kintone

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり

公式MCP（kintone/mcp-server）のREADMEに読み取り専用モード・ツール無効化・確認プロンプトの設定はない（26ツール、削除系を含む。https://github.com/kintone/mcp-server）。読み取りだけで渡す方法は、閲覧のみのAPIトークン：トークンは「レコード閲覧」だけにチェックが入った状態で生成され、レコードの取得APIのみ実行できる（https://cybozu.dev/ja/kintone/tips/development/customize/development-know-how/api-tokens/ ）。MCPがKINTONE_API_TOKEN（最大9個）で動く点はREADMEにある。閲覧のみトークンでMCPの各取得ツール（アプリ設定の取得など）がどこまで動くかは公式の記載未確認。

権限（スコープ）を選べるか あり

APIトークンはアプリ単位で発行し、アクセス権欄のチェックボックスで許可するAPIを選ぶ（APIトークン解説ページ。ページ上で確認できる選択肢の名前は「レコード閲覧」のみ。追加・編集・削除・アプリ管理の各項目名はこのページに記載なし）。認証ページには「APIトークンによる操作はAdministratorによる操作として扱われる」「1回のリクエストで指定できるトークンは9個まで」「アプリ1つにつき生成できるトークンは20個まで」とある（https://cybozu.dev/ja/kintone/docs/rest-api/overview/authentication/）。パスワード認証を使うと、そのユーザーのkintone側の権限に従う（READMEの記載）。

危険な操作の既定

【MCP】確認プロンプト・無効化設定の記載なし（制御の記載なし）。ツール一覧に kintone-delete-records / kintone-delete-form-fields / kintone-delete-space がある。【CLI】record deleteは既定で確認メッセージが出て --yes で省略可（先行調査での記載。今回は再確認していない）。

削除ができるか できる

【MCP】README掲載の26ツールのうち kintone-delete-records、kintone-delete-form-fields、kintone-delete-space の3つが削除系。【CLI/API】先行調査での記載（レコード削除。1回100件まで）。今回は再確認していない。

取り消し方（キー・接続）

cybozu.com共通管理の［APIトークン］を開き、対象トークンの［削除］をクリックして、［削除（元に戻せません）］で確定する（公式ヘルプの記載。無効化・再生成の手順は同ページになし）（根拠: https://jp.kintone.help/general/ja/admin/list_externalservices/api_token）

根拠のページ

つなぎ方（公式の資料にある範囲）

できる操作

読み取りでできる操作

• 【MCP】アプリ一覧・アプリ情報・フォームのフィールド/レイアウト・プロセス管理・一般設定・反映状況・レコード・レコードコメント・スペース情報の取得、添付ファイルのダウンロード（保存先の指定が必要）
• 【CLI】レコードのCSVエクスポート、添付ファイルの一括ダウンロード（レコード閲覧権限が必要）
• 【API】レコード・アプリ設定の取得、APIを実行したユーザーのレコードのアクセス権設定の取得

書き込みでできる操作

• 【MCP】レコードの追加・更新・ステータス更新、コメント追加、フィールドの追加・更新、フォームレイアウト更新、アプリ作成（動作テスト環境）、運用環境への反映、一般設定の更新、スペースの作成・更新（添付ファイルフィールドは追加・更新ツールで指定不可）
• 【CLI】CSVからのレコードのインポート（追加・更新）、添付ファイルの一括添付（レコード追加・編集権限が必要）
• 【API】レコードの追加・更新、アプリのアクセス権・レコードのアクセス権・フィールドのアクセス権の設定変更API（cybozu.devに各APIのページがある）

管理者操作（削除・課金・設定変更など）

• 【MCP】フィールド・レコード・スペースの削除、アプリ設定（一般設定・フォーム）の変更ができる。ただしサーバー側の権限制御はなく、接続に使うユーザーまたはAPIトークンのkintone側の権限に従う
• 【CLI】レコード削除（record delete）。APIトークン認証のみ対応。削除したレコードは元に戻せない
• 【API】アプリ/レコード/フィールドのアクセス権設定の変更APIがある（実行に必要な権限は未確認）
• 【API】認証ページに「APIトークンによる操作はAdministratorによる操作として扱われる」とある

制限

• cli-kintoneのレコード入出力はスタンダードプランの契約が必要（cybozu.devの記載）
• REST APIは1ドメイン同時100リクエスト、1アプリ1日のリクエスト数はスタンダード10,000・ワイド100,000
• レコードの追加・更新・削除は1回100件まで、一括取得のoffsetは10,000件まで
• 公式MCPはゲストスペース非対応、APIサポート窓口の対象外
• cli-kintoneのIP制限環境では許可IPからの実行またはクライアント証明書が必要
• kintone Documentation MCPサーバー（β版、cybozu.devのお知らせ 2026-06-15）が別にあるとの題名を検索結果で確認したが、本文は未読
• APIトークンは、1回のリクエストで指定できるのが9個まで、アプリ1つにつき生成できるのが20個まで（認証ページの記載）

認証・料金・日本語・実機検証

認証方式

【MCP】ユーザー名+パスワード、またはAPIトークン（カンマ区切りで最大9個）。両方指定するとパスワード認証が優先。Basic認証・クライアント証明書も併用可。【CLI】APIトークン（--api-token）またはログイン名+パスワード。【API】パスワード認証（X-Cybozu-Authorization）・APIトークン（X-Cybozu-API-Token）・セッション認証・Basic認証。OAuthは取得したページに記載なし。

公表されている料金（2026年10月16日確認）

月額（1ユーザーあたり）ライト1,000円・スタンダード1,800円・ワイド3,000円（税込/税抜の明記なし。ライト・スタンダードは10ユーザーから、ワイドは1,000ユーザーから。1か月から契約可、初期費用無料、30日間の無料お試しの記載あり。2026年10月16日確認） 料金ページ

日本語対応

あり。cybozu.dev、kintoneヘルプ、公式サイト、公式MCP紹介ページが日本語。管理画面の日本語表示そのものは今回直接は開いていない（ヘルプの画面説明は日本語）。cli-kintoneの公式ドキュメント（cli.kintone.dev）は日本語が「34% translated」と表示。

Claude Code実機検証

未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）