Descope + FastMCP: da ámbitos distintos a dos conexiones de Claude
Aplica los permisos de las herramientas en el servidor y prueba por separado la pertenencia al espacio de trabajo.
Vídeo en inglés. Todavía no hay una versión en español registrada para esta guía.
Ver en YouTube ↗Separa la identidad del usuario de los permisos del cliente
Gracias a Descope por patrocinar este vídeo.
La demostración usa datos de Scripti en preproducción. El mismo usuario autenticado tiene una conexión Viewer y otra Editor con capacidades diferentes.
- Define el recurso protegido y las acciones que necesita cada cliente.
- Configura los ámbitos projects:read y scripts:write demostrados y sus políticas correspondientes.
- Inspecciona los metadatos del recurso protegido y la ruta de descubrimiento OAuth mostrados en el vídeo.
- Usa tokens de acceso limitados distintos para las dos configuraciones de cliente.
Aplica el ámbito en el límite de la herramienta
Viewer nunca recibe la herramienta de actualización; Editor puede realizar el cambio solicitado. Un botón oculto en una interfaz no demostraría que exista control en el servidor.
- Configura Viewer con ámbito de lectura y Editor con lectura y escritura.
- Haz que el servidor MCP valide el token y aplique los requisitos de ámbito de cada herramienta.
- Inspecciona las herramientas expuestas a cada conexión.
- Prueba la misma edición pequeña con ambos clientes y verifica que la vía de solo lectura no pueda realizarla.
Comprueba el resultado guardado y el límite del espacio de trabajo
El cambio grabado de Editor persiste como revisión 3. La pertenencia al espacio de trabajo es una condición distinta de tener ámbito de escritura.
- Vuelve a leer la revisión guardada tras la actualización permitida.
- Usa la comprobación independiente de espacio de trabajo mostrada en 5:51 y verifica que se deniegue el acceso cuando no corresponda la pertenencia.
- Inspecciona los registros de auditoría de las solicitudes permitidas y denegadas.
- Mantén la prueba en registros de demostración antes de conectar trabajo real de clientes.
Conclusión
Un token limitado y una comprobación del espacio de trabajo resuelven cuestiones de acceso diferentes. Verifica ambos con respuestas reales del servidor y registros guardados.
Sobre este artículo y sus fuentes
Complemento escrito preparado el 31 de octubre de 2026 a partir de la descripción exacta de este vídeo publicado y, cuando existe, de su secuencia de capítulos. Las listas de comprobación y los ejemplos de instrucciones son adaptaciones editoriales, no citas de una transcripción revisada. Los resultados comunicados pertenecen al vídeo original; el montaje final completo no se transcribió ni se vio de forma independiente para este artículo, y el producto no se volvió a probar. Consulta los recursos originales conservados para los detalles de instalación, los cambios posteriores de la interfaz y las condiciones actuales de las ofertas.