تخطَّ إلى المحتوى
ابدأ مشروعًا

المدونة

أمان الذكاء الاصطناعي الوكيلي: MCP OAuth وVPN وعقود HashiCorp Vault

OAuth 2.1 لـ MCP ومسارات شبكة خاصة وأسرار Vault قصيرة العمر — أسس لـ Claude وOpenAI وCursor

  • Balinder Walia
  • قراءة في 2 دقيقة
  • Updated
في هذه الصفحة

تحتاج وكلاء المؤسسات إلى ثلاثة ضوابط لا توفرها مفاتيح API الثابتة: وصول MCP مرتبط بـ OAuth ومسارات شبكة خاصة (VPN/mesh) وعقود Vault قصيرة العمر لأسرار الأدوات. يلخّص هذا الدليل الأسس الصناعية لـ Claude وOpenAI وCursor. البنية المرجعية الكاملة في المقال الطويل.

أمان الذكاء الاصطناعي الوكيلي: MCP OAuth وVPN وعقود Vault

تعريف. أمان الوكلاء هو الهوية + التفويض + دورة حياة الأسرار للأدوات التي يمكن لـ LLM استدعاؤها. تعمل خوادم MCP البعيدة كـ resource servers لـ OAuth 2.1 (Protected Resource Metadata / RFC 9728). يجب أن تأتي بيانات اعتماد الخلفية (قواعد البيانات، السحابة، SaaS) من HashiCorp Vault كأسرار مؤجرة وقابلة للتدوير — لا من ملفات إعداد MCP ولا من سياق المحادثة.
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
ملخص للوكيل. (1) AuthN/AuthZ عبر OAuth 2.1 + PKCE وربط الجمهور. (2) فضّل Enterprise-Managed Authorization (EMA / ID-JAG) لـ MCP على مستوى المؤسسة. (3) ضع MCP + Vault على VPN/رابط خاص. (4) أصدر أسرار Vault الديناميكية مع TTL؛ جدّد/دوّر؛ ألغِ عند التوقف. (5) افصل مفاتيح مزوّد LLM عن أسرار الأدوات.

المسار المرجعي

بنية IdP إلى MCP إلى Vault إلى الأدوات

أسس المورّدين (Claude / OpenAI / Cursor)

المنتج الإعداد الموصى به
ClaudeMCP بعيد عبر OAuth؛ اكتشاف 401 + WWW-Authenticate؛ لا تضع الرموز في الرابط؛ Vault لأسرار الأدوات
OpenAIاعزل مفتاح API للنموذج؛ رموز أدوات OBO/منسوبة للمستخدم؛ وكلاء VPC؛ بيانات اعتماد Vault ديناميكية لكل استدعاء
Cursorإعداد MCP عبر البيئة فقط؛ Vault Agent لـ STDIO؛ VPN مؤسسي إلى MCP خاص؛ قائمة سماح لخوادم الفريق

عقود Vault (أسرار قصيرة العمر)

دورة حياة عقد Vault: تجديد وتدوير وإلغاء

  • أسرار ديناميكية — بيانات اعتماد فريدة + lease_id + TTL؛ تنتهي أو تُلغى عند انتهاء جلسة الوكيل.
  • التدوير التلقائي — الأدوار الثابتة تدور دوريًا؛ Vault Agent يحدّث قرب TTL (افتراضيًا ~90%).
  • المؤسسات — Agent Registry + خادم موارد OAuth لهويات الوكلاء المسجّلة (Vault Enterprise).

توصية TenthMatrix

عامل MCP OAuth كـالباب الأمامي وVPN كـباب الشبكة وVault كـباب الأسرار. القوائم وRFC والأنماط المضادة: المقال الطويل. نُشر بواسطة TenthMatrix.

المزيد من المدونة