Nhân viên chỉ kết nối được Microsoft 365 bằng tài khoản công việc khi quản trị viên đã chuẩn bị trước. Bài này dành cho người phụ trách IT hoặc Owner của tổ chức Claude: bật connector, cấp phép trong Microsoft Entra, bật công cụ ghi khi cần, và xử lý các lỗi đăng nhập thường gặp. Phần dùng connector hằng ngày đã nằm ở bài trước; phần bảo mật chuyên sâu sẽ có ở bài sau.
Tổng quan: ai làm việc gì?
Thiết lập này chỉ áp dụng cho tài khoản công việc hoặc trường học (thuộc một Microsoft Entra tenant). Tài khoản cá nhân như Outlook.com không cần quản trị viên. Quy trình gồm ba bước:
- Chỉ gói Team và Enterprise: Owner của tổ chức Claude bật connector Microsoft 365.
- Mọi tenant: một Global Administrator của Microsoft Entra cấp phép (admin consent) một lần cho cả tổ chức.
- Tùy chọn: cấp phép bộ quyền mở rộng và bật công cụ ghi (gửi thư, sửa file, nhắn Teams).
Connector dùng quyền ủy quyền (delegated): Claude hành động thay từng người dùng và chỉ thấy những gì người đó vốn đã truy cập được. Nếu chưa bật công cụ ghi, quyền truy cập là chỉ đọc.
Bước 1: Bật connector trong Claude (Team, Enterprise)
- Đăng nhập Claude bằng tài khoản Owner.
- Vào Organization settings → Connectors.
- Bấm + Add, chọn All available.
- Tìm Microsoft 365 và bấm Add to your team.
Người dùng gói Free, Pro, Max, Ultra bỏ qua bước này.
Bước 2: Cấp phép trong Microsoft Entra
Cách 1: Cấp phép ngay trong Claude (nhanh nhất)
Dùng khi Global Administrator có tài khoản Claude.
- Vào Customize → Connectors, tìm Microsoft 365, bấm Connect.
- Nếu được hỏi, chọn Work or school account và đăng nhập Microsoft 365.
- Ở màn hình quyền, tích ô cấp quyền thay mặt toàn tổ chức rồi chấp nhận.
Từ đó, các thành viên khác trong tenant kết nối bình thường mà không gặp lời nhắc cấp phép.
Cách 2: Thiết lập thủ công trong Entra ID
Dùng khi quản trị viên không có tài khoản Claude, hoặc để khắc phục sự cố.
- Trong Microsoft Graph Explorer, tạo service principal cho hai ứng dụng bằng yêu cầu POST tới
https://graph.microsoft.com/v1.0/servicePrincipals, kèm App ID tương ứng:- M365 MCP Client for Claude:
08ad6f98-a4f8-4635-bb8d-f1a3044760f0 - M365 MCP Server for Claude:
07c030f6-5743-41b7-ba00-0a6e85f37c17
- M365 MCP Client for Claude:
- Với mỗi ứng dụng, mở trình duyệt tới
https://login.microsoftonline.com/{tenant-id}/adminconsent?client_id={App ID}(thay tenant ID của bạn) và chấp thuận. - Hoàn tất: ở gói Team/Enterprise, Owner bật connector như Bước 1; sau đó từng thành viên tự kết nối tại Customize → Connectors.
Ví dụ thực tế: Công ty bạn dùng Claude Team. Chị Lan (Owner Claude) bật Microsoft 365 trong Organization settings; anh Tuấn (Global Admin, chưa có tài khoản Claude) làm Cách 2 trong Entra. Sau đó nhân viên chỉ cần vào Customize → Connectors và đăng nhập. Ai kết nối trước khi anh Tuấn làm xong sẽ thấy lỗi yêu cầu quản trị viên cấp quyền.
Bước 3 (tùy chọn): Bật công cụ ghi
Công cụ ghi cho phép Claude gửi và soạn thư, quản lý lịch, tạo và cập nhật file OneDrive/SharePoint, gửi tin nhắn Teams.
- Cấp phép lại: nếu tenant đã cấp phép trước khi công cụ ghi (hoặc công cụ ghi cho Teams) ra mắt, Global Administrator phải duyệt bộ quyền cập nhật trong luồng cấp phép của Enterprise Applications.
- Bật trong Claude: với connector đã dùng từ trước, công cụ ghi bị chặn mặc định. Vào Organization settings → Connectors, đặt quyền phù hợp cho “Microsoft 365”. Gói Enterprise có thể chỉ bật cho một nhóm người qua custom roles.
- Teams: phải đặt từng công cụ riêng. Gửi tin, đăng và trả lời trong kênh chỉ đặt được Ask hoặc Blocked; tạo chat mới có thể đặt Allow. Thiết lập “all tools” chung không bật các công cụ này.
- Kiểm tra: nhờ Claude làm một việc ít rủi ro, ví dụ soạn thư gửi chính mình nhưng không gửi.
Lưu ý: thay đổi lịch sẽ tự thông báo người tham dự, chưa hỗ trợ tệp đính kèm, và mỗi người dùng có giới hạn số lần ghi, gửi.
Giới hạn ai được dùng
Muốn chỉ một số người dùng connector, trong Entra admin center mở ứng dụng doanh nghiệp M365 MCP Server for Claude → Properties, đặt Assignment required? là Yes, rồi thêm người hoặc nhóm ở Users and groups. Làm y hệt với M365 MCP Client for Claude; hai ứng dụng phải cho cùng một nhóm người. Việc thu hồi từng quyền Graph và các khuyến nghị bảo mật khác được trình bày ở bài Hướng dẫn bảo mật connector Microsoft 365.
Xử lý lỗi thường gặp
| Triệu chứng | Nên kiểm tra |
|---|---|
| Thành viên không đăng nhập được | Tài khoản thuộc Entra tenant, giấy phép Microsoft 365 còn hiệu lực, đã cấp admin consent, không bị chính sách Conditional Access chặn |
| Lỗi “Failed to call tool” | Một quyền đã bị thu hồi trong Entra; tắt công cụ đó cho thành viên hoặc cấp lại theo Cách 2 |
| Công cụ Teams báo 403 “Missing scope” | Tenant cấp phép trước khi quyền mới được thêm; Global Admin làm lại Cách 1 hoặc Cách 2 |
| Không thấy công cụ ghi | Đã cấp phép bộ quyền mới chưa, đã bật công cụ ghi hoặc vai trò có quyền chưa; nhờ thành viên ngắt rồi kết nối lại |
Bị nhắc kết nối lại liên tục, lỗi mã AADSTS… | Thường do Conditional Access; xem tab User sign-ins (non-interactive) trong Sign-in logs, lọc theo người dùng bị ảnh hưởng |
Một số mã hay gặp: AADSTS70043 (tần suất đăng nhập), AADSTS53003 (chính sách chặn), AADSTS50076 (yêu cầu MFA, kết nối
lại thường hết), AADSTS53000 (yêu cầu thiết bị tuân thủ).
Những điều bạn học được trong bài này
- Thiết lập gồm: Owner bật connector (Team/Enterprise), Global Admin cấp phép, và tùy chọn bật công cụ ghi
- Cấp phép nhanh nhất là đăng nhập trong Claude và tích ô cấp quyền cho toàn tổ chức
- Cách thủ công cần tạo service principal cho 2 ứng dụng M365 MCP Client và Server trong Entra
- Công cụ ghi cần cấp phép lại (nếu cấp phép từ trước) và bật trong Organization settings → Connectors
- Đặt “Assignment required?” cho cả 2 ứng dụng để giới hạn người được dùng
- Lỗi AADSTS thường liên quan Conditional Access; tra trong Sign-in logs (non-interactive)
Cần nhớ: Connector Microsoft 365 không bao giờ cho Claude thấy nhiều hơn quyền sẵn có của từng nhân viên, nhưng phạm vi tìm kiếm SharePoint là toàn tenant. Hãy rà soát quyền chia sẻ tài liệu trước khi triển khai, và bật công cụ ghi theo từng bước, thử với nhóm nhỏ trước.
Nguồn tham khảo: Set up the Microsoft 365 connector – Claude Help Center · Connect to Microsoft 365 – Claude Help Center
Câu hỏi thường gặp
Gói Pro có cần làm bước bật connector không?
Không. Bước bật trong Organization settings chỉ dành cho Team và Enterprise. Tuy vậy, tài khoản công việc của bạn vẫn cần Global Admin của tenant cấp phép.
Có giới hạn connector chỉ tìm trong một site SharePoint được không?
Không. Quyền Sites.Selected chưa được hỗ trợ, nên tìm kiếm SharePoint bao trùm mọi nội dung mà người dùng có quyền xem.
Thành viên ngắt kết nối rồi kết nối lại có cần admin duyệt lại không?
Không, miễn là admin consent vẫn còn hiệu lực.
