Descope + FastMCP : donner des périmètres différents à deux connexions Claude

Séparer l’identité de l’utilisateur des permissions du client

Merci à Descope de sponsoriser cette vidéo.

La démonstration utilise des données Scripti de préproduction. Le même utilisateur connecté possède une connexion Viewer et une connexion Editor aux capacités différentes.

1. Définissez la ressource protégée et les actions nécessaires à chaque client.
2. Configurez les périmètres projects:read et scripts:write présentés ainsi que les politiques correspondantes.
3. Inspectez les métadonnées de ressource protégée et le parcours de découverte OAuth montrés dans la vidéo.
4. Utilisez des jetons d’accès à périmètre limité distincts pour les deux configurations de client.

Appliquer le périmètre à la frontière de l’outil

Viewer ne reçoit jamais l’outil de mise à jour ; Editor peut effectuer le changement demandé. Un bouton caché dans une interface ne démontrerait pas une application des règles côté serveur.

1. Configurez Viewer en lecture et Editor en lecture et écriture.
2. Faites valider le jeton par le serveur MCP et appliquer les exigences de périmètre par outil.
3. Inspectez les outils exposés à chaque connexion.
4. Essayez la même petite modification avec les deux clients et vérifiez que le parcours en lecture seule ne peut pas l’effectuer.

Vérifier le résultat enregistré et la frontière de l’espace de travail

Le changement Editor enregistré persiste comme révision 3. L’appartenance à l’espace de travail est une condition distincte du périmètre d’écriture.

1. Relisez la révision enregistrée après la mise à jour autorisée.
2. Utilisez la vérification d’espace de travail distincte montrée à 5:51 et vérifiez le refus d’accès si l’appartenance ne correspond pas.
3. Inspectez les journaux d’audit des demandes autorisées et refusées.
4. Gardez le test sur des données de démonstration avant de connecter du travail client en production.

À retenir

Un jeton limité et une vérification d’espace de travail répondent à des questions d’accès différentes. Vérifiez les deux dans les réponses réelles du serveur et les enregistrements sauvegardés.