Okta MCP Server

🚀 Okta MCP Server

MCP (Model Context Protocol) は、Anthropicによって導入されたオープンプロトコルで、大規模言語モデルが外部ツール、リソース、またはリモートサービスと通信する方法を標準化します。Okta MCP Serverは、LLMやAIエージェントと統合し、自然言語を使用してさまざまなOkta管理操作を実行できるようにします。

🚀 クイックスタート

前提条件

• Python 3.8+
• uv パッケージマネージャー
• Claude Desktop またはその他の MCP Client
• 適切な権限を持つ Okta アカウント

Okta MCP Serverのインストール

Okta MCP Serverをインストールし、好みのMCPクライアントと連携するように設定します。

Claude Desktop（全ツール使用）

1. サーバーをクローンしてインストールします。

git clone https://github.com/okta/okta-mcp-server.git
cd okta-mcp-server
uv sync

2. claude_desktop_config.json に以下を追加してClaude Desktopを設定します。

{
  "mcpServers": {
    "okta-mcp-server": {
      "command": "uv",
      "args": [
        "run",
        "--directory",
        "/path/to/okta-mcp-server",
        "okta-mcp-server"
      ],
      "env": {
        "OKTA_ORG_URL": "<OKTA_ORG_URL>",
        "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
        "OKTA_SCOPES": "<OKTA_SCOPES>",
        "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
        "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
      }
    }
  }
}

VS Code

VS Codeの settings.json に以下を追加します。

{
  "mcp": {
    "inputs": [
      {
        "type": "promptString",
        "description": "Okta Organization URL (e.g., https://dev-123456.okta.com)",
        "id": "OKTA_ORG_URL"
      },
      {
        "type": "promptString",
        "description": "Okta Client ID",
        "id": "OKTA_CLIENT_ID",
        "password": true
      },
      {
        "type": "promptString",
        "description": "Okta Scopes (separated by whitespace, e.g., 'okta.users.read okta.groups.manage')",
        "id": "OKTA_SCOPES"
      },
      {
        "type": "promptString",
        "description": "Okta Private Key. Required for 'browserless' auth.",
        "id": "OKTA_PRIVATE_KEY",
        "password": true
      },
      {
        "type": "promptString",
        "description": "Okta Key ID (KID) for the private key. Required for 'browserless' auth.",
        "id": "OKTA_KEY_ID",
        "password": true
      }
    ],
    "servers": {
      "okta-mcp-server": {
        "command": "uv",
        "args": [
          "run",
          "--directory",
          "/path/to/the/okta-mcp-server",
          "okta-mcp-server"
        ],
        "env": {
          "OKTA_ORG_URL": "${input:OKTA_ORG_URL}",
          "OKTA_CLIENT_ID": "${input:OKTA_CLIENT_ID}",
          "OKTA_SCOPES": "${input:OKTA_SCOPES}",
          "OKTA_PRIVATE_KEY": "${input:OKTA_PRIVATE_KEY}",
          "OKTA_KEY_ID": "${input:OKTA_KEY_ID}"
        }
      }
    }
  }
}

その他のMCPクライアント

他のMCPクライアントでOkta MCP Serverを使用する場合は、この設定を手動でクライアントに追加し、変更を有効にするために再起動します。

{
  "mcpServers": {
    "okta-mcp-server": {
      "command": "uv",
      "args": [
        "run",
        "--directory",
        "/path/to/okta-mcp-server",
        "okta-mcp-server"
      ],
      "env": {
        "OKTA_ORG_URL": "<OKTA_ORG_URL>",
        "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
        "OKTA_SCOPES": "<OKTA_SCOPES>",
        "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
        "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
      }
    }
  }
}

Oktaでの認証

サーバーは2つの認証方法をサポートしています。使用ケースに最適な方法を選択してください。

方法1: デバイス認証グラント（対話型）

1. Okta組織で、新しいアプリ統合を作成します。
2. OIDC - OpenID Connect と ネイティブアプリケーション を選択します。
3. グラントタイプ で、デバイス認証 がチェックされていることを確認します。
4. Okta APIスコープタブに移動し、必要なAPIの権限を付与します（例: okta.users.read, okta.groups.manage）。
5. アプリケーションを保存し、クライアントID をコピーします。
6. ドキュメント: Oktaデバイス認証グラントガイド

方法2: 秘密鍵JWT（ブラウザレス）

1. アプリの作成: Okta組織で、新しいアプリ統合 を作成します。APIサービス を選択します。アプリを保存し、クライアントID をコピーします。
2. クライアント認証の設定:
   • アプリの 全般 タブで、クライアント資格情報 セクションを見つけ、編集 をクリックします。
   • トークン要求で所有権の証明 (DPoP) ヘッダーを要求する を無効にします。
   • 認証方法として 公開鍵 / 秘密鍵 を選択します。
3. 公開鍵の追加: 鍵を追加するには2つのオプションがあります。
   • オプションA: Oktaで鍵を生成する（推奨）
     1. 公開鍵 セクションで、鍵を追加 をクリックします。
     2. ダイアログで、新しい鍵を生成 を選択します。
     3. Oktaがすぐに鍵ペアを生成します。秘密鍵をダウンロードまたは保存 し（private.pem）、安全に保管します。
     4. 新しく生成された鍵の 鍵ID (KID) をコピーします。
   • オプションB: 独自の鍵を使用する
     1. 以下の openssl コマンドを使用してローカルで鍵ペアを生成します。

# 2048ビットのRSA秘密鍵を生成
openssl genpkey -algorithm RSA -out private.pem -pkeyopt rsa_keygen_bits:2048

# 秘密鍵から公開鍵を抽出
openssl rsa -in private.pem -pubout -out public.pem

    2. **鍵を追加** をクリックし、**公開鍵** (`public.pem`) の内容をダイアログに貼り付けます。
    3. 追加した鍵の **鍵ID (KID)** をコピーします。

4. APIスコープの付与: Okta APIスコープ タブに移動し、必要なAPIの権限を 付与 します。
5. 管理者ロールの割り当て: 403 Forbidden エラーを回避するために、管理者ロール タブに移動し、このアプリケーションに スーパー管理者 ロールを割り当てます。

統合の検証

MCPクライアント（Claude Desktop、VS Codeなど）を再起動し、Oktaテナントの管理を依頼します。

Show me the users in my Okta organization

✨ 主な機能

• LLMによるOkta管理: LLMエージェントが自然言語の指示に基づいてOkta環境内で管理タスクを実行できるようにします。
• 安全な認証: 対話型使用のためのデバイス認証グラントと、安全な自動サーバー間通信のための秘密鍵JWTの両方をサポートします。
• Okta管理APIとの統合: 公式のOkta APIを利用して、Okta組織との安全で信頼性の高いやり取りを保証します。
• 拡張可能なアーキテクチャ: 新しい機能や追加のOkta APIエンドポイントのサポートで簡単に拡張できるように設計されています。
• 包括的なツールサポート: ユーザー、グループ、アプリケーション、ポリシーなどの完全なCRUD操作をサポートします。

このMCPサーバーは、OktaのPython SDK を利用してOkta APIと通信し、堅牢でサポート体制の整った統合を保証します。

🛠️ サポートされているツール

ユーザー

グループ

アプリケーション

ポリシー

ログ

🔐 認証

Okta MCP ServerはOkta管理APIを使用し、Oktaテナントにアクセスするには認証が必要です。

認証フロー

サーバーは、Oktaとの安全な認証にOAuth 2.0デバイス認証フローを使用するか、ブラウザレス認証に秘密鍵JWTを使用します。資格情報は安全に管理され、平文で露出することはありません。

初期設定

MCPサーバーは、設定に基づいて適切な認証フローを自動的に開始します。

• デバイス認証グラント: 対話型のブラウザベースの認証
• 秘密鍵JWT: クライアント資格情報を使用したブラウザレス認証

⚠️ 重要提示

デバイス認証フローは プライベートクラウド テナントではサポートされていません。プライベートクラウドユーザーは、クライアント資格情報を使用した秘密鍵JWT認証を使用する必要があります。

⚠️ 重要提示

MCPサーバーを使用すると、サブスクリプションプランに応じて管理APIのレート制限が消費されます。詳細については、レート制限ポリシー を参照してください。

🩺 トラブルシューティング

Okta MCP Serverで問題が発生した場合、いくつかのトラブルシューティングオプションが利用可能です。

🐞 デバッグモード

詳細なログを表示するには、デバッグモードを有効にします。

export OKTA_LOG_LEVEL=DEBUG

💡 使用建议

デバッグモードは、接続または認証の問題をトラブルシューティングする際に特に役立ちます。

🚨 一般的な問題

1. 認証失敗
   • Oktaテナントで正しい権限を持っていることを確認します。
   • OKTA_ORG_URL、OKTA_CLIENT_ID、OKTA_SCOPES が正しいことを確認します。
   • アプリケーションに必要なAPIスコープが付与されていることを確認します。
2. MCPクライアントがサーバーに接続できない
   • インストール後にMCPクライアントを再起動します。
   • 設定でサーバーパスが正しいことを確認します。
   • uv がインストールされており、PATHでアクセス可能であることを確認します。
3. APIエラーまたは権限問題
   • export OKTA_LOG_LEVEL=DEBUG でデバッグモードを有効にします。
   • Oktaアプリケーションに必要なスコープがあることを確認します。
   • アプリケーションに適切な管理者ロールが割り当てられていることを確認します。
   • Oktaシステムログで詳細なエラー情報を確認します。
4. "Claude's response was interrupted..." エラー
   • これは通常、Claudeがコンテキスト長の制限に達したときに発生します。
   • より具体的に問い合わせを行い、クエリを簡潔に保つようにします。
   • 大きなリクエストを小さな焦点の絞った操作に分割します。

💡 使用建议

ほとんどの接続問題は、サーバーとMCPクライアントの両方を再起動することで解決できます。

📋 デバッグログ

詳細なログを表示するには、デバッグモードを有効にします。

export OKTA_LOG_LEVEL=DEBUG

ログファイルを指定することもできます。

export OKTA_LOG_FILE="/path/to/okta-mcp.log"

👨‍💻 開発

ソースからのビルド

# リポジトリをクローン
git clone https://github.com/okta/okta-mcp-server.git
cd okta-mcp-server

# 依存関係をインストール
uv sync

# サーバーを直接実行
uv run okta-mcp-server

開発用スクリプト

# デバッグログを有効にして実行
OKTA_LOG_LEVEL=DEBUG uv run okta-mcp-server

# テストを実行
uv run pytest

# 開発モードでインストール
uv pip install -e .

⚠️ 重要提示

このサーバーは Python 3.8以上 と uv が必要です。

🔒 セキュリティ

Okta MCP Serverはセキュリティを最優先しています。

• 資格情報は安全な認証フローを通じて管理されます。
• 機密情報は平文で保存されません。
• 認証にはOAuth 2.0デバイス認証フローまたは秘密鍵JWTを使用します。
• 細かいAPIスコープ権限をサポートします。
• 環境変数を通じた簡単な資格情報管理。

⚠️ 重要提示

セキュリティのベストプラクティスとして、認証プロセス中に要求される権限を常に確認し、セキュリティ要件に沿っていることを確認してください。

⚠️ 重要提示

OktaアプリケーションにAPIスコープを付与する際には、最小権限の原則を常に適用してください。

🧪 セキュリティスキャン

このサーバーや、展開する他のMCP互換サーバーを定期的に、プロトコルレベルのリスクや誤設定を明らかにするために構築されたコミュニティツールでスキャンすることをお勧めします。

これらのスキャナーは、サーバー実装のバグ、ツール定義とライフサイクルのリスク、相互作用とデータフローの弱点、構成または環境のギャップなどの主要な脆弱性クラスにまたがる問題を特定するのに役立ちます。

脆弱性を発見した場合は、責任ある開示プロセス に従ってください。

💬 フィードバックと貢献

このプロジェクトへのフィードバックと貢献を歓迎します！始める前に、以下を参照してください。

• Oktaの一般的な貢献ガイドライン

問題の報告

フィードバックを提供するか、バグを報告するには、問題トラッカーで問題を提起 してください。

脆弱性の報告

セキュリティ脆弱性は、公開のGitHub問題トラッカーで報告しないでください。責任ある開示プロセス に従ってください。

📄 ライセンス

このプロジェクトはApache 2.0ライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。

Oktaとは？

Oktaは独立したトップクラスのIDプロバイダーです。詳細については Why Okta? をご覧ください。

Copyright © 2025-Present, Okta, Inc.

Licensed under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at http://www.apache.org/licenses/LICENSE-2.0. Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions and limitations under the License.