが必要ですが、このビルドではトークンを確認する一方、リクエストサイズと時間の制限がまだありません。mcp-install.md のセキュリティに関する注意をご覧ください。
Microsoft 365 Copilot / Copilot Studio	このコネクターの再公開まで一時停止中です。Copilot Studio には HTTP モードが必要ですが、このビルドではトークンを確認する一方、リクエストサイズと時間の制限がまだありません。mcp-install.md のセキュリティに関する注意をご覧ください。
Google Gemini	Gemini CLI はローカルで動作し、Claude Code と同じです。Gemini アプリはリモートで動作するため、ChatGPT と同様に一時停止中の HTTP モードが必要です。mcp-install.md をご覧ください。

スキルネイティブのエージェント（こちらにも対応）： Hermes と OpenClaw は、このスキルの SKILL.md を直接読み込み、MCP にも対応しています。以下のインストールセクションをご覧ください。MCP 経由で Cursor、Windsurf、Cline、Continue.dev、Zed にも対応します。ツールごとの詳しい接続方法は docs/which-agent.md をご覧ください。

複数のエージェントを使っていますか？ 1 つのコマンドで、対応する 51 以上のエージェントすべてにインストールできます：npx skills add Servosity/msp-skills@latest（Node.js が必要です。続けて、CLI／MCP バイナリ用のスキルごとのインストーラーを実行してください）。docs/which-agent.md をご覧ください。

60 秒でインストール

Claude Desktop で最速の方法 - ワンクリックで .mcpb

Google Workspace MCP（.mcpb）をダウンロード — 次に Claude Desktop > Settings > Extensions を開き、ファイルを選択します。ワンクリックで完了し、JSON もシェルも不要です。クライアントテナントは CLI で登録するため（tenants add は CLI 専用です）、CLI もインストールしてください（下記のパス B）。Google Workspace のすべてのリリースはリリースページで確認できます。

Claude Code プラグインをお使いですか？マーケットプレイスを一度追加してからインストールすると、すぐに使えます。ディレクトリ一覧は不要です。

/plugin marketplace add Servosity/msp-skills
/plugin install google-workspace@msp-skills

パス A - AI エージェントにプロンプトを 1 つ貼り付ける（推奨）

これを Claude Code、Codex CLI、または Claude Cowork にコピーしてください。

このエージェントのワークスペースに Servosity/msp-skills の Google Workspace Skill と MCP サーバーをインストールしてください。このワークスペースが POSIX シェル（macOS、Linux、WSL、または Bash）を使用している場合は、bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.sh) を実行してください。Windows PowerShell を使用している場合は、iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.ps1 | iex を実行してください。次に README に従って認証し、google-workspace-cli --help を実行して確認してください。

このプロンプトは、シェルを実行できるあらゆるエージェントで使えます。

パス B - インストーラーを自分で実行する

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.ps1 | iex

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.sh)

インストーラーは、google-workspace-cli（CLI）と google-workspace-mcp（MCP サーバー）の両方をユーザーの bin パスに配置します。Claude Code、Codex、Cowork は、このディレクトリ内の SKILL.md を通じて Skill を検出します。

確認：

google-workspace-cli --version

最新バージョンにアップグレードする

インストーラーは常に最新リリースを取得します。アップグレードするには、再度実行してください。

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.sh)

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/google-workspace/install.ps1 | iex

Claude Desktop の .mcpb をお使いの場合：最新の .mcpb（このセクションの冒頭）をダウンロードし、Settings > Extensions で再度選択してください。Claude Code プラグインをお使いの場合：/plugin update google-workspace@msp-skills。

Claude Desktop、GitHub Copilot、Gemini CLI、Microsoft 365 Copilot、またはその他の MCP クライアントに追加する

インストーラーの実行後、エージェントごとの接続方法（GitHub Copilot の servers キーや、リモート版 Microsoft 365 Copilot / Copilot Studio の手順を含む）については、mcp-install.md と docs/which-agent.md を参照してください。Claude Desktop の Settings > Extensions パネルが最も簡単な方法です。MCP 設定ブロック（JSON の編集を希望する方向け）は mcp-install.md に記載されています。

Hermes にインストールする

Hermes CLI から：

hermes skills install servosity/msp-skills/skills/google-workspace --force

Hermes のチャットセッション内で：

/skills install servosity/msp-skills/skills/google-workspace --force

Hermes はネイティブで MCP に対応しているため、google-workspace-mcp サーバーを直接使用することもできます。インストール方法と環境変数は同じです。

OpenClaw にインストールする

OpenClaw エージェントに次の内容を伝えてください（コピーしてください）。

https://github.com/servosity/msp-skills/tree/main/skills/google-workspace から google-workspace スキルをインストールしてください。このスキルには、必須 CLI（google-workspace-cli）を openclaw: frontmatter ブロック経由でインストールする方法が定義されています。

OpenClaw はまだ一般公開されていません。frontmatter の設定はあらかじめ含まれており、OpenClaw の公開と同時に有効になります。

認証

各クライアントはテナントです。テナントは、クライアントのスーパー管理者になりすますドメイン全体の委任が設定された Google Cloud サービスアカウントです。クライアントごとに 1 つ設定します。

1. Google Cloud プロジェクトでAdmin SDK APIとEnterprise License Manager API（policy プロファイルを使用する場合はCloud Identity APIも、販売パートナーのドメインではGoogle Workspace Reseller APIも）を有効にし、サービスアカウントを作成して、その JSON キーをダウンロードします。（2024 年 5 月以降に作成された Google Cloud 組織では、デフォルトでキーの作成がブロックされます。組織の管理者がそのプロジェクトでキーの作成を許可する必要があります。）

2. クライアントを登録します。キーは CLI の設定ディレクトリに所有者のみがアクセスできる権限でコピーされます（macOS と Linux ではモード 0600、Windows ではファイルが設定フォルダーの権限を継承するため、登録後にダウンロードした元のファイルを削除してください。

   google-workspace-cli tenants add acme --domain example.com --admin [email protected] --key ./acme-sa.json
   

3. 表示されたクライアント ID とスコープを、クライアントの管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御 > ドメイン全体の委任に貼り付けます（google-workspace-cli tenants scopes acme を実行すると、もう一度表示されます）。

4. 委任したすべてのスコープに対して Google がトークンを発行することを確認します。

   google-workspace-cli tenants test acme
   

デフォルトの read スコーププロファイルですべてのレポートを実行できます。プロファイルはカンマで組み合わせられますが、read を含むのは full のみです。オフボーディングでの書き込みには --scopes full を使用します（ユーザーの削除やスーパー管理者の付与など、すべてのユーザー書き込みも許可されます）。現在の 2SV、Drive の共有、Gmail の転送に関するポリシーを posture に追加するには、--scopes read,policy（または full,policy）を使用します。販売パートナー自身のドメインは --reseller --scopes reseller で登録します（--all-tenants の対象外です）。--scopes policy を単独で指定すると read が置き換えられるため、レポートで読み取れる情報がなくなります。--tenant <name>（または GOOGLE_WORKSPACE_TENANT）を指定してコマンドごとにクライアントを選択するか、--all-tenants ですべてのテナントに対して実行します。

単一の組織だけを管理していますか？テナントを登録する代わりに、GOOGLE_WORKSPACE_TOKEN に Admin SDK スコープを持つ OAuth アクセストークンを設定すると、レポートはその組織に対して実行されます。テナントを登録すると、このトークンは使用されなくなります。--tenant を指定せずにコマンドを実行した場合（複数のテナントが登録されている場合）、トークンが属する組織に対して実行するのではなく、コマンドは拒否されます。

google-workspace-cli tenants test --all-tenants は実際の認証情報チェックです。登録されているすべてのクライアントについてスコープごとにトークンを発行し、各クライアントの顧客レコードとドメインを読み取ります。委任が不足している場合は、ゼロ以外の終了コードを返します。License Manager API や Cloud Identity API が有効になっているかどうかは確認できません（これらを必要とする最初のレポートで確認されます）。また、テナントが登録されていない場合は確認対象がありません。doctor は、選択したテナントのトークン（--tenant <name>、または登録されている唯一のテナント）か、単一組織のトークンを使って実際の読み取りエンドポイントを 1 つ確認します。拒否された認証情報やホストが間違った認証情報は ERROR として報告しますが、--fail-on error を指定しない限り、終了コードは 0 です。

このスキルでできること

MSP から繰り返し尋ねられる質問	コマンド
すべてのクライアントのアカウントのうち、2 段階認証プロセスが未設定なのはどれですか？管理者を優先して確認できますか？	google-workspace-cli mfa-gaps --all-tenants
停止中、未ログイン、または休眠状態のアカウントに割り当てられている Google Workspace ライセンスはどれですか？	google-workspace-cli stale-licenses --all-tenants
停止中の退職者アカウントに、ライセンス、グループ、管理者ロール、OAuth トークン、または未完了の Drive 移行が残っていますか？	google-workspace-cli leavers --all-tenants
QBR 用に、クライアントごとに 1 行でまとめるとどうなりますか？2SV の適用率、2SV 未設定の管理者、古いライセンス、Drive、Calendar、アプリ共有設定の変更を確認できますか？	google-workspace-cli posture --all-tenants
今週、Drive または Calendar の設定を変更したのは誰ですか？外部または一般公開になったファイルはいくつですか（名前のサンプルも含む）？	google-workspace-cli sharing-drift --all-tenants --since 7d
クライアントのデータに対するメール全体、Drive 全体、または管理者アクセス権を持つサードパーティ製アプリはどれですか？	google-workspace-cli oauth-apps --all-tenants --min-risk high
今週、不審なログイン、アカウントの乗っ取り、または2SVの無効化はありましたか？	google-workspace-cli login-alerts --all-tenants --since 7d
この退職者のオフボーディングを実行すると、変更を加える前に、どのような手順が実行されますか？	google-workspace-cli offboard "[email protected]" --successor "[email protected]" --ou "/Departed"
すべてのクライアントで、ドメイン全体の委任は引き続き承認されていますか？	google-workspace-cli tenants test --all-tenants

全コマンドのリファレンスは、guide.md をご覧ください。AI エージェントの運用契約（--agent、--dry-run、変更を加える前に確認すべきタイミング）については、AGENTS.md をご覧ください。

このスキルの特長

taylorwilsdon/google_workspace_mcp など、ほとんどの Google Workspace MCP サーバーは、1 つの組織内の Gmail、Drive、Docs で動作します。Workspace 管理に多くの MSP が利用するツールである GAM は、クライアントごとに 1 つの設定セクションを保持し、各セクションに対してコマンドを実行して 1 つの CSV にまとめることができます。ただし、質問ごとにループ、クエリ、ユーザー、ライセンス、管理者ロール、監査ログ間の結合を自分で記述する必要があります。

このスキルでは、クライアントテナントのレジストリを管理します。各テナントには独自のサービスアカウントと最小権限のスコーププロファイルがあり、1 つの質問をすべてのテナントに並列で送信します。mfa-gaps、stale-licenses、leavers、posture、sharing-drift、oauth-apps、login-alerts は、クライアントごとに必要な結合をすでに実行し、優先順位付けされた 1 つのテーブルを返します。読み取りできなかったクライアントは fetch_failures に記載され、黙って除外されることはありません。1 クライアントをさらに詳しく調べる場合は、sync で 1 つのテナントを ローカル SQLite ミラーに取り込み（テナントごとに別々に保持）、search、analytics、MCP サーバーの sql ツールを利用できます。

このツールで解決する課題

r/msp の「Google Workspace Management」スレッド（2026年6月）で、投稿者は「GW 側の CIPP に相当するもの」を求めていました。約250社の顧客のうち約10社の Workspace テナントを管理するある MSP は、「大部分が手作業」と述べ、最も多かった回答はマルチテナント GAM でした。「会社を切り替えるには、GAM select company を使えばいいだけです」。Microsoft は MSP に GDAP と CIPP を提供していますが、Google では顧客ごとに別々の Admin コンソールが必要です。そのため、管理するすべての顧客について経営者が尋ねる質問――2SV を設定していないユーザーは誰か、ライセンスが無駄になっているのはどこか、退職者のアカウントの整理が完了していないのはどれか――に答えるには、ログイン、エクスポート、スプレッドシートの突合作業を繰り返すことになります。退職者のアカウントは実際の費用につながります。Google では、停止中のアカウントにも有効なアカウントと同じ料金が発生します。

このスキルは、こうした課題を解決します。

• google-workspace-cli mfa-gaps --all-tenants - すべての顧客を対象に、2SV を設定していないアカウントを一覧表示します。未登録の管理者を先に表示します。
• google-workspace-cli stale-licenses --all-tenants - 停止中、未ログイン、または長期間利用されていないアカウントに割り当てられた Workspace と有料の Education エディションのライセンスを、回収できる状態で表示します（--products を指定すると、既定値の Google-Apps,101031 が置き換わります。--products Google-Apps,101031,Google-Vault のように、必要なものをすべて指定してください）。
• google-workspace-cli leavers --all-tenants - ライセンス、グループ、管理者ロール、OAuth トークン、または未完了の Drive データ移行が残っている停止中のアカウントを一覧表示します。
• google-workspace-cli offboard "[email protected]" --successor "[email protected]" - オフボーディングの手順を実行します。変更を加える前に、ライブデータを読み取ってプレビューします。停止中のアカウントではバックアップコードの削除に失敗するため、アカウントの停止は最後に行います。
• google-workspace-cli posture --all-tenants - QBR 用に、顧客ごとに1行ずつ表示します。

詳しい説明については、pain-point.md をご覧ください。

よくある質問

ChatGPT で使えますか？

このビルドでは使えません。ChatGPT（Plus、Pro、Team、Business、Enterprise、Education プラン。Free ではまだ Developer Mode を利用できません）は、HTTPS 経由のリモート MCP サーバーにのみ接続できます。つまり、Google Workspace MCP サーバーを HTTP モードで実行する必要があります。このビルドの HTTP モードはトークンを確認しますが、リクエストのサイズ制限や時間制限がまだありません。そのため、コネクターが再公開されるまでは実行したり、トンネルの背後に配置したりしないでください。その理由については、mcp-install.md のセキュリティに関する注記をご覧ください。それまでは Claude Desktop、Claude Code、または Codex をお使いください。

Codex、Cursor、Windsurf、Cline、Copilot、Gemini で使えますか？

はい。いずれも MCP に対応しています。他のツールへのインストールコマンドは、上記の一覧と docs/which-agent.md の詳しい説明をご覧ください。

コーディングの知識は必要ですか？

いいえ。推奨するインストール方法は、Claude Code または Codex に1文を貼り付けることです。エージェントが SKILL.md を読み取り、インストールを実行します。代替手段として、OS ごとに1行のインストーラー（bash または PowerShell）を用意しています。どちらの方法でも、コードを書く必要はありません。まず google-workspace-cli tenants add を使って、各クライアントを一度だけ登録します（上記の「認証」をご覧ください）。

Google Workspace のデータは安全ですか？

データはお使いのマシン上に保存されます。CLI と MCP サーバーはローカルバイナリです。SQLite ミラーは、ユーザーアカウント配下のディレクトリに保存されます。AI エージェントに表示されるのは CLI の戻り値だけで、通常は生データ全体ではなくクエリ結果です。各クライアントのサービスアカウントキーは、所有者のみがアクセスできる権限（macOS と Linux ではモード 0600。Windows では設定フォルダーの権限を継承）で CLI の設定ディレクトリにコピーされ、Google から有効期間の短いトークンを取得するためにのみ使用されます。キーがこのリポジトリに含まれたり、MSP Skills によってどこかへ送信されたりすることはありません。

Google のパートナーまたはリセラーである必要がありますか？

いいえ。各クライアントのテナントでは、クライアント自身のスーパー管理者がドメイン全体の委任を承認したサービスアカウントを使います。リセラーのステータスが関係するのは、--reseller --scopes reseller を指定して独自のリセラードメインに対して実行する Reseller API コマンド（reseller-customers、subscriptions）のみです。

エージェントはクライアントの Google Workspace を変更できますか。それとも読み取りのみですか？

変更できるのは、クライアントごとに許可した操作のみです。デフォルトの read スコーププロファイルではすべてのレポートを利用できますが、Google には OAuth トークンとアプリパスワード用の読み取り専用スコープがなく、ライセンス割り当て用のスコープもありません。そのため、このプロファイルでもトークンの無効化、ユーザーのサインアウト、バックアップコードの読み取り、2SV の無効化、ライセンスの変更が可能です。これらのコマンドは、人間が介在するようにしてください（下記の安全モデルを参照）。オフボーディングの書き込みには --scopes full が必要です。また、offboard はプレビューのみを表示し、--yes を自分で入力しない限り実行されません。MCP クライアントはこのオプションを渡せません。

Google の API クォータに影響しますか？

クライアント横断コマンドは Google にリアルタイムで問い合わせるため、各クライアントのサービスアカウントを所有する Google Cloud プロジェクトの Admin SDK クォータを消費します。--concurrency は並列実行するクライアント数を制限し、--max-scan-pages はページングを制限します。呼び出しに失敗したクライアントや上限に達したクライアントは、黙って除外されるのではなく、fetch_failures に一覧表示されます。

Google Admin コンソールに取って代わりますか？

いいえ。詳細な単一クライアントの作業や、API で公開されていない設定には、引き続き Admin コンソールを使用します。このスキルは、コンソールにはないクライアント横断のビューを追加し、AI エージェントに平易な英語で操作を指示できるようにします。

費用はいくらですか？

無料です。Apache-2.0 ライセンスで提供されています。費用が発生するのは、使用する AI エージェント（Claude、ChatGPT、Codex など）の利用料のみで、請求元は当方ではなく AI プロバイダーです。

安全モデル

Tier	Examples	Recommended agent policy
読み取り	mfa-gaps、stale-licenses、leavers、posture、sharing-drift、oauth-apps、login-alerts、tenants list、users list、sync、--yes を付けない offboard "<email>"（プレビュー）	許可
書き込み（定型）	users insert／patch、users aliases insert、groups insert／patch、members insert、orgunits insert／patch、users undelete、domains insert、tenants add および tenants test（ローカル設定のみ。キーが別の組織に解決されるテナントは隔離され、ローカルミラーは別の場所に移されます）	--dry-run でプレビューした後、レビュー済みの書き込みを実行
認証情報／セキュリティ	verification-codes list（ユーザーの有効なバックアップコードを返します）、verification-codes generate／invalidate、two-step-verification（2SV を無効にします）、tokens delete、asps delete、users sign-out、users make-admin、--password を指定した users patch／update、role-assignments insert、roles insert／patch／update／delete	人間の介在を必須とする
データの外部送信	activities watch、users watch、users aliases watch（Google はクライアントの監査イベントまたはユーザー変更を指定した --address URL にプッシュします。これらはデフォルトの read プロファイルで実行できます）、resellernotify register、および --deliver webhook:<url> を指定して実行するすべてのレポート	人間の介在を必須とする
破壊的操作／請求	offboard --yes、users delete、groups delete、domains delete、transfers insert、license-assignments insert／update／patch／delete、subscriptions insert／change-plan／change-seats／change-renewal-settings／start-paid-service／activate／suspend／delete、reseller-customers insert、mobiledevices action（デバイスのワイプ）、chromeosdevices action、customer devices-chromeos issue-command／batch-change-status	人間の介在と明示的な確認を必須とする

最も強力な制御手段は、各クライアントの Admin コンソールで許可するスコーププロファイルです。CLI で実行できるのは、そのクライアントのドメイン全体の委任で許可された操作に限られます。制限方法を含む詳細は、governance.md を参照してください。

ステータス

ベータ版です。Google Workspace API の仕様に照らして検証済みで、毎週開催している Build Sessions では、MSP が本番テナントに対して実際に稼働させながら検証を進めています。参加登録は compoundingteams.com/build-sessions からどうぞ。

---

標準規格。 オープンな Agent Skills 仕様（Anthropic、2025年12月、40以上のエージェント）に準拠しています。MCP 互換で、Hermes を含む、MCP 対応のあらゆるエージェントで動作します。OpenClaw 対応済みです（フロントマターは事前設定済みで、OpenClaw のローンチを待っています）。

Servosity がメンテナンスしています。Apache-2.0 ライセンスです。CLI Printing Press を使用して構築されています。最終更新日：2026-10-13。