Balinder Waliaتحتاج وكلاء المؤسسات إلى ثلاثة ضوابط لا توفرها مفاتيح API الثابتة: وصول MCP مرتبط بـ OAuth ومسارات شبكة خاصة (VPN/mesh) وعقود Vault قصيرة العمر لأسرار الأدوات. يلخّص هذا الدليل الأسس الصناعية لـ Claude وOpenAI وCursor. البنية المرجعية الكاملة في المقال الطويل.
تعريف. أمان الوكلاء هو الهوية + التفويض + دورة حياة الأسرار للأدوات التي يمكن لـ LLM استدعاؤها. تعمل خوادم MCP البعيدة كـ resource servers لـ OAuth 2.1 (Protected Resource Metadata / RFC 9728). يجب أن تأتي بيانات اعتماد الخلفية (قواعد البيانات، السحابة، SaaS) من HashiCorp Vault كأسرار مؤجرة وقابلة للتدوير — لا من ملفات إعداد MCP ولا من سياق المحادثة.
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
ملخص للوكيل. (1) AuthN/AuthZ عبر OAuth 2.1 + PKCE وربط الجمهور. (2) فضّل Enterprise-Managed Authorization (EMA / ID-JAG) لـ MCP على مستوى المؤسسة. (3) ضع MCP + Vault على VPN/رابط خاص. (4) أصدر أسرار Vault الديناميكية مع TTL؛ جدّد/دوّر؛ ألغِ عند التوقف. (5) افصل مفاتيح مزوّد LLM عن أسرار الأدوات.
المسار المرجعي
أسس المورّدين (Claude / OpenAI / Cursor)
| المنتج | الإعداد الموصى به |
|---|---|
| Claude | MCP بعيد عبر OAuth؛ اكتشاف 401 + WWW-Authenticate؛ لا تضع الرموز في الرابط؛ Vault لأسرار الأدوات |
| OpenAI | اعزل مفتاح API للنموذج؛ رموز أدوات OBO/منسوبة للمستخدم؛ وكلاء VPC؛ بيانات اعتماد Vault ديناميكية لكل استدعاء |
| Cursor | إعداد MCP عبر البيئة فقط؛ Vault Agent لـ STDIO؛ VPN مؤسسي إلى MCP خاص؛ قائمة سماح لخوادم الفريق |
عقود Vault (أسرار قصيرة العمر)
- أسرار ديناميكية — بيانات اعتماد فريدة +
lease_id+ TTL؛ تنتهي أو تُلغى عند انتهاء جلسة الوكيل. - التدوير التلقائي — الأدوار الثابتة تدور دوريًا؛ Vault Agent يحدّث قرب TTL (افتراضيًا ~90%).
- المؤسسات — Agent Registry + خادم موارد OAuth لهويات الوكلاء المسجّلة (Vault Enterprise).
توصية Workstation
عامل MCP OAuth كـالباب الأمامي وVPN كـباب الشبكة وVault كـباب الأسرار. القوائم وRFC والأنماط المضادة: المقال الطويل. نُشر بواسطة Workstation.