Okta MCP Server

🚀 Okta MCP服務器

Okta MCP服務器集成了大語言模型（LLM）和AI智能體，允許你使用自然語言執行各種Okta管理操作，為你的LLM智能體賦能，實現對Okta組織的管理。

✨ 主要特性

• 由大語言模型驅動的Okta管理：允許你的LLM智能體根據自然語言指令在Okta環境中執行管理任務。
• 安全認證：支持用於交互式使用的設備授權授予和用於安全、自動化的服務器到服務器通信的私鑰JWT。
• 與Okta管理API集成：利用官方Okta API，確保與你的Okta組織進行安全可靠的交互。
• 可擴展架構：設計為易於擴展新功能，並支持更多的Okta API端點。
• 全面的工具支持：支持對用戶、組、應用程序、策略等進行完整的CRUD操作。

🚀 快速開始

前提條件

• Python 3.8+
• uv 包管理器
• Claude Desktop 或其他 MCP客戶端
• 具有適當權限的 Okta 賬戶

安裝Okta MCP服務器

安裝Okta MCP服務器，並將其配置為與你首選的MCP客戶端配合使用。

Claude Desktop（包含所有工具）

1. 克隆並安裝服務器：

git clone https://github.com/okta/okta-mcp-server.git
cd okta-mcp-server
uv sync

2. 通過在 claude_desktop_config.json 中添加以下內容來配置Claude Desktop：

{
    "mcpServers": {
        "okta-mcp-server": {
            "command": "uv",
            "args": [
                "run",
                "--directory",
                "/path/to/okta-mcp-server",
                "okta-mcp-server"
            ],
            "env": {
                "OKTA_ORG_URL": "<OKTA_ORG_URL>",
                "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
                "OKTA_SCOPES": "<OKTA_SCOPES>",
                "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
                "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
            }
        }
    }
}

VS Code 在VS Code的 settings.json 中添加以下內容：

{
    "mcp": {
        "inputs": [
            {
                "type": "promptString",
                "description": "Okta組織URL（例如，https://dev-123456.okta.com）",
                "id": "OKTA_ORG_URL"
            },
            {
                "type": "promptString",
                "description": "Okta客戶端ID",
                "id": "OKTA_CLIENT_ID",
                "password": true
            },
            {
                "type": "promptString",
                "description": "Okta作用域（用空格分隔，例如 'okta.users.read okta.groups.manage'）",
                "id": "OKTA_SCOPES"
            },
            {
                "type": "promptString",
                "description": "Okta私鑰。'無瀏覽器'認證需要。",
                "id": "OKTA_PRIVATE_KEY",
                "password": true
            },
            {
                "type": "promptString",
                "description": "用於私鑰的Okta密鑰ID（KID）。'無瀏覽器'認證需要。",
                "id": "OKTA_KEY_ID",
                "password": true
            }
        ],
        "servers": {
            "okta-mcp-server": {
                "command": "uv",
                "args": [
                    "run",
                    "--directory",
                    "/path/to/the/okta-mcp-server",
                    "okta-mcp-server"
                ],
                "env": {
                    "OKTA_ORG_URL": "${input:OKTA_ORG_URL}",
                    "OKTA_CLIENT_ID": "${input:OKTA_CLIENT_ID}",
                    "OKTA_SCOPES": "${input:OKTA_SCOPES}",
                    "OKTA_PRIVATE_KEY": "${input:OKTA_PRIVATE_KEY}",
                    "OKTA_KEY_ID": "${input:OKTA_KEY_ID}"
                }
            }
        }
    }
}

其他MCP客戶端 要將Okta MCP服務器與其他MCP客戶端一起使用，你可以手動將此配置添加到客戶端，並重新啟動以使更改生效：

{
    "mcpServers": {
        "okta-mcp-server": {
            "command": "uv",
            "args": [
                "run",
                "--directory",
                "/path/to/okta-mcp-server",
                "okta-mcp-server"
            ],
            "env": {
                "OKTA_ORG_URL": "<OKTA_ORG_URL>",
                "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
                "OKTA_SCOPES": "<OKTA_SCOPES>",
                "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
                "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
            }
        }
    }
}

與Okta進行身份驗證

服務器支持兩種身份驗證方法。選擇最適合你用例的方法。

方法1：設備授權授予（交互式）

1. 在你的Okta組織中，創建一個 新的應用集成。
2. 選擇 OIDC - OpenID Connect 和 原生應用程序。
3. 在 授權類型 下，確保選中 設備授權。
4. 轉到Okta API作用域選項卡，並授予你需要的API權限（例如，okta.users.read、okta.groups.manage）。
5. 保存應用程序並複製 客戶端ID。
6. 文檔：Okta設備授權授予指南

方法2：私鑰JWT（無瀏覽器）

1. 創建應用：在你的Okta組織中，創建一個 新的應用集成。選擇 API服務。保存應用並複製 客戶端ID。
2. 配置客戶端認證：
   • 在應用的 常規 選項卡上，找到 客戶端憑證 部分並點擊 編輯。
   • 禁用 在令牌請求中要求證明擁有權（DPoP）標頭。
   • 選擇 公鑰/私鑰 作為認證方法。
3. 添加公鑰：你有兩種添加密鑰的選項。
   • 選項A：在Okta中生成密鑰（推薦）
     1. 在 公鑰 部分，點擊 添加密鑰。
     2. 在對話框中，選擇 生成新密鑰。
     3. Okta將立即生成一個密鑰對。下載或保存私鑰 (private.pem) 並安全存儲。
     4. 複製新生成密鑰顯示的 密鑰ID（KID）。
   • 選項B：使用你自己的密鑰
     1. 使用以下 openssl 命令在本地生成一個密鑰對：

# 生成一個2048位的RSA私鑰
openssl genpkey -algorithm RSA -out private.pem -pkeyopt rsa_keygen_bits:2048

# 從私鑰中提取公鑰
openssl rsa -in private.pem -pubout -out public.pem

    2. 點擊 **添加密鑰** 並將你的 **公鑰** (`public.pem`) 內容粘貼到對話框中。
    3. 複製你添加的密鑰顯示的 **密鑰ID（KID）**。

4. 授予API作用域：轉到 Okta API作用域 選項卡並 授予 你需要的API權限。
5. 分配管理員角色：為避免 403 Forbidden 錯誤，轉到 管理員角色 選項卡並將 超級管理員 角色分配給此應用程序。

驗證集成

重新啟動你的MCP客戶端（Claude Desktop、VS Code等），並讓它幫助你管理你的Okta租戶：

顯示我Okta組織中的用戶

📦 支持的工具

Okta MCP服務器提供以下工具，供大語言模型與你的Okta租戶進行交互：

用戶

組

應用程序

策略

日誌

🔐 身份驗證

Okta MCP服務器使用Okta管理API，需要進行身份驗證才能訪問你的Okta租戶。

身份驗證流程

服務器使用OAuth 2.0設備授權流程與Okta進行安全認證，或使用私鑰JWT進行無瀏覽器認證。你的憑證將被安全管理，不會以明文形式暴露。

初始設置

MCP服務器將根據你的配置自動啟動適當的身份驗證流程：

• 設備授權授予：基於交互式瀏覽器的認證
• 私鑰JWT：使用客戶端憑證的無瀏覽器認證

⚠️ 重要提示

設備授權流程不支持 私有云 租戶。私有云用戶應使用帶有客戶端憑證的私鑰JWT認證。

⚠️ 重要提示

使用MCP服務器將根據你的訂閱計劃消耗管理API速率限制。有關更多信息，請參閱 速率限制策略。

🩺 故障排除

當遇到Okta MCP服務器的問題時，可以使用以下幾種故障排除選項來幫助診斷和解決問題。

🐞 調試模式

啟用調試模式以獲取更詳細的日誌：

export OKTA_LOG_LEVEL=DEBUG

💡 使用建議

調試模式在排查連接或認證問題時特別有用。

🚨 常見問題

1. 認證失敗
   • 確保你在Okta租戶中擁有正確的權限。
   • 驗證你的 OKTA_ORG_URL、OKTA_CLIENT_ID 和 OKTA_SCOPES 是否正確。
   • 檢查你的應用程序是否已授予必要的API作用域。
2. MCP客戶端無法連接到服務器
   • 安裝後重新啟動你的MCP客戶端。
   • 驗證配置中的服務器路徑是否正確。
   • 檢查 uv 是否已安裝並可在你的PATH中訪問。
3. API錯誤或權限問題
   • 使用 export OKTA_LOG_LEVEL=DEBUG 啟用調試模式。
   • 驗證你的Okta應用程序是否具有所需的作用域。
   • 確保你的應用程序已分配適當的管理員角色。
   • 檢查Okta系統日誌以獲取詳細的錯誤信息。
4. “Claude的響應被中斷...” 錯誤
   • 這通常是因為Claude達到了其上下文長度限制。
   • 嘗試更具體並保持查詢簡潔。
   • 將大型請求拆分為更小、更有針對性的操作。

💡 使用建議

大多數連接問題可以通過重新啟動服務器和MCP客戶端來解決。

📋 調試日誌

啟用調試模式以查看詳細日誌：

export OKTA_LOG_LEVEL=DEBUG

你還可以指定日誌文件：

export OKTA_LOG_FILE="/path/to/okta-mcp.log"

👨‍💻 開發

從源代碼構建

# 克隆倉庫
git clone https://github.com/okta/okta-mcp-server.git
cd okta-mcp-server

# 安裝依賴
uv sync

# 直接運行服務器
uv run okta-mcp-server

開發腳本

# 啟用調試日誌運行
OKTA_LOG_LEVEL=DEBUG uv run okta-mcp-server

# 運行測試
uv run pytest

# 以開發模式安裝
uv pip install -e .

⚠️ 重要提示

此服務器需要 Python 3.8或更高版本 和 uv。

🔒 安全

Okta MCP服務器非常重視安全：

• 通過安全的認證流程管理憑證。
• 不將敏感信息以明文形式存儲。
• 使用OAuth 2.0設備授權流程或私鑰JWT進行認證。
• 支持細粒度的API作用域權限。
• 通過環境變量輕鬆管理憑證。

⚠️ 重要提示

為了遵循安全最佳實踐，請始終在認證過程中審查請求的權限，以確保它們符合你的安全要求。

⚠️ 重要提示

在為你的Okta應用程序授予API作用域時，請始終遵循最小權限原則。

🧪 安全掃描

我們建議定期使用社區工具對該服務器以及你部署的任何其他MCP兼容服務器進行掃描，以發現協議級別的風險和配置錯誤。

這些掃描器有助於識別關鍵漏洞類別中的問題，包括：服務器實現錯誤、工具定義和生命週期風險、交互和數據流弱點以及配置或環境差距。

如果你發現了漏洞，請遵循我們的 負責任披露流程。

💬 反饋和貢獻

我們感謝你對這個項目的反饋和貢獻！在開始之前，請查看：

• Okta的一般貢獻指南

報告問題

要提供反饋或報告錯誤，請 在我們的問題跟蹤器上提出問題。

漏洞報告

請不要在公共GitHub問題跟蹤器上報告安全漏洞。請遵循 負責任披露流程。

📄 許可證

本項目採用Apache 2.0許可證。有關更多信息，請參閱 LICENSE 文件。

什麼是Okta？

Okta是領先的獨立身份驗證提供商。要了解更多信息，請查看 為什麼選擇Okta？

Copyright © 2025-Present, Okta, Inc.

根據Apache許可證，版本2.0（“許可證”）許可；除非符合許可證的規定，否則不得使用此文件。你可以在http://www.apache.org/licenses/LICENSE-2.0獲得許可證的副本。除非適用法律要求或書面同意，否則根據許可證分發的軟件按“原樣”分發，不附帶任何形式的明示或暗示保證。請參閱許可證以瞭解管理權限和限制的具體語言。