| System |
Dane w brokerze opisujące, jak zdobyć poświadczenie do produktu (GitLab, Jira itd.): adapter, adres bazowy, obsługiwane typy poświadczeń. Dodawany w portalu w Administracja, Systemy. |
| Serwer |
Serwer MCP: program udostępniający narzędzia. Jego manifest wskazuje system. Dodawany w portalu w Administracja, Serwery, po adresie. |
| Manifest |
Opis, który serwer publikuje pod /.well-known/mcp-manifest: nazwa, system, polityki, deklaracje typów zasobów i definicje narzędzi. Gateway go pobiera. |
| Adapter |
Część brokera poświadczeń, która wie, jak zdobyć poświadczenie do danego rodzaju produktu. Adaptery: atlassian-dc (Jira, Confluence), gitlab, opensearch, generic-rest. Nie mylić z serwerem generic REST adapter. |
| Serwer adapter |
Serwer MCP mcp-server-adapter, który zamienia API REST w narzędzia. |
| Połączenie (użytkownika) |
Poświadczenie użytkownika do jednego systemu, zapisane w OpenBao przez stronę portalu “Połączenia z systemami”. |
| Połączenie (serwera) |
Adres i certyfikat TLS serwera widziane przez gateway. Administrator zatwierdza je przed politykami i narzędziami. |
| Typ poświadczenia |
Sposób, w jaki poświadczenie trafia do systemu. Cztery typy w kolejnych czterech wierszach. |
user-secret |
Użytkownik wkleja w portalu osobisty token dostępu. Używany przez Jirę, Confluence, GitLaba i generic-rest. |
user-oauth |
Użytkownik loguje się do systemu przez OAuth w portalu. Używany przez GitLaba. |
token-exchange |
Platforma wymienia token Keycloaka użytkownika na token do systemu. Używany przez OpenSearch. Użytkownik nic nie łączy. |
service-account |
Platforma używa klucza, który sama trzyma, wspólnego dla wszystkich użytkowników. Klucz leży w OpenBao KV pod secret/mcp/service-accounts/<system>, wpisany przez operatora poleceniem bao kv put. Używany przez generic-rest. |
| Zatwierdzenie (approval) |
Akceptacja administratora dla tego, co zgłasza serwer: najpierw połączenie, potem polityki, potem każda definicja narzędzia. Zmiana po zatwierdzeniu znów czeka; do zatwierdzenia narzędzia są ukryte i odrzucane. |
| Scope mapping |
Dokument przypisujący grupy z Keycloaka do zakresów zasobów (na przykład grupa GitLaba). Edytowany w portalu w Administracja, Scope mapping. |
| Polityka |
Reguła Cedar, którą gateway ocenia przy każdym wywołaniu. Serwery niosą swoje polityki w manifeście. |
| Override |
Pojedyncza polityka forbid w Cedar dodana w portalu, blokująca wywołania dla wszystkich serwerów albo jednego. Dodanie nie wymaga drugiego składnika. |
| Kill switch |
Wyłącznik awaryjny odcinający jeden serwer albo jedno narzędzie dla wszystkich, skuteczny na każdym gateway w ciągu 5 sekund. Wyłączenie nie wymaga drugiego składnika; zdjęcie wymaga świeżego. |
| Step-up |
Świeże logowanie z OTP (w ciągu 5 minut), którego platforma wymaga przy wrażliwych operacjach administracyjnych, takich jak zatwierdzenie polityk albo zdjęcie kill switcha. |
| Kod potwierdzenia |
6-cyfrowy kod z aplikacji authenticator użytkownika, który potwierdza destrukcyjne wywołanie narzędzia. Gateway wstrzymuje wywołanie na 120 sekund. |
| Authenticator |
Rejestracja TOTP użytkownika w brokerze, osobna od OTP w Keycloaku. Blokuje się po 5 błędnych kodach. |
| Fingerprint (odcisk) |
Skrót SHA-256 certyfikatu TLS serwera. Gateway go przypina, chyba że certyfikat łączy się z zaufanym CA; administrator porównuje go przy zatwierdzaniu połączenia. |
| Gateway |
Jedyny adres MCP, który waliduje, autoryzuje, przekazuje i audytuje wywołania. |
| Credential broker |
Komponent przechowujący poświadczenia użytkowników w OpenBao i wydający je gateway. |
| Portal |
Interfejs WWW dla użytkowników i administratorów. |
| Keycloak |
Dostawca tożsamości, realm mcp. |
| OpenBao |
Magazyn sekretów za brokerem. |
mcp-platform-admin |
Grupa Keycloaka administratorów platformy. |
| Zdarzenie audytu |
Zapis, który gateway tworzy dla każdego wywołania i każdej decyzji. |
