OAuth-Einstellungen verwalten
OAuth-Einstellungen steuern den unternehmensweiten Zugriff auf den Braze-MCP-Server, legen fest, welche angepassten MCP-Client-Weiterleitungs-URIs eine Verbindung zu Braze herstellen dürfen, und ermöglichen es Ihnen, sämtliche MCP-OAuth-Token für Ihr Unternehmen zu widerrufen.
OAuth-Einstellungen gelten für Ihr gesamtes Unternehmen. Die den einzelnen Nutzer:innen zugewiesenen Berechtigungen bestimmen, auf welche Workspaces und Features sie über den MCP-Server zugreifen können.
Anforderungen
| Anforderung | Beschreibung |
|---|---|
| Berechtigung „Admin“ | Sie benötigen die unternehmensweite Berechtigung „Admin“, um OAuth-Einstellungen anzuzeigen, den MCP-OAuth-Zugriff ein- oder auszuschalten, Redirect-URIs zu verwalten oder MCP-OAuth-Token zu widerrufen. |
| Berechtigung „Use MCP Server“ | Nutzer:innen benötigen diese Berechtigung für jeden Workspace, auf den sie über den MCP-Server zugreifen möchten. Diese Berechtigung ist von der Berechtigung „Admin“ zur Verwaltung von OAuth-Einstellungen getrennt. |
Weitere Informationen zum Zuweisen von Berechtigungen finden Sie unter Nutzer:innenberechtigungen.
So funktioniert der OAuth-Zugriff
OAuth-Einstellungen und Nutzer:innenberechtigungen wirken zusammen:
- Die unternehmensweiten OAuth-Einstellungen legen fest, ob Nutzer:innen MCP-Clients mit Braze verbinden können.
- Die Berechtigung „Use MCP Server“ bestimmt, ob einzelne Nutzer:innen den MCP-Server in einem Workspace verwenden können.
- Die vorhandenen Dashboard-Berechtigungen der Nutzer:innen legen fest, auf welche Braze-Daten und -Features ein MCP-Client zugreifen kann.
- Eine OAuth-Verbindung kann nur auf die Workspaces zugreifen, für die die jeweiligen Nutzer:innen autorisiert sind.
Das Aktivieren des MCP-OAuth-Zugriffs gewährt Nutzer:innen keine neuen Workspace-Berechtigungen. Ebenso wird durch das Entfernen einer Dashboard-Berechtigung diese Funktion auch für den verbundenen MCP-Client der Nutzer:innen entfernt.
Unternehmens- und Workspace-Steuerung
Die OAuth-Richtlinie wird auf Unternehmensebene gespeichert. Workspace-Admins können MCP-OAuth-Zugriff oder den Status von Redirect-URIs nicht für einen einzelnen Workspace überschreiben.
| Steuerung | Konfigurationsort | Geltungsbereich |
|---|---|---|
| MCP-OAuth-Zugriff | Einstellungen > Administratoreinstellungen > OAuth | Gesamtes Unternehmen. Wenn dies deaktiviert ist, wird der MCP-OAuth-Zugriff in jedem Workspace verweigert. |
| Genehmigte Redirect-URIs | Einstellungen > Administratoreinstellungen > OAuth | Gesamtes Unternehmen. Genehmigte und blockierte URIs gelten für alle Workspaces. |
| MCP-OAuth-Token widerrufen | Einstellungen > Administratoreinstellungen > OAuth | Gesamtes Unternehmen. Der Widerruf gilt für jedes MCP-OAuth-Token in jedem Workspace. |
| Berechtigung „Use MCP Server“ | Einstellungen > Nutzer:innenverwaltung | Pro Workspace. Nutzer:innen benötigen diese Berechtigung in jedem Workspace, auf den sie über den MCP-Server zugreifen. |
Nur Nutzer:innen mit der Berechtigung „Admin“ können den MCP-OAuth-Zugriff ändern, den Status von Redirect-URIs ändern oder MCP-OAuth-Token widerrufen. Informationen dazu, wie Workspace-Berechtigungen mit diesen Unternehmenseinstellungen zusammenwirken, finden Sie unter OAuth und MCP-Zugriff.
MCP-OAuth-Zugriff ein- oder ausschalten
So aktualisieren Sie den MCP-OAuth-Zugriff für Ihr Unternehmen:
- Gehen Sie zu Einstellungen > Admin-Einstellungen > OAuth.
- Schalten Sie unter Globale Zugriffskontrollen den MCP-OAuth-Zugriff ein oder aus.
Wenn der MCP-OAuth-Zugriff eingeschaltet ist, können Nutzer:innen mit der Berechtigung „Use MCP Server“ genehmigte MCP-Clients autorisieren. Wenn er ausgeschaltet ist, wird der OAuth-Zugriff auf den MCP-Server für alle Nutzer:innen und Workspaces in Ihrem Unternehmen verweigert.
Das Ausschalten des MCP-OAuth-Zugriffs entfernt oder blockiert Ihre konfigurierten Redirect-URIs nicht. Braze widerruft bestehende MCP-OAuth-Token für Ihr Unternehmen, sodass verbundene MCP-Clients den Zugriff verlieren. Der Abschnitt Genehmigte Redirect-URIs ist ausgeblendet, solange der MCP-OAuth-Zugriff ausgeschaltet ist. Schalten Sie ihn wieder ein, um dieselbe URI-Liste erneut zu verwalten.
Wenn Braze den Remote-MCP-Server für Ihre Umgebung ausgeschaltet hat, ist der Schalter MCP-OAuth-Zugriff deaktiviert, und eine Meldung erklärt, dass die Unternehmenseinstellung keine Wirkung hat, bis der Remote-MCP-Server wieder eingeschaltet wird.
Genehmigte Redirect-URIs verwalten
Nachdem Sie MCP OAuth access aktiviert haben, listet der Abschnitt Approved redirect URIs die Redirect-URIs auf, die benutzerdefinierte MCP-Clients bei der Authentifizierung verwenden können. Hinweise zur Formatierung finden Sie unter Redirect-URI-Formate.
Die Tabelle Approved redirect URIs zeigt die folgenden Informationen:
| Spalte | Beschreibung |
|---|---|
| Redirect URI | Die exakte Adresse, die Braze mit dem Callback des Clients abgleicht, einschließlich des Pfads. |
| Added by | Die Dashboard-Nutzer:in, die den URI hinzugefügt oder zuletzt aktualisiert hat. |
| Date added | Wann der URI hinzugefügt oder zuletzt aktualisiert wurde. |
| Status | Ob der URI Approved oder Blocked ist. |
| Actions | Block oder Unblock, abhängig vom aktuellen Status. |
Redirect-URI-Formate
| URI-Typ | Zu verwendendes Format beim Hinzufügen |
|---|---|
| Lokal (Loopback-Adresse) | Beginnt mit http://localhost oder http://127.0.0.1. Lassen Sie den Port (den Doppelpunkt und die Zahlen nach dem Host) weg, damit jeder lokale Port übereinstimmen kann. Wenn der Client beispielsweise http://localhost:33491/oauth/callback anzeigt, geben Sie http://localhost/oauth/callback ein. Wenn Sie einen Port im hinzugefügten URI beibehalten (z. B. :33491), gleicht Braze nur diesen Port ab. |
| Remote-Adresse | Geben Sie die vollständige Adresse exakt so ein, wie der Client sie anzeigt, z. B. https://app.example.com/callback. |
| Benutzerdefiniertes Schema | Beginnt mit einem benutzerdefinierten URI-Schema (nicht http:// oder https://), z. B. cursor://. Geben Sie es exakt so ein, wie es angezeigt wird. Einige Desktop-Apps verwenden diese Adressen. |
Redirect-URI hinzufügen
So erlauben Sie einen benutzerdefinierten MCP-Client, der noch nicht aufgeführt ist:
- Wählen Sie Add redirect URI aus.
- Geben Sie den vollständigen Redirect-URI mit Callback-Protokoll aus den OAuth- oder Integrationseinstellungen des Clients ein. Verwenden Sie die Tabelle Redirect-URI-Formate, wenn Sie Hilfe beim Abgleich mit dem Callback des Clients benötigen.
- Wählen Sie Save aus.
Verwenden Sie für lokale Clients 127.0.0.1 und lassen Sie die Portnummer im hinzugefügten Redirect-URI weg.
Nur Redirect-URIs mit dem Status Approved können eine neue OAuth-Autorisierung abschließen. Wenn ein URI nicht in der Liste enthalten ist und kein von Braze verifizierter Client ist, lehnt Braze die Autorisierungsanfrage ab.
Redirect-URI blockieren
Um neue OAuth-Autorisierungen von einem Redirect-URI zu unterbinden, wählen Sie Block für die entsprechende Zeile aus und bestätigen Sie die Aktion. Braze behält den URI-Eintrag bei und ändert seinen Status auf Blocked.
Das Blockieren eines Redirect-URI widerruft keine Token für Nutzer:innen, die bereits mit diesem MCP-Client verbunden sind. Wählen Sie Revoke MCP OAuth tokens aus, um diese Sitzungen zu beenden. Das Blockieren des URI ist eine separate Aktion, die neue Autorisierungen mit diesem Callback verhindert.
Alternativ können Sie die Berechtigung „Use MCP Server“ von Nutzer:innen entfernen, um nur diese Nutzer:innen an der Verwendung des MCP-Servers zu hindern. Die MCP-Verbindungen anderer Nutzer:innen bleiben aktiv, bis Sie Revoke MCP OAuth tokens auswählen.
Redirect-URI entsperren
Um den Zugang für einen blockierten Redirect-URI wiederherzustellen, wählen Sie Unblock für die entsprechende Zeile aus und bestätigen Sie die Aktion. Braze aktualisiert den bestehenden Eintrag auf Approved, anstatt einen Duplikat-Eintrag zu erstellen.
Nutzer:innen, die zuvor mit diesem MCP-Client verbunden waren, müssen sich erneut authentifizieren.
MCP-OAuth-Token widerrufen
Das Widerrufen von Token macht alle MCP-OAuth-Token in Ihrem Unternehmen auf einmal ungültig. Verwenden Sie diese Option, wenn Sie vermuten, dass ein Token kompromittiert oder missbraucht wurde.
So widerrufen Sie die MCP-OAuth-Token Ihres Unternehmens:
- Gehen Sie zu Einstellungen > Administratoreinstellungen > OAuth.
- Wählen Sie unter MCP-OAuth-Token widerrufen die Option MCP-OAuth-Token widerrufen aus.
- Überprüfen Sie den Bestätigungsdialog und wählen Sie dann Token widerrufen aus.
Braze widerruft die Token im Hintergrund und zeigt eine Bestätigungsnachricht an, wenn der Widerruf abgeschlossen ist. Bei Unternehmen mit vielen Verbindungen kann dies einige Minuten dauern. Lassen Sie die OAuth-Seite geöffnet, bis die Bestätigung erscheint.
Das Widerrufen von Token kann nicht rückgängig gemacht werden. Jeder verbundene MCP-Client verliert den Zugriff auf Braze, und alle Nutzer:innen müssen sich erneut anmelden und ihren MCP-Client neu verbinden.
Was sich durch den Widerruf ändert
| Artikel | Ergebnis |
|---|---|
| Zugriffstoken | Widerrufen. Verbundene MCP-Clients funktionieren nicht mehr, bis die Nutzer:innen sich neu verbinden. |
| Aktualisierungstoken | Widerrufen. MCP-Clients können sich nicht eigenständig im Hintergrund neu verbinden. Nutzer:innen müssen sich selbst neu verbinden. |
| MCP-OAuth-Zugriff | Unverändert. Wenn er aktiviert war, können sich Nutzer:innen sofort neu verbinden. |
| Genehmigte Weiterleitungs-URIs | Unverändert. Genehmigte und blockierte URIs bleiben unverändert. |
| Berechtigung „Use MCP Server“ | Unverändert. Nutzer:innen behalten die Berechtigung und können sich neu verbinden. |
| Neue Verbindungen | Nicht betroffen. Verbindungen, die nach dem Beginn des Widerrufs hergestellt werden, funktionieren weiterhin. |
Anfragen, die zum Zeitpunkt des Widerrufs bereits in Bearbeitung waren, werden nicht zurückgerufen. Um den gesamten MCP-Zugriff zu beenden, anstatt nur aktuelle Sitzungen zu unterbrechen, deaktivieren Sie MCP-OAuth-Zugriff (dadurch werden auch MCP-OAuth-Token widerrufen). Um den MCP-Zugriff einzelner Nutzer:innen zu entfernen, entziehen Sie diesen die Berechtigung „Use MCP Server“.
Falls der Widerruf nicht abgeschlossen wird, zeigt Braze eine Fehlermeldung an. Einige Token wurden möglicherweise bereits widerrufen. Kontaktieren Sie daher den Support, bevor Sie es erneut versuchen.
OAuth-Aktivitäten überwachen
Braze protokolliert OAuth-Verbindungen zum MCP-Server im Sicherheitsereignisbericht. Verwenden Sie diesen Bericht, um zu überprüfen, wann sich Nutzer:innen über OAuth verbinden.
Um den MCP-Zugriff einer einzelnen Nutzer:in zu widerrufen, entfernen Sie die Berechtigung „Use MCP Server“ für diese Nutzer:in. Um alle MCP-OAuth-Token in Ihrem Unternehmen zu widerrufen, siehe MCP-OAuth-Token widerrufen. Informationen zur Einrichtung und Fehlerbehebung finden Sie unter Einrichten des Braze MCP-Servers.