Cuatro pasos para dejar lista la cuenta de Claude

Esta vía manual sirve también para volver a dar el consentimiento si hace falta.

1. En Microsoft Graph Explorer, crea las dos aplicaciones en el tenant con una petición POST a la dirección de abajo, una por cada identificador de la lista.
2. Abre el enlace de consentimiento de cada aplicación con la sesión del administrador. Reemplaza el identificador del tenant, o usa un dominio de la empresa ya registrado en el tenant.
3. Lee la lista completa de permisos antes de aceptar y acepta.

POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId": "<identificador de la aplicación>"}

https://login.microsoftonline.com/{id-del-tenant}/adminconsent?client_id={identificador de la aplicación}

• M365 MCP Client for Claude. 08ad6f98-a4f8-4635-bb8d-f1a3044760f0
• M365 MCP Server for Claude. 07c030f6-5743-41b7-ba00-0a6e85f37c17

Un aviso de Microsoft. Conceder el consentimiento a nombre de toda la empresa puede revocar permisos que ya estaban concedidos a esa misma aplicación. Por eso se lee la lista completa antes de aceptar y se confirma después que sigue completa.

Anthropic pide un Global Administrator. Microsoft documenta que, para permisos delegados como estos, también alcanzan Privileged Role Administrator, Cloud Application Administrator, Application Administrator y AI Administrator. Se usa el que la empresa tenga disponible.

Los de escritura son los que dejan a Claude enviar, crear y actualizar.

Mail.Send, Mail.ReadWrite, Calendars.ReadWrite, Files.ReadWrite.All,
MailboxSettings.ReadWrite, ChatMessage.Send, ChannelMessage.Send,
Chat.Create, People.Read

Los de lectura cubren correo, calendario, chats y canales de Teams, reuniones, archivos y sitios de SharePoint, y el directorio básico.

User.Read, openid, offline_access, email, profile, Mail.Read, Mail.ReadBasic,
Mail.Read.Shared, MailboxFolder.Read, MailboxItem.Read, MailboxSettings.Read,
Calendars.Read, Calendars.Read.Shared, Chat.Read, Chat.ReadBasic, ChatMember.Read,
ChatMessage.Read, Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Read.All,
OnlineMeetings.Read, OnlineMeetingTranscript.Read.All, OnlineMeetingAiInsight.Read,
OnlineMeetingArtifact.Read.All, OnlineMeetingRecording.Read.All, Files.Read,
Files.Read.All, Sites.Read.All, User.ReadBasic.All

Si la empresa ya había dado el consentimiento antes de que existieran las herramientas de escritura, un administrador debe revisar y aprobar el conjunto de permisos actualizado. La lista cambia con las versiones del conector, así que se compara con la pantalla de consentimiento completa. Si la aplicación no aparece en la lista de Entra, quita el filtro por tipo de aplicación y vuelve a buscarla.

Las peticiones del conector salen de los servidores de Anthropic y Microsoft Entra las evalúa desde el rango de direcciones de abajo, no desde la ubicación de cada persona. Según Anthropic, las reglas que limitan el inicio de sesión a una red o a una VPN, y las de frecuencia de inicio de sesión, bloquean el conector para todos. El cumplimiento del dispositivo se evalúa en el momento de conectar.

La salida documentada es crear una ubicación con nombre que contenga ese rango, dejar sin marcar Mark as trusted location y excluirla de la regla, en Conditions › Locations › Exclude.

160.79.104.0/21

Dos cuidados. Excluir ese rango le quita la regla a toda la actividad del conector. Y Anthropic pide no usar esta exclusión en una regla de cumplimiento de dispositivo, porque apagaría esa revisión para el conector.

Opcional. Se exige asignación de usuarios en las dos aplicaciones, después de la prueba corta y asignando primero al administrador, en Enterprise apps › M365 MCP Server for Claude › Properties › Assignment required? › Yes y luego Users and groups. Se repite en M365 MCP Client for Claude con las mismas personas.

• Una persona no logra conectarse. Revisa que su cuenta sea de Microsoft Entra y no personal, que su licencia de Microsoft 365 esté activa, que el consentimiento esté completo y que ninguna regla de acceso condicional bloquee la conexión.
• Aparece el error Failed to call tool. Probablemente se revocó un permiso en Microsoft Entra. La persona apaga esa herramienta, o el administrador restaura el permiso repitiendo la vía manual.
• Una herramienta de Teams responde 403 Missing scope. La empresa dio el consentimiento antes de que existiera el permiso Team.ReadBasic.All. Se repite el consentimiento. Al repetirlo se vuelven a conceder los permisos de escritura, así que si se habían quitado a propósito se quitan de nuevo.
• Hay un bloqueo por acceso condicional. Se reconoce por el mensaje Authorization with the MCP server failed con un código ofid_, un error AADSTS en las llamadas, o avisos frecuentes para volver a conectar. En Microsoft Entra se abre Sign-in logs, la pestaña User sign-ins (non-interactive), se filtra por la persona y se mira la pestaña Conditional Access. Los códigos más comunes son AADSTS70043 (frecuencia de inicio de sesión), AADSTS53003 (regla de bloqueo), AADSTS50076 (pide segundo factor, se resuelve volviendo a conectar) y AADSTS53000 o AADSTS530003 (pide un dispositivo que cumpla las políticas).

Los complementos desplegados por el administrador pueden no aparecer cuando Let users access the Office Store está apagado. En ese caso se despliega con el archivo de manifiesto de cada aplicación.

1. Descarga el manifiesto de cada aplicación y guárdalo en un lugar seguro.
2. En el centro de administración, abre Settings › Integrated apps y selecciona Upload custom apps.
3. Escoge Office Add-in, después I have a manifest file on this device, y sube el manifiesto.
4. Escoge la empresa completa, personas específicas, grupos específicos, o solo tu cuenta para una prueba.
5. Revisa y selecciona Deploy. El complemento queda disponible en minutos, y el despliegue completo puede tardar hasta 24 horas.

https://pivot.claude.ai/manifest-excel.xml
https://pivot.claude.ai/manifest-word.xml
https://pivot.claude.ai/manifest-powerpoint.xml

La página Integrated apps no reconoce los roles activados con Privileged Identity Management, y el despliegue falla. Es un problema conocido de Microsoft, con el identificador de seguimiento 11126536. La salida es desplegar desde una cuenta de administrador con el rol asignado de forma permanente.

Cuando el despliegue de la empresa no está disponible, cada persona puede instalarlo sola. Abre el listado de Claude for Microsoft 365 en Microsoft AppSource, selecciona Get it now, abre la aplicación de Office, activa el complemento y entra con su cuenta de Claude.

• Excel y PowerPoint. La versión web, Windows con suscripción de Microsoft 365 (compilación 16.0.13127.20296 o posterior) y Mac (versión 16.46 o posterior).
• Word. La versión web, Windows con suscripción de Microsoft 365 (Version 2205, compilación 15202.10000 o posterior) y Mac (versión 16.61 o posterior).
• Sin soporte. Las versiones 2016 y 2019 de licencia perpetua o por volumen, iPad y Android.