Autoryzacja zarządzana przez firmę
monday MCP obsługuje autoryzację zarządzaną przez firmę (EMA), czyli rozszerzenie specyfikacji MCP Enterprise-Managed Authorization. Dzięki EMA Twoja organizacja łączy klienta AI z monday MCP raz, dla wszystkich, a członkowie nie widzą ekranu zgody monday.com. Gdy klient potrzebuje dostępu do monday.com, prosi dostawcę tożsamości (IdP) o podpisane potwierdzenie tożsamości zalogowanego członka. monday.com wymienia to potwierdzenie na token dostępu dla tego samego członka.
EMA zmienia sposób zatwierdzania połączenia, ale nie jego możliwości. Każde wywołanie narzędzia odbywa się w imieniu członka i z użyciem jego obecnych uprawnień w monday.com.
Obsługiwane konfiguracje
| Dostawca tożsamości | Klienci AI | Instrukcja konfiguracji |
|---|---|---|
| Okta | Claude | Skonfiguruj autoryzację zarządzaną przez firmę za pomocą Okta |
Pozostali dostawcy tożsamości i klienci AI nie są jeszcze obsługiwani.
Jak monday.com ufa potwierdzeniu tożsamości
Nie musisz niczego włączać w monday.com. monday.com akceptuje potwierdzenie tylko wtedy, gdy pochodzi ono z aplikacji IdP, która obsługuje logowanie jednokrotne (SSO) na Twoim koncie, i tylko dla członka, którego SSO powiązało z użytkownikiem IdP. Potwierdzenie z innej organizacji lub aplikacji IdP zostanie odrzucone.
Wymagania
- Plan i SSO: konto w planie Enterprise, na które można się zalogować za pomocą logowania jednokrotnego SAML przez obsługiwanego dostawcę tożsamości. Połączenie SSO musi być aktywne.
- Członkowie: każdy członek jest aktywnym członkiem lub administratorem monday.com (nie osobą przeglądającą), zaakceptował zaproszenie i co najmniej raz zalogował się do monday.com przez SSO. Pierwsze logowanie przez SSO łączy konto członka w monday.com z jego kontem IdP. Członkowie dodani przez SCIM zostaną powiązani dopiero po pierwszym logowaniu przez SSO.
- Klient AI: klient obsługujący EMA z Twoim IdP. Zobacz obsługiwane konfiguracje.
Wartości potrzebne do konfiguracji
Każda konfiguracja IdP i klienta AI korzysta z tych wartości:
| Ustawienie | Wartość |
|---|---|
| Wystawca serwera autoryzacji (odbiorca potwierdzenia tożsamości) | https://auth.monday.com/mcp |
| Zasób (serwer MCP) | https://mcp.monday.com/mcp |
| Zakresy | Wszystkie zakresy monday.com albo żaden. EMA przyznaje pełny zestaw zakresów monday.com, dlatego częściowy wybór zostanie odrzucony. |
| Czas ważności tokenu dostępu | 24 godziny. Token odświeżania nie jest wydawany. Zamiast tego klient pobiera nowe potwierdzenie od Twojego IdP. |
Wyłączanie
- Dla wszystkich: wyłącz EMA dla łącznika monday.com w kliencie AI lub usuń połączenie między klientem AI a monday.com w IdP.
- Dla jednego członka: odbierz członkowi przypisanie do aplikacji monday.com lub klienta AI w IdP.
Zmiany te zatrzymują nawiązywanie nowych połączeń w ciągu kilku minut. Token dostępu wydany już przez monday.com pozostaje ważny do wygaśnięcia, maksymalnie przez 24 godziny.
Rozwiązywanie problemów
Gdy monday.com odrzuca połączenie, opis błędu zwykle wskazuje, co należy poprawić. Poniższe błędy wymagają dodatkowego kontekstu:
| Opis błędu | Co zrobić |
|---|---|
The assertion is invalid |
Sprawdź konfigurację IdP zgodnie z wartościami potrzebnymi do konfiguracji, zwłaszcza wystawcę, odbiorcę, identyfikator klienta i zasób. Niektóre konfiguracje IdP zgłaszają tym błędem również problemy z kontem lub członkiem. Zapoznaj się z instrukcją konfiguracji IdP. |
No monday user with this email is in an account that uses this Okta app for SSO |
Sprawdź, czy adres e-mail członka jest taki sam w monday.com i IdP oraz czy aktywne połączenie SSO na Twoim koncie korzysta z aplikacji IdP połączonej z klientem AI. |
The user is in more than one monday account that uses this Okta app for SSO |
Skontaktuj się z pomocą techniczną monday.com. |
Powiązane zasoby: