← 返回目录

Access MCP Server

官方

通过 MCP 管理内部访问权限。

查看安装方法 ↓ 横向对比 GitHub 源仓库 ↗

分类: 其他第 51 / 230
Stars: ★ 481 非常热门
传输方式: Streamable HTTP
运行环境: Python 3.13 · Node.js · Docker
凭据: 需要 API Key / 凭据
许可证: Apache-2.0
最近提交: 1 天前
工具数: 3

63FMRS · C

来源显示这是一个由 Discord 维护的 Access 项目内嵌 MCP 服务。它通过 Streamable HTTP 暴露权限查询和请求提交能力，默认关闭；来源未提供完整的 21 个工具名称或客户端安装配置示例。

最强项 · 文档质量 16/20 最弱项 · 可靠性 9/20

可靠性

9/20

安全与权限

15/20

维护活跃度

11/20

文档质量

16/20

安装易用性

12/20

查看各项评分依据

可靠性 9/20: README 描述了可选 MCP 挂载、21 个工具、认证提供方、范围检查和审计标记，且项目说明有 pytest、ruff、ty 与 CI 检查，因此正常路径具有一定可信度。由于 manifest 未缓存、未提供 MCP 专项测试结果或工具级执行证据，本次静态审查无法验证初始化、工具列表握手、参数契约及错误处理，故扣分；按静态校准不超过 12 分。
安全与权限 15/20: 证据显示 MCP 默认关闭，支持 Cloudflare/OIDC bearer token 校验、OIDC 的签名/发行者/过期时间/受众验证、粗粒度 scopes、逐工具授权，并且 MCP 写操作仅提交待审批请求，不直接批准或修改权限；还记录 source:mcp 审计标记。扣分原因是默认回退范围包含 create_requests、写操作没有明确的二次确认机制，且无法从提供材料验证实现细节、速率限制、敏感数据暴露范围和所有失败路径。未发现触及红线的证据。
维护活跃度 11/20: 项目未归档，明确使用 Apache-2.0，并说明依赖锁定、CI 漂移检查和测试/lint/type-check 命令，显示出一定维护基础。扣分原因是材料没有提供发布记录、提交活跃度、问题响应、依赖更新状态、明确维护团队或安全漏洞响应渠道；星标和 issue 数量不计入维护得分。
文档质量 16/20: README 对部署、数据库、OIDC/Cloudflare 认证、MCP 开关、工具类别、scope 语义、发现机制、审计、开发模式和已知限制进行了较完整说明，并给出环境变量示例。扣分原因是没有逐个工具的参数/返回值文档、主流客户端配置示例、成本与资源影响说明，也缺少更具体的故障排查和可验证运行结果。
安装易用性 12/20: README 提供从 Python/uv、数据库、Okta、Docker 到生产认证和本地 MCP 的步骤，且说明 MCP endpoint 与开发模式。扣分原因是实际可用连接依赖部署 Access、配置 Okta/Cloudflare 或 OIDC、数据库和高权限 Okta API token；没有面向主流 MCP 客户端的完整配置示例，整体仍较手工且环境要求较多。按静态校准不超过 15 分。

静态评测 · 未实际运行收录于 2026-08-14

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络修改第三方账户数据连接数据库

适合谁

需要集中查看和申请 Okta 相关内部访问权限的组织。
希望让 MCP 客户端辅助查询权限和提交待审批请求的团队。
能够配置 Cloudflare Access 或 OIDC 认证的 Access 运维人员。

不适合谁

需要 MCP 直接批准或拒绝请求的场景。
需要通过 MCP 直接修改群组、角色或应用的场景。
没有 Access 部署、Okta 数据或受支持认证配置的个人用户。

所需权限

需要访问 Okta API；开发设置要求具备 Group Admin 和 Application Admin 角色及群组管理权限。
生产环境需要配置 Cloudflare Access 或 OIDC 认证。
MCP 工具需要 read_all 或 create_requests 作用域；每个操作仍受 Access 原有授权规则限制。

风险与副作用

错误配置 Okta API Token 可能授予过大的群组或应用管理权限。
MCP 默认无作用域声明的令牌可获得 read_all 和 create_requests；可设置为只读或失败关闭。
启用 MCP 会允许经过身份验证的客户端读取权限数据并提交待审批请求。
代理后的 Host 或 OIDC 回调配置不当可能造成重定向 URI 风险；来源建议配置 ALLOWED_HOSTS 和 OIDC_OVERWRITE_REDIRECT_URI。

安装接入

准备工作

运行环境：Python 3.13 · Node.js · Docker

OKTA_API_TOKEN 可选密钥在 Okta 管理后台创建的 API Token，需要具备 Group Admin / Application Admin 等管理员角色。

DATABASE_URI 可选密钥数据库连接 URI，开发用 sqlite:///access.db，生产用 postgresql:// URI。

SECRET_KEY 可选密钥用于签署 OIDC 会话 cookie 的密钥，可用 python -c 'import secrets; print(secrets.token_hex())' 生成。

OIDC_CLIENT_SECRETS 可选密钥 OIDC 客户端密钥文件路径或内联 JSON 字符串。

其他可选配置项（9 个）

ENABLE_MCP 可选设为 true 以在 /mcp 挂载内置 MCP 服务器，默认关闭。

MCP_FALLBACK_SCOPES 可选为无 scope 声明的 MCP 令牌授予的回退权限，默认 read_all,create_requests。

OIDC_MCP_AUDIENCE 可选启用 OIDC 时用于校验 MCP bearer 令牌 aud 声明的 OAuth audience，通常为注册的 MCP 应用 client id。

MCP_RESOURCE_URL 可选 MCP 资源的规范公开 URL（如 https://access.example.com/mcp），在代理重写 Host 时需显式设置。

OKTA_DOMAIN 可选你的 Okta 域名，例如 mydomain.oktapreview.com。

CURRENT_OKTA_USER_EMAIL 可选本地开发模式下用于解析用户身份的 Okta 用户邮箱。

CLOUDFLARE_TEAM_DOMAIN 可选 Cloudflare Zero Trust 的 Team domain，用于 Cloudflare Access MCP 认证。

CLOUDFLARE_APPLICATION_AUDIENCE 可选 Cloudflare Access 应用的 AUD 标签，用于 MCP 认证。

OIDC_SERVER_METADATA_URL 可选 OIDC 发现文档 URL，设置后启用 MCP 的 OIDC bearer 令牌认证。

在 Access 部署的生产环境配置中设置 ENABLE_MCP=true，并将 MCP 客户端连接到 https://<your-access-deployment>/mcp。MCP 使用 Streamable HTTP。配置 Cloudflare Access 或 OIDC 认证；本地 development/test 环境可使用 CURRENT_OKTA_USER_EMAIL 的开发认证提供方。客户端配置示例未在来源中提供。

验证是否装好

在 .env 中设置 ENABLE_MCP=true 并运行 make run-backend 后，将 MCP 客户端指向 http://localhost:6060/mcp（开发模式无需凭据），工具列表中应出现 create_access_request、create_role_request 和 create_group_request。

常见排障

确认 ENABLE_MCP=true，且访问的是部署的 /mcp POST 端点。
确认 Cloudflare Access 与 OIDC 未同时为 MCP 配置；两者互斥。
使用 OIDC 时检查 OIDC_SERVER_METADATA_URL、OIDC_MCP_AUDIENCE 和令牌的签名、iss、exp、aud。
使用 Cloudflare Access 时检查团队域名、应用 Audience，以及令牌来源。
若工具被拒绝，检查令牌作用域、用户身份及对应 REST 授权条件。
本地开发时确认 ENV 为 development 或 test，并设置 CURRENT_OKTA_USER_EMAIL。

试试这样问

连接成功后，可以直接对 AI 助手这样说：

帮我查看当前有哪些可用的组和角色
为我自己提交一个加入某个组的访问请求
以角色所有者的身份请求将该角色授权访问某个组
帮我提交一个创建新组的申请

工具能力 3

create_access_request 写入

用户为自己请求群组成员资格或所有权。

create_role_request 写入

角色所有者请求将角色授予某个群组的访问权限。

create_group_request 写入

用户请求创建新的群组、角色或应用群组。

使用场景

浏览员工可用的群组、角色、应用和访问请求。

代表当前用户提交访问、角色或群组创建请求。

审计日志中区分 MCP 发起的变更与网页操作。

支持客户端

Claude Code

Claude.ai

Cursor

Zed

Self-hosted models部分支持

依据项目文档列出，未经本站实测。

详细介绍

Access 是 Discord 开源的集中式访问门户，可让员工发现、请求和管理完成工作所需的内部系统权限。启用可选的 MCP 服务后，兼容客户端可以浏览群组、角色、应用、用户、标签、审计记录、成员关系和请求，并代表经过身份验证的用户提交访问请求。