Balinder Waliaਐਂਟਰਪ੍ਰਾਈਜ਼ ਏਜੈਂਟਾਂ ਨੂੰ ਤਿੰਨ ਨਿਯੰਤਰਣ ਚਾਹੀਦੇ ਹਨ ਜੋ ਸਟੈਟਿਕ API ਕੁੰਜੀਆਂ ਨਹੀਂ ਦਿੰਦੀਆਂ: OAuth-ਬਾਊਂਡ MCP ਐਕਸੈਸ, ਪ੍ਰਾਈਵੇਟ ਨੈੱਟਵਰਕ ਪਾਥ (VPN/mesh), ਅਤੇ ਟੂਲ ਸੀਕ੍ਰੇਟ ਲਈ ਛੋਟੀ ਉਮਰ ਵਾਲੀਆਂ Vault ਲੀਜ਼। ਇਹ ਡਾਈਜੈਸਟ Claude, OpenAI ਅਤੇ Cursor ਲਈ ਉਦਯੋਗ ਬੇਸਲਾਈਨ ਦੱਸਦਾ ਹੈ। ਪੂਰੀ ਰੈਫਰੈਂਸ ਆਰਕੀਟੈਕਚਰ ਲੰਮਾ ਲੇਖ.
ਪਰਿਭਾਸ਼ਾ। ਏਜੈਂਟਿਕ ਸੁਰੱਖਿਆ ਉਹ ਪਛਾਣ + ਅਧਿਕਾਰ + ਸੀਕ੍ਰੇਟ ਜੀਵਨਚੱਕਰ ਹੈ ਜਿਨ੍ਹਾਂ ਟੂਲਾਂ ਨੂੰ LLM ਕਾਲ ਕਰ ਸਕਦਾ ਹੈ। MCP ਰਿਮੋਟ ਸਰਵਰ OAuth 2.1 resource servers ਵਜੋਂ ਕੰਮ ਕਰਦੇ ਹਨ (Protected Resource Metadata / RFC 9728)। ਬੈਕਐਂਡ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ (DB, ਕਲਾਉਡ, SaaS) HashiCorp Vault ਤੋਂ ਲੀਜ਼ਡ, ਰੋਟੇਟੇਬਲ ਸੀਕ੍ਰੇਟ ਵਜੋਂ ਆਉਣੇ ਚਾਹੀਦੇ ਹਨ — ਕਦੇ MCP ਕੌਨਫਿਗ ਜਾਂ ਚੈਟ ਕਾਂਟੈਕਸਟ ਤੋਂ ਨਹੀਂ।
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
ਏਜੈਂਟ ਡਾਈਜੈਸਟ। (1) OAuth 2.1 + PKCE + audience ਬਾਈਂਡਿੰਗ ਨਾਲ AuthN/AuthZ। (2) org-wide MCP ਲਈ Enterprise-Managed Authorization (EMA / ID-JAG) ਤਰਜੀਹ ਦਿਓ। (3) MCP + Vault ਨੂੰ VPN/ਪ੍ਰਾਈਵੇਟ ਲਿੰਕ ’ਤੇ ਰੱਖੋ। (4) TTL ਵਾਲੇ Vault ਡਾਇਨਾਮਿਕ ਸੀਕ੍ਰੇਟ ਜਾਰੀ ਕਰੋ; renew/rotate; ਰੋਕ ’ਤੇ revoke। (5) LLM ਪ੍ਰੋਵਾਈਡਰ ਕੁੰਜੀਆਂ ਨੂੰ ਟੂਲ ਸੀਕ੍ਰੇਟ ਤੋਂ ਅਲੱਗ ਰੱਖੋ।
ਰੈਫਰੈਂਸ ਪਾਥ
ਵੈਂਡਰ ਬੇਸਲਾਈਨ (Claude / OpenAI / Cursor)
| ਉਤਪਾਦ | ਸਿਫ਼ਾਰਸ਼ੀ ਸੈੱਟਅੱਪ |
|---|---|
| Claude | OAuth ਰਾਹੀਂ ਰਿਮੋਟ MCP; 401 + WWW-Authenticate ਡਿਸਕਵਰੀ; URL ਵਿੱਚ ਕਦੇ ਟੋਕਨ ਨਹੀਂ; ਟੂਲ ਸੀਕ੍ਰੇਟ ਲਈ Vault |
| OpenAI | ਮਾਡਲ API ਕੁੰਜੀ ਅਲੱਗ ਰੱਖੋ; OBO/user-attributed ਟੂਲ ਟੋਕਨ; VPC ਏਜੈਂਟ; ਹਰ ਟੂਲ ਕਾਲ ’ਤੇ Vault ਡਾਇਨਾਮਿਕ creds |
| Cursor | ਸਿਰਫ਼ env MCP ਕੌਨਫਿਗ; STDIO ਲਈ Vault Agent; ਪ੍ਰਾਈਵੇਟ MCP ਲਈ ਕਾਰਪ VPN; ਟੀਮ ਸਰਵਰ allowlist |
Vault ਲੀਜ਼ (ਛੋਟੀ ਉਮਰ ਵਾਲੇ ਸੀਕ੍ਰੇਟ)
- ਡਾਇਨਾਮਿਕ ਸੀਕ੍ਰੇਟ — ਯੂਨੀਕ creds +
lease_id+ TTL; ਏਜੈਂਟ ਸੈਸ਼ਨ ਖਤਮ ਹੋਣ ’ਤੇ expire ਜਾਂ revoke। - ਆਟੋ-ਰੋਟੇਟ — ਸਟੈਟਿਕ ਰੋਲ ਆਵਰਤੀ ਰੋਟੇਟ; Vault Agent TTL ਨੇੜੇ refresh (ਡਿਫ਼ਾਲਟ ~90%)।
- ਐਂਟਰਪ੍ਰਾਈਜ਼ — ਨਾਮਜ਼ਦ ਏਜੈਂਟ ਪਛਾਣ ਲਈ Agent Registry + OAuth resource server (Vault Enterprise)।
Workstation ਸਿਫ਼ਾਰਸ਼
MCP OAuth ਨੂੰ ਅੱਗੇ ਦਾ ਦਰਵਾਜ਼ਾ, VPN ਨੂੰ ਨੈੱਟਵਰਕ ਦਰਵਾਜ਼ਾ, ਅਤੇ Vault ਨੂੰ ਸੀਕ੍ਰੇਟ ਦਰਵਾਜ਼ਾ ਮੰਨੋ। ਪੂਰੀਆਂ ਚੈਕਲਿਸਟਾਂ, RFC ਅਤੇ ਐਂਟੀ-ਪੈਟਰਨ: ਲੰਮਾ ਲੇਖ. ਪ੍ਰਕਾਸ਼ਿਤ Workstation.