Защита MCP-серверов

1. Выберите следующую кнопку, чтобы запустить Quickstart:

   

2. Выберите аккаунт, который содержит вашу организацию Zero Trust.

3. На Создать приложение странице настройте следующие поля:

   • Учётная запись Git: Выберите существующий аккаунт или подключите новый аккаунт GitHub или GitLab.
   • Создать приватный репозиторий Git: Выберите, должен ли репозиторий проекта быть публичным или приватным.
   • Название проекта: mcp-server-cf-access
   • Выберите KV namespace: Создать новое
   • Назовите KV namespace: OAUTH_KV

   Мы настроим ACCESS_CLIENT_ID и другие значения секретов на следующем шаге.

4. Выберите Создать и развернуть.

Сервер MCP будет развёрнут в вашем *.workers.dev поддомен на mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev. В вашем аккаунте GitHub или GitLab будет создан новый git-репозиторий для вашего MCP-сервера, настроенный на автоматическое развертывание в Cloudflare при каждом пуше изменений или слиянии pull request в основную ветку репозитория.

Вы можете использовать Wrangler CLI чтобы создать MCP-сервер на своём локальном компьютере и развернуть его в Cloudflare.

1. Откройте терминал и клонируйте наш пример проекта:

   npm create cloudflare@latest -- mcp-server-cf-access --template=cloudflare/ai/demos/remote-mcp-cf-access

   Во время настройки выберите следующие параметры: - Для Хотите добавить файл AGENTS.md, чтобы помочь AI-инструментам для написания кода понимать API Cloudflare?, выберите No. - Для Хотите использовать git для контроля версий?, выберите No. - Для Хотите развернуть приложение?, выберите No (мы внесём некоторые изменения перед развёртыванием).

2. Перейдите в каталог проекта:

   cd mcp-server-cf-access

3. Создайте Пространство имён Workers KV чтобы хранить ключ. Имя привязки должно быть OAUTH_KV если хотите выполнить пример в исходном виде.

   npx wrangler kv namespace create "OAUTH_KV"

   Команда выведет имя привязки и ID пространства имен KV:

   {
   	"kv_namespaces": [
   		{
   			"binding": "OAUTH_KV",
   			"id": "<YOUR_KV_NAMESPACE_ID>"
   		}
   	]
   }

4. Откройте wrangler.jsonc в редакторе и вставьте свой OAUTH_KV ID пространства имён:

   "kv_namespaces": [
   	{
   		"binding": "OAUTH_KV",
   		"id": "<YOUR_KV_NAMESPACE_ID>"
   	}
   ],

5. Теперь Worker можно развернуть в глобальной сети Cloudflare:

   npx wrangler deploy

Worker будет развернут в вашем *.workers.dev поддомен на mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev.

1. В Панель управления Cloudflare ↗, перейдите в Zero Trust > Контроль доступа > Приложения.

2. Выберите Создать новое приложение.

3. Выберите Приложение SaaS.

4. В Приложение, введите пользовательское имя (например, MCP server) и выберите текстовое поле, которое появится ниже.

5. Выберите OIDC в качестве протокола аутентификации.

6. Выберите Добавить приложение.

7. В URL-адреса перенаправления, введите URL-адрес обратного вызова авторизации для вашего MCP-сервера. URL-адрес обратного вызова для нашего пример MCP-сервера это https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback.

8. Скопируйте следующие значения для ввода в наш пример сервера MCP. Другим серверам MCP могут потребоваться другие наборы входных значений.

   • Секрет клиента
   • Client ID
   • Token endpoint
   • Конечная точка авторизации
   • Ключевая конечная точка

9. (Необязательно) В разделе Расширенные настройки, включите Токены обновления если хотите сократить количество входов пользователя у поставщика идентификации.

10. Настройте Политики доступа чтобы определить пользователей, которые могут получить доступ к MCP-серверу.

11. Настройте, как пользователи будут проходить аутентификацию:

    1. Выберите поставщики идентификации которые вы хотите включить для своего приложения.

    2. (Рекомендуется) Если вы планируете разрешить доступ только через один IdP, включите Применить мгновенную аутентификацию. Конечные пользователи не увидят Страница входа Cloudflare Access. Вместо этого Cloudflare будет перенаправлять пользователей напрямую на событие входа SSO.

    3. (Необязательно) Включите Аутентификация с помощью Cloudflare One Client чтобы разрешить пользователям аутентифицироваться в приложении с использованием Идентификатор сессии Cloudflare One Client.

12. Выберите Создание.

1. Сделайте POST запрос к Приложения Access конечная точка:

   Необходимые разрешения API-токена

   Хотя бы одно из следующих права доступа токена требуется:

   • Access: Apps and Policies Write
   Добавьте приложение Access

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "MCP server",
   		"type": "saas",
   		"saas_app": {
   				"auth_type": "oidc",
   				"redirect_uris": [
   						"https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback"
   				],
   				"grant_type": [
   						"authorization_code",
   						"refresh_tokens"
   				],
   				"refresh_token_options": {
   						"lifetime": "90d"
   				}
   		},
   		"policies": [
   				"f174e90a-fafe-4643-bbbc-4a0ed4fc8415"
   		],
   		"allowed_idps": []
   	}'

2. Скопируйте client_id и client_secret возвращённый в ответе.

3. Постройте URL-адреса конечных точек OAuth, используя ваш имя команды и client_id возвращённый в ответе:

   Конечная точка	URL
   Token endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/token
   Конечная точка авторизации	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/authorization
   Ключевая конечная точка	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/jwks

1. В Панель управления Cloudflare ↗, перейдите в Workers & Pages страницу.

   Перейдите в Workers & Pages ↗

2. Выберите mcp-server-cf-access Worker.

3. Перейдите в Настройки.

4. В разделе Переменные и секреты, обновите каждый секрет соответствующим значением, полученным из Приложение Access for SaaS.

   Секрет Workers	Поле SaaS app
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Секрет клиента
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Конечная точка авторизации
   ACCESS_JWKS_URL	Ключевая конечная точка

5. Для COOKIE_ENCRYPTION_KEY, вы можете использовать следующую команду, чтобы сгенерировать случайную строку:

   openssl rand -hex 32

   Введите вывод этой команды в COOKIE_ENCRYPTION_KEY.

1. Создайте следующее Секреты Workers:

   npx wrangler secret put ACCESS_CLIENT_ID
   npx wrangler secret put ACCESS_CLIENT_SECRET
   npx wrangler secret put ACCESS_TOKEN_URL
   npx wrangler secret put ACCESS_AUTHORIZATION_URL
   npx wrangler secret put ACCESS_JWKS_URL

2. Когда появится запрос на ввод секретного значения, вставьте соответствующие значения, полученные из Приложение Access for SaaS.

   Секрет Workers	Поле SaaS app
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Секрет клиента
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Конечная точка авторизации
   ACCESS_JWKS_URL	Ключевая конечная точка

3. Создайте случайную строку для ключа шифрования cookie:

   openssl rand -hex 32

   Сохраните вывод этой команды в секрете Workers:

   npx wrangler secret put COOKIE_ENCRYPTION_KEY