Balinder Walia
এন্টারপ্রাইজ এজেন্টের তিনটি নিয়ন্ত্রণ দরকার যা স্ট্যাটিক API কী দেয় না: OAuth-বাউন্ড MCP অ্যাক্সেস, প্রাইভেট নেটওয়ার্ক পথ (VPN/mesh) এবং টুল সিক্রেটের জন্য স্বল্পকালীন Vault লিজ। এই ডাইজেস্ট Claude, OpenAI ও Cursor-এর ইন্ডাস্ট্রি বেসলাইন ম্যাপ করে। পূর্ণ রেফারেন্স আর্কিটেকচার দীর্ঘ নিবন্ধ.
সংজ্ঞা। এজেন্টিক নিরাপত্তা হলো LLM যে টুল কল করতে পারে তার পরিচয় + অনুমোদন + সিক্রেট লাইফসাইকেল। MCP রিমোট সার্ভার OAuth 2.1 resource servers হিসেবে কাজ করে (Protected Resource Metadata / RFC 9728)। ব্যাকএন্ড ক্রেডেনশিয়াল (DB, ক্লাউড, SaaS) HashiCorp Vault থেকে লিজড, রোটেটেবল সিক্রেট হিসেবে আসা উচিত — কখনো MCP কনফিগ বা চ্যাট কনটেক্সট থেকে নয়।
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
এজেন্ট ডাইজেস্ট। (1) OAuth 2.1 + PKCE + audience বাইন্ডিং দিয়ে AuthN/AuthZ। (2) org-wide MCP-এর জন্য Enterprise-Managed Authorization (EMA / ID-JAG) পছন্দ করুন। (3) MCP + Vault VPN/প্রাইভেট লিঙ্কে রাখুন। (4) TTLসহ Vault ডায়নামিক সিক্রেট ইস্যু করুন; renew/rotate; থামলে revoke। (5) LLM প্রোভাইডার কী টুল সিক্রেট থেকে আলাদা রাখুন।
রেফারেন্স পথ
ভেন্ডর বেসলাইন (Claude / OpenAI / Cursor)
| পণ্য | সুপারিশকৃত সেটআপ |
|---|---|
| Claude | OAuth দিয়ে রিমোট MCP; 401 + WWW-Authenticate ডিসকভারি; URL-এ কখনো টোকেন নয়; টুল সিক্রেটের জন্য Vault |
| OpenAI | মডেল API কী আলাদা করুন; OBO/user-attributed টুল টোকেন; VPC এজেন্ট; প্রতি টুল কলে Vault ডায়নামিক creds |
| Cursor | শুধু env MCP কনফিগ; STDIO-এর জন্য Vault Agent; প্রাইভেট MCP-এ কর্প VPN; টিম সার্ভার allowlist |
Vault লিজ (স্বল্পকালীন সিক্রেট)
- ডায়নামিক সিক্রেট — ইউনিক creds +
lease_id+ TTL; এজেন্ট সেশন শেষে expire বা revoke। - অটো-রোটেট — স্ট্যাটিক রোল পর্যায়ক্রমে রোটেট; Vault Agent TTL-এর কাছাকাছি refresh (ডিফল্ট ~90%)।
- এন্টারপ্রাইজ — নিবন্ধিত এজেন্ট পরিচয়ের জন্য Agent Registry + OAuth resource server (Vault Enterprise)।
Workstation সুপারিশ
MCP OAuth-কে সামনের দরজা, VPN-কে নেটওয়ার্ক দরজা এবং Vault-কে সিক্রেট দরজা হিসেবে দেখুন। পূর্ণ চেকলিস্ট, RFC ও অ্যান্টি-প্যাটার্ন: দীর্ঘ নিবন্ধ. প্রকাশিত Workstation.