Okta管理协议服务器

MCP（模型上下文协议） 是Anthropic引入的一种开放协议，它规范了大型语言模型如何与外部工具、资源或远程服务进行通信。

[！小心] Beta软件通知：此软件目前处于测试阶段，按原样提供，不提供任何保证。

• 特性、API和功能可能随时更改，恕不另行通知
• 不建议用于生产或关键工作负载
• 测试期间的支持有限
• 问题和反馈可以通过以下方式报告 GitHub问题跟踪器

使用此测试版软件即表示您承认并接受这些条件。

Okta MCP Server与LLM和AI代理集成，允许您使用自然语言执行各种Okta管理操作。例如，您可以简单地让Claude Desktop执行Okta管理操作：

• 创建新用户并将其添加到工程组

• 显示过去24小时内所有失败的登录尝试

• 列出过去一个月内未使用的所有应用程序

授权您的法学硕士代理人管理您的Okta组织

此服务器是 模型上下文协议 该服务器提供与Okta的管理API的无缝集成。它允许LLM代理以编程方式与Okta交互，实现自动化和增强的管理功能。

主要特点

• LLM驱动的Okta管理： 允许您的LLM代理根据自然语言指令在Okta环境中执行管理任务。
• 安全身份验证： 支持交互式使用的设备授权授予和用于安全、自动化服务器到服务器通信的私钥JWT。
• 与Okta管理API集成： 利用官方Okta API确保与您的Okta组织进行安全可靠的交互。
• 可扩展架构： 设计为使用新功能轻松扩展，并支持额外的Okta API端点。
• 全面的工具支持： 用户、组、应用程序、策略等的完整CRUD操作。

此MCP服务器利用 Okta的Python SDK 与Okta API通信，确保强大且支持良好的集成。

🚀 入门指南

先决条件：

• Python 3.8+
• 紫外线 包管理器
• 克劳德桌面 或任何其他 MCP客户端
• 八月 具有适当权限的帐户

安装Okta MCP服务器

安装Okta MCP服务器并将其配置为与您首选的MCP客户端一起工作。

带所有工具的Claude桌面

1. 克隆并安装服务器：

   复制

   git clone https://github.com/okta/okta-mcp-server.git
   cd okta-mcp-server
   uv sync
   

2. 通过将以下内容添加到您的 claude_desktop_config.json:

   复制

   {
     "mcpServers": {
       "okta-mcp-server": {
         "command": "uv",
         "args": [
           "run",
           "--directory",
           "/path/to/okta-mcp-server",
           "okta-mcp-server"
         ],
         "env": {
           "OKTA_ORG_URL": "<OKTA_ORG_URL>",
           "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
           "OKTA_SCOPES": "<OKTA_SCOPES>",
           "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
           "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
         }
       }
     }
   }
   

VS代码

将以下内容添加到您的VS代码中 settings.json:

{
  "mcp": {
    "inputs": [
      {
        "type": "promptString",
        "description": "Okta Organization URL (e.g., https://dev-123456.okta.com)",
        "id": "OKTA_ORG_URL"
      },
      {
        "type": "promptString",
        "description": "Okta Client ID",
        "id": "OKTA_CLIENT_ID",
        "password": true
      },
      {
        "type": "promptString",
        "description": "Okta Scopes (separated by whitespace, e.g., 'okta.users.read okta.groups.manage')",
        "id": "OKTA_SCOPES"
      },
      {
        "type": "promptString",
        "description": "Okta Private Key. Required for 'browserless' auth.",
        "id": "OKTA_PRIVATE_KEY",
        "password": true
      },
      {
        "type": "promptString",
        "description": "Okta Key ID (KID) for the private key. Required for 'browserless' auth.",
        "id": "OKTA_KEY_ID",
        "password": true
      }
    ],
    "servers": {
      "okta-mcp-server": {
        "command": "uv",
        "args": [
          "run",
          "--directory",
          "/path/to/the/okta-mcp-server",
          "okta-mcp-server"
        ],
        "env": {
          "OKTA_ORG_URL": "${input:OKTA_ORG_URL}",
          "OKTA_CLIENT_ID": "${input:OKTA_CLIENT_ID}",
          "OKTA_SCOPES": "${input:OKTA_SCOPES}",
          "OKTA_PRIVATE_KEY": "${input:OKTA_PRIVATE_KEY}",
          "OKTA_KEY_ID": "${input:OKTA_KEY_ID}"
        }
      }
    }
  }
}

其他MCP客户端

要将Okta MCP Server与任何其他MCP客户端一起使用，您可以手动将此配置添加到客户端，然后重新启动以使更改生效：

{
  "mcpServers": {
    "okta-mcp-server": {
      "command": "uv",
      "args": [
        "run",
        "--directory",
        "/path/to/okta-mcp-server",
        "okta-mcp-server"
      ],
      "env": {
        "OKTA_ORG_URL": "<OKTA_ORG_URL>",
        "OKTA_CLIENT_ID": "<OKTA_CLIENT_ID>",
        "OKTA_SCOPES": "<OKTA_SCOPES>",
        "OKTA_PRIVATE_KEY": "<PRIVATE_KEY_IF_NEEDED>",
        "OKTA_KEY_ID": "<KEY_ID_IF_NEEDED>"
      }
    }
  }
}

与Okta进行身份验证

服务器支持两种身份验证方法。选择最适合您用例的一个。

方法1：设备授权授予（交互式）

1. 在你的Okta组织中，创建一个 新应用程序集成.
2. 选择 OIDC-OpenID连接 和 本机应用程序.
3. 在...之下 资助类型，确保 设备授权 已检查。
4. 转到Okta API Scopes选项卡并授予所需API的权限（例如，Okta.users.read、Okta.groups.manage）。
5. 保存应用程序并复制 客户端ID.
6. 文档： Okta设备授权授予指南

方法2：私钥JWT（无浏览器）

1. 创建应用程序： 在你的Okta组织中，创建一个 新应用程序集成。选择 API 服务.保存应用程序并复制 客户端ID.
2. 配置客户端身份验证：
   • 在应用程序上 将军 选项卡，查找 客户端凭据 部分并单击 编辑.
   • 禁用 要求在令牌请求中演示占有证明（DPoP）标头.
   • 选择 公钥/私钥 对于身份验证方法。
3. 添加公钥： 添加密钥有两个选项。
   • 选项A：在Okta中生成密钥（推荐）
     1. 在 公钥 部分，单击 添加密钥.
     2. 在对话框中，选择 生成新密钥.
     3. Okta将立即生成密钥对。 下载或保存私钥 (private.pem)并安全地储存。
     4. 复制 密钥ID（KID） 为新生成的密钥显示。
   • 选项B：使用自己的密钥
     1. 使用以下方法在本地生成密钥对 openssl 命令：
        复制

        # Generate a 2048-bit RSA private key
        openssl genpkey -algorithm RSA -out private.pem -pkeyopt rsa_keygen_bits:2048
        
        # Extract the public key from the private key
        openssl rsa -in private.pem -pubout -out public.pem
        

     2. 点击 添加密钥 并粘贴您的内容 公钥 (public.pem)进入对话。
     3. 复制 密钥ID（KID） 显示您添加的密钥。
4. 授予API范围： 去 Okta API范围 选项卡和 授予 您需要的API的权限。
5. 分配管理员角色： 以避免 403 Forbidden 错误，请转到 管理员角色 选项卡并分配 超级管理员 此应用程序的角色。

验证您的集成

重新启动MCP客户端（Claude Desktop、VS Code等），并让它帮助您管理Okta租户：

显示我Okta组织中的用户

🛠️ 支持的工具

Okta MCP服务器为LLM提供了以下工具，以便与Okta租户进行交互：

用户

群组

应用程序

政策

日志

🔐 认证

Okta MCP服务器使用Okta Management API，需要身份验证才能访问您的Okta租户。

身份验证流程

服务器使用OAuth 2.0设备授权流与Okta进行安全身份验证，或使用私钥JWT进行无浏览器身份验证。您的凭据得到安全管理，永远不会以纯文本形式公开。

初始设置

MCP服务器将根据您的配置自动启动适当的身份验证流程：

• 设备授权授予：基于浏览器的交互式身份验证
• 私钥JWT：使用客户端凭据的无浏览器身份验证

[！注意] 不支持设备授权流 私有云 租户。私有云用户应使用带有客户端凭据的私钥JWT身份验证。

[！重要] 根据您的订阅计划，使用MCP服务器将消耗Management API费率限制。请参阅 利率限制政策 了解更多信息。

🩺 故障排除

当遇到Okta MCP服务器的问题时，有几个故障排除选项可用于帮助诊断和解决问题。

🐞 调试模式

启用调试模式以进行更详细的日志记录：

export OKTA_LOG_LEVEL=DEBUG

[！提示] 调试模式在解决连接或身份验证问题时特别有用。

🚨 常见问题

1. 身份验证失败

   • 确保您在Okta租户中拥有正确的权限
   • 验证您的 OKTA_ORG_URL, OKTA_CLIENT_ID，以及 OKTA_SCOPES 是正确的
   • 检查您的应用程序是否已授予必要的API作用域

2. MCP客户端无法连接到服务器

   • 安装后重新启动MCP客户端
   • 验证配置中的服务器路径是否正确
   • 检查一下 uv 已安装并可在PATH中访问

3. API错误或权限问题

   • 启用调试模式 export OKTA_LOG_LEVEL=DEBUG
   • 验证您的Okta应用程序是否具有所需的作用域
   • 确保您的应用程序分配了适当的管理员角色
   • 检查Okta系统日志以获取详细的错误信息

4. “克劳德的响应被中断…”错误

   • 这通常发生在Claude达到上下文长度限制时
   • 尽量更具体，保持查询简洁
   • 将大型请求分解为更小、更集中的操作

[！提示] 大多数连接问题都可以通过重新启动服务器和MCP客户端来解决。

📋 除错记录

启用调试模式以查看详细日志：

export OKTA_LOG_LEVEL=DEBUG

您还可以指定日志文件：

export OKTA_LOG_FILE="/path/to/okta-mcp.log"

👨‍💻 发展

从源头构建

# Clone the repository
git clone https://github.com/okta/okta-mcp-server.git
cd okta-mcp-server

# Install dependencies
uv sync

# Run the server directly
uv run okta-mcp-server

开发脚本

# Run with debug logs enabled
OKTA_LOG_LEVEL=DEBUG uv run okta-mcp-server

# Run tests
uv run pytest

# Install in development mode
uv pip install -e .

[！注意] 此服务器需要 Python 3.8或更高版本 和 紫外线.

🔒 安全

Okta MCP服务器优先考虑安全性：

• 凭据通过安全的身份验证流进行管理
• 没有敏感信息以纯文本形式存储
• 身份验证使用OAuth 2.0设备授权流或私钥JWT
• 支持细粒度的API范围权限
• 通过环境变量轻松管理凭据

[！重要] 对于安全最佳实践，请始终查看身份验证过程中请求的权限，以确保它们符合您的安全要求。

[！小心] 向您的Okta应用程序授予API作用域时，请始终使用最小权限原则。

🧪 安全扫描

我们建议使用内置的社区工具定期扫描此服务器以及您部署的任何其他MCP兼容服务器，以发现协议级风险和配置错误。

这些扫描程序有助于识别关键漏洞类别中的问题，包括：服务器实现错误、工具定义和生命周期风险、交互和数据流弱点，以及配置或环境差距。

如果您发现漏洞，请按照我们的 负责任的披露过程.

💬 反馈和贡献

我们感谢对这个项目的反馈和贡献！在开始之前，请参阅：

• Okta的一般贡献指南

报告问题

要提供反馈或报告错误，请 在我们的问题跟踪器上提出问题.

漏洞报告

请不要在公共GitHub问题跟踪器上报告安全漏洞。请遵循 负责任的披露过程.

📄 许可证

此项目根据Apache 2.0许可证获得许可。请参阅 许可证 文件以获取更多信息。

Okta是什么？

Okta is the leading independent identity provider. To learn more checkout Why Okta?

版权所有©2025-Present，Okta，股份有限公司。

根据Apache许可证2.0版（“许可证”）许可；除非遵守许可证，否则您不得使用此文件。您可以在以下网址获得许可证副本http://www.apache.org/licenses/LICENSE-2.0.除非适用法律要求或书面同意，否则根据许可证分发的软件按“原样”分发，不附带任何明示或暗示的保证或条件。有关许可证下管理权限和限制的具体语言，请参阅许可证。