Model Context Protocol 企业级管理授权发布

Model Context Protocol (MCP) 已发布稳定的企业级管理授权 (EMA) 扩展。此次更新允许组织通过受信任的身份提供商 (IdP) 集中管理 MCP 服务器的授权，使用户能够通过单次登录访问所有已授权的 MCP 服务器，而无需针对每个服务器进行 OAuth 提示。

通过身份提供商进行集中授权

企业级管理授权将 MCP 服务器访问的权威决策权从个人用户转移到了组织的身份提供商 (IdP)。这消除了逐用户授权带来的摩擦，此前员工必须手动逐个连接每个服务。

关键改进包括：

  • 零接触设置： 用户在首次登录时，将根据其现有的组员身份和角色自动连接到已授权的 MCP 服务器。
  • 统一策略执行： 安全团队可以在所有连接器中执行一致的访问策略并维护中央审计日志，而不是依赖于个人用户授权。
  • 企业身份要求： 该扩展通过移除交互式账户选择步骤，防止了个人账户与企业账户的混用，确保数据仅通过企业身份进行流转。

技术实现：ID-JAG 与 OAuth 流程

EMA 利用 Identity Assertion JWT Authorization Grant (ID-JAG) 来简化身份验证流程。在单点登录 (SSO) 期间，客户端从 IdP 获取 ID-JAG，并将其交换为来自 MCP 服务器授权服务器的访问令牌。

该机制确保用户永远不会被重定向到逐服务器的同意屏幕，从而实现了从身份验证到工具访问的无缝过渡。

生态系统采用与支持

多家主要的身份提供商、客户端和服务器已采用 EMA 扩展，以提高企业扩展性和安全性：

身份提供商

  • Okta： 首个支持的 IdP，利用 Okta 的 Cross App Access (XAA) 来配置 MCP 访问权限。

客户端

  • Anthropic： 已在其为 Claude、Claude Code 和 Cowork 提供的共享 MCP 层中实现了 EMA。
  • Visual Studio Code： 已在 IDE 预览版中增加了对 EMA 的支持。

服务器

  • 支持的服务器： Asana、Atlassian、Canva、Figma、Granola、Linear 和 Supabase 目前支持 EMA，Slack 也正在增加支持。

实现资源

寻求实现 EMA 的开发人员和组织可以访问以下资源：

Sources