--- title: Consoleでトンネルを管理する url: https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/console description: Claude Consoleからトンネルの作成、CA証明書の登録、トンネルトークンの取得、およびトンネル経由のMCPサーバーのエージェントへのアタッチを行います。 --- MCPトンネルはリサーチプレビュー段階です。お試しいただくには、[アクセスをリクエスト](https://claude.com/form/mcp-tunnels)してください。 このページでは、MCPトンネルのデプロイにおけるConsole側の作業について説明します。トンネルの作成、CA証明書の登録、トンネルトークンの取得、および[アップストリームMCPサーバー](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#components)のエージェントへのアタッチです。ネットワーク内で[トンネルスタック](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#components)を実行する方法については、[HelmでMCPトンネルをデプロイする](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/deploy-helm)および[Docker ComposeでMCPトンネルをデプロイする](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/deploy-compose)を参照してください。 ## 前提条件 * プライベートネットワーク内で稼働している**1つ以上のMCPサーバー**。トンネルはそれらにトラフィックをルーティングしますが、ホストはしません。デプロイ可能な例については、[リモートMCPサーバー](https://platform.claude.com/docs/ja/agents-and-tools/remote-mcp-servers)を参照してください。 * **Manage tunnels権限を持つConsoleロール**。これにより、トンネルの作成とアーカイブ、トークンのローテーション、証明書の管理が可能になります。組織の管理者とオーナーはデフォルトでこの権限を持っています。カスタムロールやアカウントごとの付与にも含めることができます。この権限を持たないロールは、**MCP tunnels**ページとトンネルの詳細に対して読み取り専用アクセスとなります。 * **スタックがTunnels APIに対して認証する手段。** 次のいずれかを選択します。 * **[プログラムによるアクセス](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)（推奨）。** トンネル作成時に[Workload Identity Federation](https://platform.claude.com/docs/ja/manage-claude/workload-identity-federation)を設定すると、スタックがIDプロバイダーから短期間有効なAPIトークンを発行し、トンネルトークンを取得し、CA証明書を自動的に生成して登録します。フェデレーションルールを管理する権限、登録済みのOIDC発行者、および`workspace:manage_tunnels`スコープを持つフェデレーションルールが必要です。 * **[手動](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)。** プログラムによるアクセスをスキップします。トンネルを作成した後、[トンネルトークンを取得](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/console#get-the-connection-details)し、自分でCA証明書を生成して[登録](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate)し、トークンとサーバー証明書をシークレットとしてトンネルスタックに提供します。 ## トンネルを作成する Claude Consoleで、[MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels)ページ（`platform.claude.com/settings/workspaces/default/mcp-tunnels`）に移動します。トンネルはワークスペーススコープであり、新しいトンネルはConsoleで現在選択されているワークスペースに属します。サイドバーのワークスペースピッカーで目的のワークスペースを選択してください。 **New tunnel**をクリックし、**Create tunnel**ダイアログで名前を入力します。名前は必須で、一覧、詳細ページ、およびエージェントのMCPサーバーピッカーでトンネルを識別するために使用されます。`abcd1234.tunnel.anthropic.com`形式のドメインが自動的に割り当てられます。 ロールがフェデレーションルールを管理できる場合、**Set up programmatic access**トグルが表示されます（デフォルトはオフ）。管理できない場合、Consoleはその代わりに通知を表示し、トンネルスタックは手動フローを使用します。作成フローの残りの部分はどちらの場合も同じです。 プログラムによるアクセスは[Workload Identity Federation](https://platform.claude.com/docs/ja/manage-claude/workload-identity-federation)に依存しています。フェデレーション発行者、ルール、サービスアカウントに馴染みがない場合は、先にそのページをお読みください。トグルをオンにするには、以下が必要です。 1. スタックがトークンを提示するIDプロバイダー（Kubernetesクラスター、AWS IAM、Google Cloud、GitHub Actionsなど）の**登録済みOIDC発行者**。組織に発行者がない場合は、Claude Consoleの[Workload identity](https://platform.claude.com/settings/workload-identity-federation)ページ（`platform.claude.com/settings/workload-identity-federation`）の**Issuers**タブで登録してください。 2. **`workspace:manage_tunnels`スコープを持つフェデレーションルール。** トグルをオンにすると、**Federation rule**ピッカーが表示されます。そのスコープを持つ既存のルールを選択するか、**Create federation rule**をクリックしてインラインで作成します。 3. **このワークスペースに追加されたルールのサービスアカウント。** Tunnels APIは、サービスアカウントのワークスペースメンバーシップに基づいて認可を行います。組織のデフォルト以外のワークスペースでトンネルを作成する場合は、[サービスアカウントをそのワークスペースに追加](https://platform.claude.com/docs/ja/manage-claude/workspaces#role-inheritance)し、デプロイ時にワークスペースIDを渡してください（Helmの場合は`api.wif.workspaceId`、Composeの場合は`ANTHROPIC_WORKSPACE_ID`）。 このステップをスキップすることも完全にサポートされています。どちらのデプロイガイドにも**Without programmatic access**タブがあります。 **Create tunnel**をクリックします。Consoleがトンネルをプロビジョニングし、詳細ページを開きます。 どちらのデプロイ方法でも以下が必要です。 * **トンネルID**（`tnl_...`）。トンネルの詳細ページに表示されます。 * **トンネルドメイン**（`abcd1234.tunnel.anthropic.com`）。トンネルの詳細ページに表示されます。プロキシの`tunnel_domain`として、またサーバー証明書のSANで使用されます。 その他に必要なものは、[認証情報プロビジョニングモード](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)によって異なります。 | プログラムによるアクセスあり | プログラムによるアクセスなし | | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 選択したルールの**フェデレーションルールID**（`fdrl_...`）。ルールは組織レベルのもので、トンネルには保存されません。Claude Consoleの[Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules)ページ（`platform.claude.com/settings/workload-identity-federation?tab=rules`）の**Rules**タブで確認できます。 | **トンネルトークン**。詳細ページの**Token**の横にある目のアイコンで表示できます。シークレットとして扱ってください。[接続の詳細を取得する](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/console#get-the-connection-details)を参照してください。 | | Claude Consoleの[Organization](https://platform.claude.com/settings/organization)ページ（`platform.claude.com/settings/organization`）に表示される**組織ID**（UUID）。 | 自分で生成して[トンネルに登録する](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate)**CA証明書**。 | プログラムによるアクセスでは、スタックがTunnels API経由でトンネルトークンを取得し、CAとサーバー証明書をローカルで生成し（秘密鍵が環境外に出ることはありません）、CAの公開証明書のみをAnthropicに登録します。秘密鍵の保護と、有効期限が切れる前のサーバー証明書の更新は、引き続きお客様の責任となります。 組織は最大10個のアクティブなトンネルを持つことができます。トンネルを作成しても接続は確立されません。接続は、スタックがトンネルトークンでダイヤルインし、CA証明書が登録された時点で確立されます。 ## 接続の詳細を取得する トンネルを開きます。詳細ページには、ドメインとトークンを含む**Connection**セクションと、**Certificates**セクションが表示されます。 | フィールド | 説明 | | ---------- | -------------------------------------------------------------------------------------------------------------------------------------- | | **Domain** | 割り当てられた`abcd1234.tunnel.anthropic.com`の値をコピーします。プロキシのルートはこのドメインのサブドメインになります。 | | **Token** | 目のアイコン（**Show token**）をクリックしてトンネルトークンを取得し、コピーアイコンを使用してトンネルスタックのシークレットストアにコピーします。**Rotate token**をクリックすると、現在のトークンが無効化され、新しいトークンが発行されます。 | すべての表示とローテーションは、組織の[Compliance API](https://platform.claude.com/docs/ja/manage-claude/compliance-api)アクティビティログに記録されます。ローテーションによって、すでに確立されているcloudflared接続が切断されることはないため、ローテーションを行い、新しい値で再デプロイし、古い接続をドレインさせることができます。 ## CA証明書を追加する Anthropicは、トンネルに登録されたCA証明書に対して、[プロキシ](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#components)への[内部TLS](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/concepts#components)を検証します。アクティブな証明書がないトンネルは接続を受け付けることができず、証明書が登録されるまでエージェントのMCPサーバーピッカーに表示されません。 トンネルの詳細ページで、**Certificates**セクションまでスクロールし、**Add certificate**をクリックします。 **Choose file**をクリックして`.pem`、`.crt`、または`.cer`ファイルを選択するか、ファイルをテキストエリアにドラッグするか、PEMブロックを直接貼り付けます。モーダルは、秘密鍵の内容や`-----BEGIN CERTIFICATE-----`ブロックではないコンテンツを拒否します。ファイルは8 kB以下である必要があります。 **Add certificate**をクリックします。フィンガープリントと有効期限が証明書一覧に表示され、セクションヘッダーのスロット数が増加します。 トンネルは最大2つのアクティブな証明書を保持できるため、ダウンタイムなしでローテーションできます。古い証明書と並べて新しい証明書を登録し、新しい鍵ペアでプロキシを再デプロイし、トラフィックが流れていることを確認してから、古い証明書の行で**Revoke**をクリックします。失効した証明書は**Revoked**バッジ付きで一覧に表示されたままになります。 ## トンネルスタックをデプロイする トンネルはConsole上に存在しますが、トンネルスタックがネットワーク内で稼働し、トンネルトークンでダイヤルインするまでトラフィックは流れません。次のいずれかのデプロイガイドに従ってください。 単一ホスト上でトンネルスタックを実行します。プログラムによるアクセスと手動の両方のフローに対応しています。 Kubernetesクラスター上でトンネルスタックを実行します。プログラムによるアクセスと手動の両方のフローに対応しています。 ## エージェントでトンネルを使用する スタックが稼働し、1つ以上のMCPサーバーが設定されたら、アップストリームMCPサーバーをManaged Agentセッションにアタッチします。代わりにMessages APIから同じサーバーを呼び出す場合は、[トンネル経由のMCPサーバーを使用する](https://platform.claude.com/docs/ja/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers)を参照してください。 ピッカーには、少なくとも1つのアクティブな証明書を持つトンネルのみが表示されます。**MCP tunnels**一覧でまだ**Needs certificate**と表示されているトンネルはドロップダウンに表示されません。先にCA証明書を登録してください。ピッカーもワークスペーススコープです。セッションと同じワークスペース内のトンネルが一覧表示され、他のワークスペースのトンネルは表示されません。 Claude Consoleで、[Sessions](https://platform.claude.com/sessions)ページ（`platform.claude.com/sessions`）に移動し、**Create session**をクリックします。 エージェントピッカーで**Create new agent**を選択すると、MCPサーバー一覧を直接編集できます。 **+ MCP Server**をクリックし、ドロップダウンを開きます。現在のワークスペースで作成されたトンネルが、公開コネクタカタログの上、一覧の最上部に表示されます。到達したいサーバーの前段にあるトンネルを選択します。 カードには2つのオプションフィールドが表示されます。**Subdomain**（トンネルドメインの前に付加）と**Path**（その後ろに追加）です。プロキシのルートの設定方法に応じて、一方または両方を入力します。**Resolves to**行には、エージェントが接続する完全なMCPサーバーURLが表示されます。 トンネルはトラフィックを運びますが、アップストリームMCPサーバーに対する認証は行いません。他のMCPサーバーと同様に、MCPサーバー側でOAuthまたはベアラー認証を設定してください。 ## トンネルをアーカイブする アーカイブすると、トンネルは直ちに接続の受け付けを停止し、この操作は元に戻せません。 Claude Consoleで、[MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels)ページ（`platform.claude.com/settings/workspaces/default/mcp-tunnels`）に移動します。サイドバーのワークスペースピッカーで、トンネルを保持しているワークスペースを選択します。トンネルの行メニューを開き、**Archive**を選択します。アーカイブされたトンネルは、一覧を**Archived**または**All**でフィルタリングすると引き続き表示されます。 ## 次のステップ Anthropic Helmチャートを使用してKubernetesクラスターにインストールします。 ハードニングのガイダンス、認証情報のローテーション、および侵害への対応。