Model Context Protocol Enterprise-Managed Authorization 發佈

Model Context Protocol (MCP) 已發佈穩定的 Enterprise-Managed Authorization (EMA) 擴充功能。此更新允許組織透過受信任的身分識別提供者 (IdP) 集中管理 MCP 伺服器的授權，讓終端使用者能夠透過單次登入存取所有已授權的 MCP 伺服器，而無需針對每個伺服器進行 OAuth 提示。

透過身分識別提供者進行集中式授權

Enterprise-Managed Authorization 將 MCP 伺服器存取的權威決策權從個人使用者轉移到組織的身分識別提供者 (IdP)。這消除了逐一使用者授權的摩擦，過去員工必須手動個別連接每個服務。

關鍵改進包括：

  • Zero-Touch Setup： 使用者在首次登入時，會根據其現有的群組成員身份和角色，自動連接到已授權的 MCP 伺服器。
  • Unified Policy Enforcement： 安全團隊可以執行一致的存取策略，並在所有連接器中維護中央稽核軌跡，而不是依賴個別使用者的授權。
  • Corporate Identity Requirements： 該擴充功能透過移除互動式帳戶選擇步驟，防止個人帳戶與企業帳戶混用，確保數據僅透過企業身分流動。

技術實作：ID-JAG 與 OAuth 流程

EMA 利用 Identity Assertion JWT Authorization Grant (ID-JAG) 來簡化身分驗證流程。在單一登入 (SSO) 期間，用戶端會從 IdP 取得 ID-JAG，並將其交換為來自 MCP 伺服器授權伺服器的存取權杖 (access token)。

此機制確保使用者不會被重新導向至逐一伺服器的同意畫面，從身而驗證到工具存取之間建立無縫銜接。

生態系統採用與支援

數個主要的身分識別提供者、用戶端和伺服器已採用 EMA 擴充功能，以提升企業擴展性與安全性：

Identity Providers

  • Okta： 首個支援的 IdP，利用 Okta 的 Cross App Access (XAA) 來配置 MCP 存取權限。

Clients

  • Anthropic： 在其用於 Claude、Claude Code 和 Cowork 的共享 MCP 層中實作了 EMA。
  • Visual Studio Code： 在 IDE 預覽版中加入了對 EMA 的支援。

Servers

  • Supported Servers： Asana、Atlassian、Canva、Figma、Granola、Linear 和 Supabase 目前支援 EMA，Slack 也將加入支援。

實作資源

尋求實作 EMA 的開發者和組織可以存取以下資源：

Sources