Gestionar la configuración de OAuth
La configuración de OAuth gestiona el acceso a nivel de empresa al servidor MCP de Braze, controla qué URI de redireccionamiento de clientes MCP personalizados pueden conectarse a Braze y te permite revocar todos los tokens OAuth de MCP de tu empresa.
La configuración de OAuth se aplica a toda tu empresa. Los permisos asignados a cada usuario determinan a qué espacios de trabajo y características pueden acceder a través del servidor MCP.
Requisitos
| Requisito | Descripción |
|---|---|
| Permiso “Admin” | Debes tener el permiso “Admin” a nivel de empresa para ver la configuración de OAuth, activar o desactivar el acceso MCP OAuth, gestionar URI de redirección o revocar tokens MCP OAuth. |
| Permiso “Use MCP Server” | Los usuarios deben tener este permiso para cada espacio de trabajo al que quieran acceder a través del servidor MCP. Este permiso es independiente del permiso “Admin” utilizado para gestionar la configuración de OAuth. |
Para más información sobre la asignación de permisos, consulta Permisos de usuario.
Cómo funciona el acceso OAuth
La configuración de OAuth y los permisos de usuario trabajan juntos:
- La configuración de OAuth a nivel de empresa determina si los usuarios pueden conectar clientes MCP a Braze.
- El permiso “Use MCP Server” determina si un usuario individual puede usar el servidor MCP en un espacio de trabajo.
- Los permisos existentes del panel del usuario determinan a qué datos y características de Braze puede acceder un cliente MCP.
- Una conexión OAuth solo puede acceder a los espacios de trabajo a los que el usuario está autorizado a acceder.
Activar el acceso MCP OAuth no otorga a los usuarios nuevos permisos de espacio de trabajo. De igual manera, eliminar un permiso del panel elimina esa capacidad del cliente MCP conectado del usuario.
Controles de empresa y espacio de trabajo
La política de OAuth se almacena a nivel de empresa. Los administradores de espacio de trabajo no pueden anular el acceso MCP OAuth ni los estados de URI de redirección para un solo espacio de trabajo.
| Control | Dónde se configura | Alcance |
|---|---|---|
| Acceso MCP OAuth | Configuración > Configuración de administrador > OAuth | Toda la empresa. Cuando está desactivado, el acceso MCP OAuth se deniega en todos los espacios de trabajo. |
| URI de redirección aprobadas | Configuración > Configuración de administrador > OAuth | Toda la empresa. Las URI aprobadas y bloqueadas se aplican a todos los espacios de trabajo. |
| Revocar tokens MCP OAuth | Configuración > Configuración de administrador > OAuth | Toda la empresa. La revocación se aplica a todos los tokens MCP OAuth en todos los espacios de trabajo. |
| Permiso “Use MCP Server” | Configuración > Gestión de usuarios | Por espacio de trabajo. Los usuarios necesitan este permiso en cada espacio de trabajo al que acceden a través del servidor MCP. |
Solo los usuarios con el permiso “Admin” pueden cambiar el acceso MCP OAuth, cambiar los estados de URI de redirección o revocar tokens MCP OAuth. Para saber cómo interactúan los permisos de espacio de trabajo con estos ajustes de empresa, consulta OAuth y acceso MCP.
Activar o desactivar el acceso MCP OAuth
Para actualizar el acceso MCP OAuth de tu empresa:
- Ve a Configuración > Configuración de administrador > OAuth.
- En Controles de acceso global, activa o desactiva Acceso MCP OAuth.
Cuando Acceso MCP OAuth está activado, los usuarios con el permiso “Use MCP Server” pueden autorizar clientes MCP aprobados. Cuando está desactivado, se deniega el acceso OAuth al servidor MCP para todos los usuarios y espacios de trabajo de tu empresa.
Desactivar Acceso MCP OAuth no elimina ni bloquea tus URI de redirección configurados. Braze revoca los tokens MCP OAuth existentes de tu empresa, por lo que los clientes MCP conectados pierden el acceso. La sección URI de redirección aprobados se oculta mientras el acceso MCP OAuth está desactivado; vuelve a activarlo para gestionar la misma lista de URI de nuevo.
Si Braze ha desactivado el servidor MCP remoto en tu entorno, el interruptor de Acceso MCP OAuth está deshabilitado y un mensaje explica que la configuración de la empresa no tiene efecto hasta que el servidor MCP remoto se active de nuevo.
Gestionar las URI de redirección aprobadas
Después de activar Acceso MCP OAuth, la sección URI de redirección aprobadas muestra las URI de redirección que los clientes MCP personalizados pueden usar durante la autenticación. Para obtener orientación sobre el formato, consulta Formatos de URI de redirección.
La tabla URI de redirección aprobadas muestra la siguiente información:
| Columna | Descripción |
|---|---|
| URI de redirección | La dirección exacta que Braze compara con la devolución de llamada del cliente, incluida la ruta. |
| Añadida por | El usuario del panel que añadió o actualizó por última vez la URI. |
| Fecha de adición | Cuándo se añadió o actualizó por última vez la URI. |
| Estado | Si la URI está Aprobada o Bloqueada. |
| Acciones | Bloquear o Desbloquear, según el estado actual. |
Formatos de URI de redirección
| Tipo de URI | Formato a usar al añadir |
|---|---|
| Local (dirección de bucle local) | Comienza con http://localhost o http://127.0.0.1. Omite el puerto (los dos puntos y los números después del host) para que cualquier puerto local pueda coincidir. Por ejemplo, si el cliente muestra http://localhost:33491/oauth/callback, introduce http://localhost/oauth/callback. Si mantienes un puerto en la URI que añades (como :33491), Braze solo coincidirá con ese puerto. |
| Dirección remota | Introduce la dirección completa exactamente como la muestra el cliente, por ejemplo https://app.example.com/callback. |
| Esquema personalizado | Comienza con un esquema de URI personalizado (no http:// ni https://), como cursor://. Introdúcelo exactamente como se muestra. Algunas aplicaciones de escritorio utilizan estas direcciones. |
Añadir una URI de redirección
Para permitir un cliente MCP personalizado que aún no esté en la lista:
- Selecciona Añadir URI de redirección.
- Introduce la URI de redirección completa con el protocolo de devolución de llamada de la configuración de OAuth o integración del cliente. Usa la tabla Formatos de URI de redirección si necesitas ayuda para hacer coincidir la devolución de llamada del cliente.
- Selecciona Guardar.
Para clientes locales, usa 127.0.0.1 y omite el número de puerto en la URI de redirección que añadas.
Solo las URI de redirección con estado Aprobada pueden completar una nueva autorización OAuth. Si una URI no está en la lista y no es un cliente verificado por Braze, Braze deniega la solicitud de autorización.
Bloquear una URI de redirección
Para evitar nuevas autorizaciones OAuth desde una URI de redirección, selecciona Bloquear en su fila y confirma la acción. Braze conserva el registro de la URI y cambia su estado a Bloqueada.
Bloquear una URI de redirección no revoca los tokens de los usuarios que ya están conectados a ese cliente MCP. Selecciona Revocar tokens MCP OAuth para finalizar esas sesiones. Bloquear la URI es una acción independiente que evita nuevas autorizaciones con esa devolución de llamada.
Alternativamente, elimina el permiso “Use MCP Server” de un usuario para impedir que solo ese usuario utilice el servidor MCP. Las conexiones MCP de otros usuarios permanecen activas hasta que selecciones Revocar tokens MCP OAuth.
Desbloquear una URI de redirección
Para restaurar el acceso de una URI de redirección bloqueada, selecciona Desbloquear en su fila y confirma la acción. Braze actualiza el registro existente a Aprobada en lugar de crear un duplicado.
Los usuarios que estaban conectados previamente a ese cliente MCP necesitan autenticarse de nuevo.
Revocar tokens MCP OAuth
Revocar tokens invalida todos los tokens MCP OAuth en tu empresa de una sola vez. Usa esta opción si crees que un token se ha filtrado o ha sido utilizado indebidamente.
Para revocar los tokens MCP OAuth de tu empresa:
- Ve a Configuración > Configuración de administrador > OAuth.
- En Revocar tokens MCP OAuth, selecciona Revocar tokens MCP OAuth.
- Revisa el diálogo de confirmación y luego selecciona Revocar tokens.
Braze revoca los tokens en segundo plano y muestra un mensaje de confirmación cuando la revocación finaliza. Para empresas con muchas conexiones, esto puede tardar unos minutos. Deja la página de OAuth abierta hasta que aparezca la confirmación.
Revocar tokens no se puede deshacer. Todos los clientes MCP conectados pierden acceso a Braze, y cada usuario tiene que iniciar sesión y conectar su cliente MCP de nuevo.
Qué cambia la revocación
| Elemento | Resultado |
|---|---|
| Tokens de acceso | Revocados. Los clientes MCP conectados dejan de funcionar hasta que el usuario se reconecte. |
| Tokens de actualización | Revocados. Los clientes MCP no pueden reconectarse por sí solos en segundo plano. Los usuarios tienen que reconectarse ellos mismos. |
| Acceso MCP OAuth | Sin cambios. Si estaba activado, los usuarios pueden reconectarse de inmediato. |
| URI de redirección aprobadas | Sin cambios. Las URI aprobadas y bloqueadas permanecen como están. |
| Permiso “Use MCP Server” | Sin cambios. Los usuarios conservan el permiso y pueden reconectarse. |
| Nuevas conexiones | Sin efecto. Las conexiones realizadas después de iniciar la revocación siguen funcionando. |
Las solicitudes que ya estaban en curso cuando revocaste los tokens no se retiran. Para detener todo el acceso MCP en lugar de solo finalizar las sesiones actuales, desactiva Acceso MCP OAuth (esto también revoca los tokens MCP OAuth). Para eliminar el acceso MCP de un usuario, quita el permiso “Use MCP Server” de ese usuario.
Si la revocación no finaliza, Braze muestra un mensaje de error. Algunos tokens pueden haberse revocado ya, así que contacta con soporte antes de intentarlo de nuevo.
Auditar la actividad de OAuth
Braze registra las conexiones OAuth al servidor MCP en el informe de eventos de seguridad. Usa este informe para auditar cuándo los usuarios se conectan a través de OAuth.
Para revocar el acceso MCP de un usuario, elimina el permiso “Use MCP Server” de ese usuario. Para revocar todos los tokens OAuth de MCP en tu empresa, consulta Revocar tokens OAuth de MCP. Para obtener orientación sobre la configuración y la solución de problemas, consulta Configurar el servidor MCP de Braze.