Gérer les paramètres OAuth
Les paramètres OAuth gèrent l’accès à l’échelle de l’entreprise au serveur MCP de Braze, contrôlent quelles URI de redirection de clients MCP personnalisés peuvent se connecter à Braze et vous permettent de révoquer tous les jetons OAuth MCP de votre entreprise.
Les paramètres OAuth s’appliquent à l’ensemble de votre entreprise. Les permissions attribuées à chaque utilisateur déterminent les espaces de travail et les fonctionnalités auxquels ils peuvent accéder via le serveur MCP.
Exigences
| Exigence | Description |
|---|---|
| Permission « Admin » | Vous devez disposer de la permission « Admin » au niveau de l’entreprise pour afficher les paramètres OAuth, activer ou désactiver l’accès MCP OAuth, gérer les URI de redirection ou révoquer les jetons MCP OAuth. |
| Permission « Use MCP Server » | Les utilisateurs doivent disposer de cette permission pour chaque espace de travail auquel ils souhaitent accéder via le serveur MCP. Cette permission est distincte de la permission « Admin » utilisée pour gérer les paramètres OAuth. |
Pour plus d’informations sur l’attribution des permissions, consultez Permissions des utilisateurs.
Fonctionnement de l’accès OAuth
Les paramètres OAuth et les permissions des utilisateurs fonctionnent ensemble :
- Les paramètres OAuth à l’échelle de l’entreprise déterminent si les utilisateurs peuvent connecter des clients MCP à Braze.
- La permission « Use MCP Server » détermine si un utilisateur individuel peut utiliser le serveur MCP dans un espace de travail.
- Les permissions existantes de l’utilisateur sur le tableau de bord déterminent les données et fonctionnalités Braze auxquelles un client MCP peut accéder.
- Une connexion OAuth ne peut accéder qu’aux espaces de travail auxquels l’utilisateur est autorisé à accéder.
Activer l’accès MCP OAuth n’accorde pas de nouvelles permissions d’espace de travail aux utilisateurs. De même, supprimer une permission du tableau de bord retire cette capacité du client MCP connecté de l’utilisateur.
Contrôles au niveau de l’entreprise et de l’espace de travail
La politique OAuth est stockée au niveau de l’entreprise. Les administrateurs d’espace de travail ne peuvent pas remplacer l’accès MCP OAuth ni les statuts d’URI de redirection pour un seul espace de travail.
| Contrôle | Où le configurer | Portée |
|---|---|---|
| Accès MCP OAuth | Paramètres > Paramètres d’administration > OAuth | Entreprise entière. Lorsque cette option est désactivée, l’accès MCP OAuth est refusé dans tous les espaces de travail. |
| URI de redirection approuvées | Paramètres > Paramètres d’administration > OAuth | Entreprise entière. Les URI approuvées et bloquées s’appliquent à tous les espaces de travail. |
| Révoquer les jetons MCP OAuth | Paramètres > Paramètres d’administration > OAuth | Entreprise entière. La révocation s’applique à chaque jeton MCP OAuth dans chaque espace de travail. |
| Permission « Use MCP Server » | Paramètres > Gestion des utilisateurs | Par espace de travail. Les utilisateurs ont besoin de cette permission dans chaque espace de travail auquel ils accèdent via le serveur MCP. |
Seuls les utilisateurs disposant de la permission « Admin » peuvent modifier l’accès MCP OAuth, changer les statuts des URI de redirection ou révoquer les jetons MCP OAuth. Pour comprendre comment les permissions d’espace de travail interagissent avec ces paramètres d’entreprise, consultez OAuth et accès MCP.
Activer ou désactiver l’accès MCP OAuth
Pour mettre à jour l’accès MCP OAuth pour votre entreprise :
- Accédez à Paramètres > Paramètres d’administration > OAuth.
- Dans Contrôles d’accès globaux, activez ou désactivez Accès MCP OAuth.
Lorsque l’accès MCP OAuth est activé, les utilisateurs disposant de la permission « Use MCP Server » peuvent autoriser les clients MCP approuvés. Lorsqu’il est désactivé, l’accès OAuth au serveur MCP est refusé pour tous les utilisateurs et espaces de travail de votre entreprise.
Désactiver l’accès MCP OAuth ne supprime ni ne bloque vos URI de redirection configurées. Braze révoque les jetons MCP OAuth existants pour votre entreprise, de sorte que les clients MCP connectés perdent leur accès. La section URI de redirection approuvées est masquée tant que l’accès MCP OAuth est désactivé ; réactivez-le pour gérer à nouveau la même liste d’URI.
Si Braze a désactivé le serveur MCP distant pour votre environnement, le basculeur Accès MCP OAuth est désactivé et un message explique que le paramètre de l’entreprise n’a aucun effet tant que le serveur MCP distant n’est pas réactivé.
Gérer les URI de redirection approuvées
Après avoir activé MCP OAuth access, la section Approved redirect URIs liste les URI de redirection que les clients MCP personnalisés peuvent utiliser lors de l’authentification. Pour des conseils de formatage, consultez Formats des URI de redirection.
Le tableau Approved redirect URIs affiche les informations suivantes :
| Colonne | Description |
|---|---|
| Redirect URI | L’adresse exacte que Braze compare au rappel du client, chemin inclus. |
| Added by | L’utilisateur du tableau de bord qui a ajouté ou mis à jour l’URI en dernier. |
| Date added | Date à laquelle l’URI a été ajoutée ou mise à jour pour la dernière fois. |
| Status | Indique si l’URI est Approved ou Blocked. |
| Actions | Block ou Unblock, selon le statut actuel. |
Formats des URI de redirection
| Type d’URI | Format à utiliser lors de l’ajout |
|---|---|
| Locale (adresse de bouclage) | Commence par http://localhost ou http://127.0.0.1. Omettez le port (les deux-points et les chiffres après l’hôte) afin que n’importe quel port local puisse correspondre. Par exemple, si le client affiche http://localhost:33491/oauth/callback, saisissez http://localhost/oauth/callback. Si vous conservez un port dans l’URI que vous ajoutez (comme :33491), Braze ne fait correspondre que ce port. |
| Adresse distante | Saisissez l’adresse complète telle que le client l’affiche, par exemple https://app.example.com/callback. |
| Schéma personnalisé | Commence par un schéma d’URI personnalisé (ni http:// ni https://), comme cursor://. Saisissez-le exactement tel qu’il est affiché. Certaines applications de bureau utilisent ces adresses. |
Ajouter une URI de redirection
Pour autoriser un client MCP personnalisé qui n’est pas encore listé :
- Sélectionnez Add redirect URI.
- Saisissez l’URI de redirection complète avec le protocole de rappel depuis les paramètres OAuth ou d’intégration du client. Consultez le tableau Formats des URI de redirection si vous avez besoin d’aide pour faire correspondre le rappel du client.
- Sélectionnez Save.
Pour les clients locaux, utilisez 127.0.0.1 et omettez le numéro de port dans l’URI de redirection que vous ajoutez.
Seules les URI de redirection ayant un statut Approved peuvent achever une nouvelle autorisation OAuth. Si une URI ne figure pas dans la liste et n’est pas un client vérifié par Braze, Braze refuse la demande d’autorisation.
Bloquer une URI de redirection
Pour empêcher de nouvelles autorisations OAuth à partir d’une URI de redirection, sélectionnez Block pour la ligne correspondante et confirmez l’action. Braze conserve l’enregistrement de l’URI et passe son statut à Blocked.
Bloquer une URI de redirection ne révoque pas les jetons des utilisateurs déjà connectés à ce client MCP. Sélectionnez Revoke MCP OAuth tokens pour mettre fin à ces sessions. Le blocage de l’URI est une action distincte qui empêche les nouvelles autorisations avec ce rappel.
Vous pouvez aussi retirer la permission « Use MCP Server » d’un utilisateur pour empêcher uniquement cet utilisateur d’accéder au serveur MCP. Les connexions MCP des autres utilisateurs restent actives jusqu’à ce que vous sélectionniez Revoke MCP OAuth tokens.
Débloquer une URI de redirection
Pour rétablir l’accès pour une URI de redirection bloquée, sélectionnez Unblock pour la ligne correspondante et confirmez l’action. Braze met à jour l’enregistrement existant en Approved au lieu de créer un doublon.
Les utilisateurs précédemment connectés à ce client MCP doivent s’authentifier de nouveau.
Révoquer les jetons OAuth MCP
Révoquer les jetons invalide tous les jetons OAuth MCP de votre entreprise en une seule fois. Utilisez cette option si vous pensez qu’un jeton a été divulgué ou utilisé de manière abusive.
Pour révoquer les jetons OAuth MCP de votre entreprise :
- Accédez à Paramètres > Paramètres d’administration > OAuth.
- Dans Révoquer les jetons OAuth MCP, sélectionnez Révoquer les jetons OAuth MCP.
- Vérifiez la boîte de dialogue de confirmation, puis sélectionnez Révoquer les jetons.
Braze révoque les jetons en arrière-plan et affiche un message de confirmation une fois la révocation terminée. Pour les entreprises ayant de nombreuses connexions, cette opération peut prendre quelques minutes. Laissez la page OAuth ouverte jusqu’à ce que la confirmation apparaisse.
La révocation des jetons ne peut pas être annulée. Chaque client MCP connecté perd l’accès à Braze, et chaque utilisateur doit se reconnecter et associer à nouveau son client MCP.
Ce que la révocation modifie
| Élément | Résultat |
|---|---|
| Jetons d’accès | Révoqués. Les clients MCP connectés cessent de fonctionner tant que l’utilisateur ne se reconnecte pas. |
| Jetons d’actualisation | Révoqués. Les clients MCP ne peuvent pas se reconnecter automatiquement en arrière-plan. Les utilisateurs doivent se reconnecter eux-mêmes. |
| Accès OAuth MCP | Inchangé. S’il était activé, les utilisateurs peuvent se reconnecter immédiatement. |
| URI de redirection approuvées | Inchangées. Les URI approuvées et bloquées restent en l’état. |
| Permission « Use MCP Server » | Inchangée. Les utilisateurs conservent la permission et peuvent se reconnecter. |
| Nouvelles connexions | Non affectées. Les connexions établies après le début de la révocation continuent de fonctionner. |
Les requêtes déjà en cours au moment de la révocation ne sont pas rappelées. Pour arrêter complètement l’accès MCP au lieu de simplement mettre fin aux sessions en cours, désactivez Accès OAuth MCP (cela révoque également les jetons OAuth MCP). Pour supprimer l’accès MCP d’un seul utilisateur, retirez la permission « Use MCP Server » de cet utilisateur.
Si la révocation ne se termine pas, Braze affiche un message d’erreur. Certains jetons peuvent déjà être révoqués, contactez donc le support avant de réessayer.
Auditer l’activité OAuth
Braze enregistre les connexions OAuth au serveur MCP dans le rapport d’événements de sécurité. Utilisez ce rapport pour auditer les connexions des utilisateurs via OAuth.
Pour révoquer l’accès MCP d’un utilisateur, supprimez la permission « Use MCP Server » de cet utilisateur. Pour révoquer tous les jetons OAuth MCP de votre entreprise, consultez Révoquer les jetons OAuth MCP. Pour des conseils de configuration et de résolution des problèmes, consultez Configurer le serveur MCP Braze.