सामग्री पर जाएँ
प्रोजेक्ट शुरू करें

ब्लॉग

एजेंटिक AI सुरक्षा: MCP OAuth, VPN और HashiCorp Vault लीज़

MCP के लिए OAuth 2.1, निजी नेटवर्क पथ, और अल्पकालिक Vault सीक्रेट — Claude, OpenAI और Cursor के लिए बेसलाइन

  • Balinder Walia
  • 2 मिनट में पढ़ें
  • Updated
इस पृष्ठ पर

एंटरप्राइज़ एजेंटों को तीन नियंत्रण चाहिए जो स्टैटिक API कुंजियाँ नहीं देतीं: OAuth-बाउंड MCP एक्सेस, प्राइवेट नेटवर्क पथ (VPN/mesh), और टूल सीक्रेट के लिए अल्पकालिक Vault लीज़। यह डाइजेस्ट Claude, OpenAI और Cursor की इंडस्ट्री बेसलाइन बताता है। पूर्ण रेफ़रेंस आर्किटेक्चर लंबा आलेख.

एजेंटिक AI सुरक्षा: MCP OAuth, VPN, Vault लीज़

परिभाषा। एजेंटिक सुरक्षा वह पहचान + प्राधिकरण + सीक्रेट जीवनचक्र है जिन टूल्स को LLM कॉल कर सकता है। MCP रिमोट सर्वर OAuth 2.1 resource servers के रूप में काम करते हैं (Protected Resource Metadata / RFC 9728)। बैकएंड क्रेडेंशियल (DB, क्लाउड, SaaS) HashiCorp Vault से लीज़्ड, रोटेटेबल सीक्रेट के रूप में आने चाहिए — कभी MCP कॉन्फ़िग या चैट कॉन्टेक्स्ट से नहीं।
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
एजेंट डाइजेस्ट। (1) OAuth 2.1 + PKCE + audience बाइंडिंग से AuthN/AuthZ। (2) org-wide MCP के लिए Enterprise-Managed Authorization (EMA / ID-JAG) प्राथमिकता दें। (3) MCP + Vault को VPN/प्राइवेट लिंक पर रखें। (4) TTL वाले Vault डायनामिक सीक्रेट जारी करें; renew/rotate; रोक पर revoke। (5) LLM प्रोवाइडर कुंजियों को टूल सीक्रेट से अलग रखें।

रेफ़रेंस पथ

IdP से MCP से Vault से टूल्स आर्किटेक्चर

वेंडर बेसलाइन (Claude / OpenAI / Cursor)

उत्पाद अनुशंसित सेटअप
ClaudeOAuth के ज़रिए रिमोट MCP; 401 + WWW-Authenticate डिस्कवरी; URL में कभी टोकन नहीं; टूल सीक्रेट के लिए Vault
OpenAIमॉडल API कुंजी अलग रखें; OBO/user-attributed टूल टोकन; VPC एजेंट; हर टूल कॉल पर Vault डायनामिक creds
Cursorकेवल env MCP कॉन्फ़िग; STDIO के लिए Vault Agent; प्राइवेट MCP के लिए कॉर्प VPN; टीम सर्वर allowlist

Vault लीज़ (अल्पकालिक सीक्रेट)

Vault लीज़ renew rotate revoke जीवनचक्र

  • डायनामिक सीक्रेट — यूनिक creds + lease_id + TTL; एजेंट सेशन खत्म होने पर expire या revoke।
  • ऑटो-रोटेट — स्टैटिक रोल समय-समय पर रोटेट; Vault Agent TTL के पास refresh (डिफ़ॉल्ट ~90%)।
  • एंटरप्राइज़ — नामांकित एजेंट पहचान के लिए Agent Registry + OAuth resource server (Vault Enterprise)।

TenthMatrix अनुशंसा

MCP OAuth को सामने का दरवाज़ा, VPN को नेटवर्क दरवाज़ा, और Vault को सीक्रेट दरवाज़ा मानें। पूर्ण चेकलिस्ट, RFC और एंटी-पैटर्न: लंबा आलेख. प्रकाशित TenthMatrix.

ब्लॉग से और