OAuth-Einstellungen verwalten
OAuth-Einstellungen verwalten den unternehmensweiten Zugriff auf den Braze-MCP-Server, steuern, welche Weiterleitungs-URIs von MCP-Clients eine Verbindung zu Braze herstellen dürfen, und ermöglichen es Ihnen, sämtliche MCP-OAuth-Token für Ihr Unternehmen zu widerrufen.
OAuth-Einstellungen gelten für Ihr gesamtes Unternehmen. Die den einzelnen Nutzer:innen zugewiesenen Berechtigungen bestimmen, auf welche Workspaces und Features sie über den MCP-Server zugreifen können.
Anforderungen
| Anforderung | Beschreibung |
|---|---|
| Berechtigung „Admin“ | Sie benötigen die Berechtigung „Admin“ auf Unternehmensebene, um OAuth-Einstellungen anzuzeigen, den MCP-OAuth-Zugriff ein- oder auszuschalten, Weiterleitungs-URIs zu verwalten oder MCP-OAuth-Token zu widerrufen. |
| Berechtigung „Use MCP Server“ | Nutzer:innen benötigen diese Berechtigung für jeden Workspace, auf den sie über den MCP-Server zugreifen möchten. Diese Berechtigung ist unabhängig von der Berechtigung „Admin“, die zur Verwaltung der OAuth-Einstellungen verwendet wird. |
Weitere Informationen zum Zuweisen von Berechtigungen finden Sie unter Nutzerberechtigungen.
So funktioniert der OAuth-Zugriff
OAuth-Einstellungen und Nutzerberechtigungen greifen ineinander:
- Die unternehmensweiten OAuth-Einstellungen legen fest, ob Nutzer:innen MCP-Clients mit Braze verbinden können.
- Die Berechtigung „Use MCP Server“ legt fest, ob einzelne Nutzer:innen den MCP-Server in einem Workspace verwenden können.
- Die bestehenden Dashboard-Berechtigungen der Nutzer:innen legen fest, auf welche Braze-Daten und -Features ein MCP-Client zugreifen kann.
- Eine OAuth-Verbindung kann nur auf die Workspaces zugreifen, für die die jeweiligen Nutzer:innen berechtigt sind.
Durch das Aktivieren des MCP-OAuth-Zugriffs erhalten Nutzer:innen keine neuen Workspace-Berechtigungen. Ebenso entfernt das Entziehen einer Dashboard-Berechtigung diese Funktion auch aus dem verbundenen MCP-Client der Nutzer:innen.
Steuerungsoptionen auf Unternehmens- und Workspace-Ebene
Die OAuth-Richtlinie wird auf Unternehmensebene gespeichert. Workspace-Admins können den MCP-OAuth-Zugriff oder den Status von Weiterleitungs-URIs nicht für einen einzelnen Workspace überschreiben.
| Steuerungsoption | Wo Sie sie konfigurieren | Geltungsbereich |
|---|---|---|
| MCP-OAuth-Zugriff | Einstellungen > Admin-Einstellungen > Externe Verbindungen | Gesamtes Unternehmen. Wenn diese Option deaktiviert ist, wird MCP-OAuth in allen Workspaces abgelehnt. |
| Genehmigte Weiterleitungs-URIs | Einstellungen > Admin-Einstellungen > Externe Verbindungen | Gesamtes Unternehmen. Genehmigte und blockierte URIs gelten für alle Workspaces. |
| MCP-OAuth-Token widerrufen | Einstellungen > Admin-Einstellungen > Externe Verbindungen | Gesamtes Unternehmen. Der Widerruf gilt für alle MCP-OAuth-Token in allen Workspaces. |
| Berechtigung „Use MCP Server“ | Einstellungen > Nutzer:innenverwaltung | Pro Workspace. Nutzer:innen benötigen diese Berechtigung in jedem Workspace, auf den sie über den MCP-Server zugreifen. |
Nur Nutzer:innen mit der Berechtigung „Admin“ können den MCP-OAuth-Zugriff ändern, den Status von Weiterleitungs-URIs ändern oder MCP-OAuth-Token widerrufen. Wie Workspace-Berechtigungen mit diesen Unternehmenseinstellungen zusammenwirken, erfahren Sie unter OAuth- und MCP-Zugriff.
MCP-OAuth-Zugriff ein- oder ausschalten
So aktualisieren Sie den MCP-OAuth-Zugriff für Ihr Unternehmen:
- Gehen Sie zu Einstellungen > Admin-Einstellungen > Externe Verbindungen.
- Schalten Sie unter Globale Zugriffskontrollen den MCP-OAuth-Zugriff ein oder aus.
Wenn der MCP-OAuth-Zugriff eingeschaltet ist, können Nutzer:innen mit der Berechtigung „Use MCP Server“ genehmigte MCP-Clients autorisieren. Wenn er ausgeschaltet ist, wird der OAuth-Zugriff auf den MCP-Server für alle Nutzer:innen und Workspaces in Ihrem Unternehmen abgelehnt.
Wenn Sie den MCP-OAuth-Zugriff ausschalten, werden Ihre konfigurierten Weiterleitungs-URIs weder entfernt noch blockiert. Braze widerruft jedoch die bestehenden MCP-OAuth-Token Ihres Unternehmens, sodass verbundene MCP-Clients ihren Zugriff verlieren. Der Abschnitt Genehmigte Weiterleitungs-URIs ist ausgeblendet, solange der MCP-OAuth-Zugriff ausgeschaltet ist. Schalten Sie ihn wieder ein, um dieselbe URI-Liste erneut zu verwalten.
Wenn Braze den Remote-MCP-Server für Ihre Umgebung ausgeschaltet hat, ist der Schalter MCP-OAuth-Zugriff deaktiviert. Eine Meldung weist dann darauf hin, dass die Unternehmenseinstellung keine Wirkung hat, bis der Remote-MCP-Server wieder eingeschaltet wird.
Genehmigte Weiterleitungs-URIs verwalten
Nachdem Sie MCP-OAuth-Zugriff aktiviert haben, listet der Bereich Genehmigte Weiterleitungs-URIs die Weiterleitungs-URIs auf, die MCP-Clients bei der Authentifizierung verwenden können. Hinweise zur Formatierung finden Sie unter Formate für Weiterleitungs-URIs.
Ein Unternehmensadmin muss die Weiterleitungs-URI jedes MCP-Clients genehmigen, einschließlich Clients wie Claude, ChatGPT, Cursor, OpenAI Codex, Claude Code und Visual Studio Code. Nutzer:innen können die Verbindung erst abschließen, wenn die Weiterleitungs-URI des Clients genehmigt ist. Wie Sie eine URI genehmigen, erfahren Sie unter Weiterleitungs-URI hinzufügen.
Die Tabelle Genehmigte Weiterleitungs-URIs zeigt die folgenden Informationen:
| Spalte | Beschreibung |
|---|---|
| Weiterleitungs-URI | Die exakte Adresse einschließlich Pfad, die Braze mit dem Callback des Clients abgleicht. |
| Hinzugefügt von | Die Dashboard-Nutzer:in, die die URI hinzugefügt oder zuletzt aktualisiert hat. |
| Hinzugefügt am | Wann die URI hinzugefügt oder zuletzt aktualisiert wurde. |
| Status | Ob die URI Genehmigt oder Blockiert ist. |
| Aktionen | Blockieren oder Blockierung aufheben, je nach aktuellem Status. |
Formate für Weiterleitungs-URIs
| URI-Typ | Format beim Hinzufügen |
|---|---|
| Lokal (Loopback-Adresse) | Beginnt mit http://localhost oder http://127.0.0.1. Lassen Sie den Port weg (den Doppelpunkt und die Ziffern nach dem Host), damit jeder lokale Port übereinstimmen kann. Zeigt der Client beispielsweise http://localhost:33491/oauth/callback an, geben Sie http://localhost/oauth/callback ein. Wenn Sie in der hinzugefügten URI einen Port beibehalten (etwa :33491), gleicht Braze nur diesen Port ab. |
| Remote-Adresse | Geben Sie die vollständige Adresse genau so ein, wie der Client sie anzeigt, zum Beispiel https://app.example.com/callback. |
| Angepasstes Schema | Beginnt mit einem angepassten URI-Schema (nicht http:// oder https://), etwa cursor://. Geben Sie es genau so ein, wie es angezeigt wird. Einige Desktop-Apps verwenden solche Adressen. |
Weiterleitungs-URI hinzufügen
So lassen Sie einen MCP-Client zu, dessen Weiterleitungs-URI noch nicht aufgeführt ist:
- Wählen Sie Weiterleitungs-URI hinzufügen aus.
- Geben Sie die vollständige Weiterleitungs-URI mit Callback-Protokoll aus den OAuth- oder Integrationseinstellungen des Clients ein. Nutzen Sie die Tabelle Formate für Weiterleitungs-URIs, wenn Sie Hilfe beim Abgleich mit dem Callback des Clients benötigen.
- Wählen Sie Speichern aus.
Verwenden Sie für lokale Clients 127.0.0.1 und lassen Sie die Portnummer in der hinzugefügten Weiterleitungs-URI weg.
Nur Weiterleitungs-URIs mit dem Status Genehmigt können eine neue OAuth-Autorisierung abschließen. Steht die Weiterleitungs-URI eines Clients nicht auf der Liste oder hat sie den Status Blockiert, lehnt Braze die Autorisierungsanfrage ab.
Weiterleitungs-URI blockieren
Um neue OAuth-Autorisierungen über eine Weiterleitungs-URI zu verhindern, wählen Sie in der entsprechenden Zeile Blockieren aus und bestätigen die Aktion. Braze behält den URI-Eintrag bei und ändert seinen Status in Blockiert.
Das Blockieren einer Weiterleitungs-URI widerruft keine Token von Nutzer:innen, die bereits mit diesem MCP-Client verbunden sind. Wählen Sie MCP-OAuth-Token widerrufen aus, um diese Sitzungen zu beenden. Das Blockieren der URI ist eine separate Aktion, die neue Autorisierungen mit diesem Callback verhindert.
Alternativ können Sie einer Nutzer:in die Berechtigung „Use MCP Server“ entziehen, um nur diese Person an der Nutzung des MCP-Servers zu hindern. Die MCP-Verbindungen anderer Nutzer:innen bleiben aktiv, bis Sie MCP-OAuth-Token widerrufen auswählen.
Blockierung einer Weiterleitungs-URI aufheben
Um den Zugriff für eine blockierte Weiterleitungs-URI wiederherzustellen, wählen Sie in der entsprechenden Zeile Blockierung aufheben aus und bestätigen die Aktion. Braze aktualisiert den vorhandenen Eintrag auf Genehmigt, anstatt ein Duplikat anzulegen.
Nutzer:innen, die zuvor mit diesem MCP-Client verbunden waren, müssen sich erneut authentifizieren.
MCP-OAuth-Token widerrufen
Durch das Widerrufen werden alle MCP-OAuth-Token in Ihrem gesamten Unternehmen auf einmal ungültig. Nutzen Sie diese Option, wenn Sie vermuten, dass ein Token offengelegt oder missbraucht wurde.
So widerrufen Sie die MCP-OAuth-Token Ihres Unternehmens:
- Gehen Sie zu Einstellungen > Admin-Einstellungen > Externe Verbindungen.
- Wählen Sie im Bereich MCP-OAuth-Token widerrufen die Option MCP-OAuth-Token widerrufen aus.
- Prüfen Sie den Bestätigungsdialog und wählen Sie dann Token widerrufen aus.
Braze widerruft die Token im Hintergrund und zeigt eine Bestätigungsmeldung an, sobald der Vorgang abgeschlossen ist. Bei Unternehmen mit vielen Verbindungen kann das einige Minuten dauern. Lassen Sie die Seite Externe Verbindungen geöffnet, bis die Bestätigung erscheint.
Das Widerrufen von Token kann nicht rückgängig gemacht werden. Alle verbundenen MCP-Clients verlieren den Zugriff auf Braze, und alle Nutzer:innen müssen sich erneut anmelden und ihren MCP-Client neu verbinden.
Was sich durch das Widerrufen ändert
| Element | Ergebnis |
|---|---|
| Zugriffstoken | Widerrufen. Verbundene MCP-Clients funktionieren erst wieder, wenn sich die Nutzer:innen neu verbinden. |
| Aktualisierungstoken | Widerrufen. MCP-Clients können sich nicht selbstständig im Hintergrund neu verbinden. Nutzer:innen müssen die Verbindung selbst wiederherstellen. |
| MCP-OAuth-Zugriff | Unverändert. War er aktiviert, können sich Nutzer:innen sofort wieder verbinden. |
| Genehmigte Weiterleitungs-URIs | Unverändert. Genehmigte und blockierte URIs bleiben wie sie sind. |
| Berechtigung „Use MCP Server“ | Unverändert. Nutzer:innen behalten die Berechtigung und können sich wieder verbinden. |
| Neue Verbindungen | Nicht betroffen. Verbindungen, die nach dem Start des Widerrufs hergestellt werden, funktionieren weiterhin. |
Anfragen, die zum Zeitpunkt des Widerrufs bereits laufen, werden nicht zurückgerufen. Wenn Sie den gesamten MCP-Zugriff stoppen möchten, statt nur die aktuellen Sitzungen zu beenden, deaktivieren Sie MCP-OAuth-Zugriff (dadurch werden auch die MCP-OAuth-Token widerrufen). Um den MCP-Zugriff einzelner Nutzer:innen zu entfernen, entziehen Sie der betreffenden Person die Berechtigung „Use MCP Server“.
Wenn der Widerruf nicht abgeschlossen wird, zeigt Braze eine Fehlermeldung an. Einige Token wurden möglicherweise bereits widerrufen. Wenden Sie sich daher an den Support, bevor Sie es erneut versuchen.
Fehlerbehebung bei blockierten Verbindungen
Wenn Nutzer:innen beim Verbinden eines MCP-Clients mit Braze die Meldung „This app needs approval“ oder einen allgemeinen Fehler wie „An unexpected error occurred“ sehen, hat Ihr Unternehmen die Umleitungs-URI dieses Clients möglicherweise nicht genehmigt.
- Gehen Sie zu Einstellungen > Admin-Einstellungen > Externe Verbindungen und suchen Sie die Umleitungs-URI des Clients in der Tabelle Genehmigte Umleitungs-URIs. In der Spalte Status sehen Sie, ob die URI genehmigt oder blockiert ist.
- Fügen Sie die URI hinzu, falls sie nicht aufgeführt ist, oder wählen Sie Blockierung aufheben, wenn ihr Status Blockiert lautet.
- Bitten Sie die Nutzer:innen, ihren MCP-Client erneut zu verbinden.
Wenn die Umleitungs-URI genehmigt ist und die Verbindung trotzdem fehlschlägt, vergewissern Sie sich, dass der MCP-OAuth-Zugriff aktiviert ist und die Nutzer:innen über die Berechtigung „Use MCP Server“ verfügen. Weitere Hinweise zur Fehlerbehebung finden Sie unter Einrichten des Braze MCP-Servers.
OAuth-Aktivitäten prüfen
Braze erfasst OAuth-Verbindungen zum MCP-Server im Sicherheitsereignisbericht. Mit diesem Bericht können Sie prüfen, wann sich Nutzer:innen über OAuth verbinden.
Um den MCP-Zugriff einzelner Nutzer:innen zu widerrufen, entfernen Sie die Berechtigung „Use MCP Server“ für die betreffende Person. Wie Sie alle MCP-OAuth-Token in Ihrem Unternehmen widerrufen, erfahren Sie unter MCP-OAuth-Token widerrufen. Hinweise zur Einrichtung und Fehlerbehebung finden Sie unter Einrichten des Braze MCP-Servers.