مواد پر جائیں
پروجیکٹ شروع کریں

بلاگ

ایجینٹک AI سیکیورٹی: MCP OAuth، VPN اور HashiCorp Vault لیز

MCP کے لیے OAuth 2.1، نجی نیٹ ورک پاتھ، اور مختصر عمر کے Vault سیکرٹس — Claude، OpenAI اور Cursor کے لیے بیس لائنز

  • Balinder Walia
  • 2 منٹ کی پڑھائی
  • Updated
اس صفحے پر

انٹرپرائز ایجنٹس کو تین کنٹرولز چاہیے جو جامد API کیز نہیں دیتیں: OAuth سے بندھا MCP رسائی، نجی نیٹ ورک پاتھ (VPN/mesh)، اور ٹول سیکرٹس کے لیے مختصر عمر کی Vault لیز۔ یہ ڈائجسٹ Claude، OpenAI اور Cursor کی انڈسٹری بیس لائنز بتاتا ہے۔ مکمل ریفرنس آرکیٹیکچر تفصیلی مضمون.

ایجینٹک AI سیکیورٹی: MCP OAuth، VPN، Vault لیز

تعریف۔ ایجینٹک سیکیورٹی وہ شناخت + اجازت + سیکرٹ لائف سائیکل ہے جن ٹولز کو LLM کال کر سکتا ہے۔ MCP ریموٹ سرور OAuth 2.1 resource servers کے طور پر کام کرتے ہیں (Protected Resource Metadata / RFC 9728)۔ بیک اینڈ کریڈینشلز (DB، کلاؤڈ، SaaS) HashiCorp Vault سے لیزڈ، روٹیٹیبل سیکرٹس کے طور پر آنے چاہئیں — کبھی MCP کنفگ یا چیٹ کانٹیکسٹ سے نہیں۔
Related reading. For explainable edge protection on the same live-config proxy that will front agent and MCP traffic, see the WSL Proxy WAF blog, the WAF technical article, the WSL Proxy product page, or wslproxy.org · tour: youtu.be/r10XSonA5JE.
ایجنٹ ڈائجسٹ۔ (1) OAuth 2.1 + PKCE + audience بائنڈنگ سے AuthN/AuthZ۔ (2) org-wide MCP کے لیے Enterprise-Managed Authorization (EMA / ID-JAG) ترجیح دیں۔ (3) MCP + Vault کو VPN/پرائیویٹ لنک پر رکھیں۔ (4) TTL والی Vault ڈائنامک سیکرٹس جاری کریں؛ renew/rotate؛ بند پر revoke۔ (5) LLM فراہم کنندہ کیز کو ٹول سیکرٹس سے الگ رکھیں۔

ریفرنس پاتھ

IdP سے MCP سے Vault سے ٹولز آرکیٹیکچر

وینڈر بیس لائنز (Claude / OpenAI / Cursor)

پروڈکٹ تجویز کردہ سیٹ اپ
ClaudeOAuth کے ذریعے ریموٹ MCP؛ 401 + WWW-Authenticate دریافت؛ URL میں کبھی ٹوکن نہیں؛ ٹول سیکرٹس کے لیے Vault
OpenAIماڈل API کلید الگ رکھیں؛ OBO/user-attributed ٹول ٹوکنز؛ VPC ایجنٹس؛ ہر ٹول کال پر Vault ڈائنامک creds
Cursorصرف env MCP کنفگ؛ STDIO کے لیے Vault Agent؛ پرائیویٹ MCP کے لیے کارپ VPN؛ ٹیم سرور allowlist

Vault لیز (مختصر عمر کے سیکرٹس)

Vault لیز renew rotate revoke لائف سائیکل

  • ڈائنامک سیکرٹس — منفرد creds + lease_id + TTL؛ ایجنٹ سیشن ختم ہونے پر expire یا revoke۔
  • آٹو روٹیٹ — جامد رولز وقتاً فوقتاً روٹیٹ؛ Vault Agent TTL کے قریب refresh (ڈیفالٹ ~90%)۔
  • انٹرپرائز — اندراج شدہ ایجنٹ شناختوں کے لیے Agent Registry + OAuth resource server (Vault Enterprise)۔

TenthMatrix تجویز

MCP OAuth کو سامنے کا دروازہ، VPN کو نیٹ ورک دروازہ، اور Vault کو سیکرٹ دروازہ سمجھیں۔ مکمل چیک لسٹس، RFCs اور اینٹی پیٹرنز: تفصیلی مضمون. شائع کردہ TenthMatrix.

بلاگ سے مزید