Zabezpečení serverů MCP

1. Vyberte následující tlačítko a spusťte tak rychlý úvodní postup:

   

2. Vyberte účet, který obsahuje vaši organizaci Zero Trust.

3. Na Vytvořit aplikaci stránce nakonfigurujte následující pole:

   • Účet Git: Vyberte existující účet nebo připojte nový účet GitHub či GitLab.
   • Vytvořit soukromé úložiště Git: Vyberte, zda má být repozitář projektu veřejný, nebo soukromý.
   • Název projektu: mcp-server-cf-access
   • Vyberte KV namespace: Vytvořit nové
   • Pojmenujte svůj KV namespace: OAUTH_KV

   Nakonfigurujeme ACCESS_CLIENT_ID a další tajné hodnoty v dalším kroku.

4. Vyberte Vytvořit a nasadit.

Server MCP bude nasazen do vašeho *.workers.dev subdoménu na mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev. Ve vašem účtu GitHub nebo GitLab se pro váš server MCP vytvoří nový git repozitář, který se nakonfiguruje tak, aby se automaticky nasazoval do Cloudflare při každém push změny nebo sloučení pull requestu do hlavní větve repozitáře.

Můžete použít Wrangler CLI vytvořit MCP server na svém místním počítači a nasadit ho do Cloudflare.

1. Otevřete terminál a naklonujte náš ukázkový projekt:

   npm create cloudflare@latest -- mcp-server-cf-access --template=cloudflare/ai/demos/remote-mcp-cf-access

   Během nastavení vyberte následující možnosti: - Pro Chcete přidat soubor AGENTS.md, který pomůže nástrojům pro AI programování pochopit rozhraní Cloudflare API?, vyberte No. - Pro Chcete používat git pro správu verzí?, vyberte No. - Pro Chcete nasadit svou aplikaci?, vyberte No (před nasazením provedeme ještě několik změn).

2. Přejděte do adresáře projektu:

   cd mcp-server-cf-access

3. Vytvořte Workers KV namespace k uložení klíče. Název vazby by měl být OAUTH_KV, pokud chcete spustit příklad tak, jak je napsaný.

   npx wrangler kv namespace create "OAUTH_KV"

   Příkaz vypíše název vazby a ID KV namespace:

   {
   	"kv_namespaces": [
   		{
   			"binding": "OAUTH_KV",
   			"id": "<YOUR_KV_NAMESPACE_ID>"
   		}
   	]
   }

4. Otevřete wrangler.jsonc v editoru a vložte svůj OAUTH_KV ID namespace:

   "kv_namespaces": [
   	{
   		"binding": "OAUTH_KV",
   		"id": "<YOUR_KV_NAMESPACE_ID>"
   	}
   ],

5. Nyní můžete Worker nasadit do globální sítě Cloudflare:

   npx wrangler deploy

Worker bude nasazen do vašeho *.workers.dev subdoménu na mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev.

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Řízení přístupu > Aplikace.

2. Vyberte Vytvořit novou aplikaci.

3. Vyberte Aplikace SaaS.

4. V Aplikace, zadejte vlastní název (například MCP server) a vyberte textové pole, které se zobrazí níže.

5. Vyberte OIDC jako autentizační protokol.

6. Vyberte Přidat aplikaci.

7. V Přesměrovací adresy URL, zadejte autorizační callback URL svého serveru MCP. Callback URL pro náš příklad serveru MCP je https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback.

8. Zkopírujte následující hodnoty pro zadání do našeho ukázkového serveru MCP. Jiné servery MCP mohou vyžadovat odlišné sady vstupních hodnot.

   • Client secret
   • Client ID
   • Token endpoint
   • Autorizační endpoint
   • Klíčový endpoint

9. (Volitelné) V části Pokročilá nastavení, zapněte Obnovovací tokeny, pokud chcete snížit počet přihlášení, které musí uživatel provést u poskytovatele identity.

10. Nakonfigurujte Zásady Access definovat uživatele, kteří mají přístup k serveru MCP.

11. Nakonfigurujte, jak se budou uživatelé ověřovat:

    1. Vyberte poskytovatelé identity chcete povolit pro svou aplikaci.

    2. (Doporučeno) Pokud plánujete povolit přístup pouze přes jednoho poskytovatele IdP, zapněte Použít okamžité ověřování. Koncovým uživatelům se nezobrazí Přihlašovací stránka Cloudflare Access. Cloudflare místo toho přesměruje uživatele přímo na vaše přihlášení přes SSO.

    3. (Volitelné) Zapněte Ověření pomocí Cloudflare One Client a umožněte uživatelům ověřit se v aplikaci pomocí jejich Identita relace Cloudflare One Client.

12. Vyberte Vytvořit.

1. Vytvořte POST požadavek na Aplikace Access koncový bod:

   Požadovaná oprávnění API tokenu

   Alespoň jeden z následujících oprávnění tokenu je povinné:

   • Access: Apps and Policies Write
   Přidejte aplikaci Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "MCP server",
   		"type": "saas",
   		"saas_app": {
   				"auth_type": "oidc",
   				"redirect_uris": [
   						"https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback"
   				],
   				"grant_type": [
   						"authorization_code",
   						"refresh_tokens"
   				],
   				"refresh_token_options": {
   						"lifetime": "90d"
   				}
   		},
   		"policies": [
   				"f174e90a-fafe-4643-bbbc-4a0ed4fc8415"
   		],
   		"allowed_idps": []
   	}'

2. Zkopírujte client_id a client_secret vrácená v odpovědi.

3. Sestavit URL adresy endpointu OAuth pomocí svých název týmu a client_id vrácená v odpovědi:

   Endpoint	URL
   Token endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/token
   Autorizační endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/authorization
   Klíčový endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/jwks

1. V Cloudflare dashboard ↗, přejděte do Workers & Pages stránce.

   Přejděte na Workers & Pages ↗

2. Vyberte mcp-server-cf-access Worker.

3. Přejděte na Nastavení.

4. V části Proměnné a tajné klíče, u každého tajného klíče aktualizujte hodnotu na odpovídající hodnotu získanou z Aplikace Access for SaaS.

   Workers secret	Pole aplikace SaaS
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Client secret
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Autorizační endpoint
   ACCESS_JWKS_URL	Klíčový endpoint

5. Pro COOKIE_ENCRYPTION_KEY, pomocí následujícího příkazu můžete vygenerovat náhodný řetězec:

   openssl rand -hex 32

   Zadejte výstup tohoto příkazu do COOKIE_ENCRYPTION_KEY.

1. Vytvořte následující Workers secrets:

   npx wrangler secret put ACCESS_CLIENT_ID
   npx wrangler secret put ACCESS_CLIENT_SECRET
   npx wrangler secret put ACCESS_TOKEN_URL
   npx wrangler secret put ACCESS_AUTHORIZATION_URL
   npx wrangler secret put ACCESS_JWKS_URL

2. Až budete vyzváni k zadání tajné hodnoty, vložte odpovídající hodnoty získané z Aplikace Access for SaaS.

   Workers secret	Pole aplikace SaaS
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Client secret
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Autorizační endpoint
   ACCESS_JWKS_URL	Klíčový endpoint

3. Vygenerujte náhodný řetězec pro šifrovací klíč cookie:

   openssl rand -hex 32

   Výstup tohoto příkazu uložte jako Workers secret:

   npx wrangler secret put COOKIE_ENCRYPTION_KEY