Пользователи, роли и авторизация
Доступ к панели управления
В MCPBox 1.4.0 панель требует авторизацию. Создайте первого локального администратора по инструкции запуска, затем управляйте пользователями, паролями, сессиями и токенами агентов в настройках доступа.
| Системная роль | Права (scopes) | Назначение |
|---|---|---|
reader | pro:read | Чтение защищённых административных данных. |
operator | pro:read, pro:write | Повседневная настройка и рабочие операции. |
admin | pro:admin | Полное управление, включая привилегированные изменения и отзыв доступа. |
Имена pro: и маршруты /api/pro/* сохранены для совместимости и не означают платную редакцию. Обычное чтение API требует pro:read, большинство изменений — pro:write. Удаление, изменение и административное выполнение CLI, операции с токенами проекта требуют pro:admin. Отдельный маршрут может устанавливать свои требования.
Сессии и токены агентов
Локальный вход создаёт сессию. Администраторы могут просматривать и отзывать сессии. Для автоматизации создавайте отдельный административный токен агента с нужными правами и сроком действия вместо использования личной сессии. Полный токен возвращается при создании — сохраните его в этот момент.
Запросы к административному API используют:
Authorization: Bearer <admin-session-or-agent-token>Токен агента даёт доступ к управлению MCPBox в рамках scopes. Он не заменяет Bearer-токен проекта или секрет OAuth-клиента. Доступ к проекту настраивается отдельно в разделе подключений.
Для совместимости доступна переменная MCPBOX_PRO_BOOTSTRAP_TOKEN с начальным административным токеном. Если используете её, храните значение в секрете; стандартный первый запуск использует локальный аккаунт администратора.
Необязательный вход через OIDC
До запуска MCPBox задайте переменные окружения:
| Переменная | Значение |
|---|---|
MCPBOX_PRO_OIDC_ISSUER_URL | Issuer URL вашего OIDC-провайдера. |
MCPBOX_PRO_OIDC_CLIENT_ID | ID зарегистрированного клиента. |
MCPBOX_PRO_OIDC_CLIENT_SECRET | Секрет зарегистрированного клиента. |
MCPBOX_PRO_OIDC_REDIRECT_URL | Внешний адрес панели с путём /api/pro/sso/callback. |
Зарегистрируйте тот же redirect URL у провайдера. Например, для панели https://admin.example.com это https://admin.example.com/api/pro/sso/callback.
Дополнительные настройки:
| Переменная | Значение по умолчанию / назначение |
|---|---|
MCPBOX_PRO_OIDC_PROVIDER_NAME | OIDC, название при входе. |
MCPBOX_PRO_OIDC_SCOPES | openid profile email, через пробел. |
MCPBOX_PRO_OIDC_DEFAULT_ROLE | reader для новых пользователей. |
MCPBOX_PRO_OIDC_AUTO_CREATE_USERS | true; автоматическое создание аккаунтов. |
MCPBOX_PRO_OIDC_SESSION_DAYS | 30. |
MCPBOX_PRO_OIDC_ALLOWED_HD | Необязательное ограничение hosted domain. |
После изменения переменных OIDC перезапустите MCPBox. OIDC отвечает за вход в панель; OAuth проекта настраивается отдельно. PolicyBox удалена в v1.4.0: миграция.