MCP Authentik

](https://www.npmjs.com/package/@samik081/mcp-authentik) ](https://ghcr.io/samik081/mcp-authentik)  ](https://nodejs.org)

MCP身份验证

MCP服务器 真实 身份管理。通过Cursor、Claude Code和Claude Desktop中的自然语言管理用户、组、应用程序、流、策略、提供者等。

特性

• 245工具 穿过 20个类别 涵盖完整的Authentik API
• 只读模式 通过 AUTHENTIK_ACCESS_TIER=read-only 用于安全监测
• 类别筛选 通过 AUTHENTIK_CATEGORIES 仅公开您需要的工具
• 类型安全的SDK客户端 通过 @goauthentik/api
• Docker镜像 为了 linux/amd64 和 linux/arm64 上 GHCR
• 远程MCP 通过HTTP传输(MCP_TRANSPORT=http)使用流式HTTP协议
• Types/ESM 具有全类型安全性

API兼容性

专为Authentik打造 2025.6.3.

快速开始

使用npx直接运行服务器：

AUTHENTIK_URL="https://auth.example.com" \
AUTHENTIK_TOKEN="your-api-token" \
npx -y @samik081/mcp-authentik

服务器在启动时验证您的Authentik连接，如果凭据丢失或无效，则立即失败并显示明确的错误。

码头工人

使用Docker运行（stdio传输，与npx相同）：

docker run --rm -i \
  -e AUTHENTIK_URL=https://auth.example.com \
  -e AUTHENTIK_TOKEN=your-api-token \
  ghcr.io/samik081/mcp-authentik

要作为具有HTTP传输的远程MCP服务器运行：

docker run -d -p 3000:3000 \
  -e MCP_TRANSPORT=http \
  -e AUTHENTIK_URL=https://auth.example.com \
  -e AUTHENTIK_TOKEN=your-api-token \
  ghcr.io/samik081/mcp-authentik

MCP端点位于 http://localhost:3000 健康检查在 http://localhost:3000/health.

配置

Claude Code命令行界面（推荐）：

# Using npx
claude mcp add --transport stdio authentik \
  --env AUTHENTIK_URL=https://auth.example.com \
  --env AUTHENTIK_TOKEN=your-api-token \
  -- npx -y @samik081/mcp-authentik

# Using Docker
claude mcp add --transport stdio authentik \
  --env AUTHENTIK_URL=https://auth.example.com \
  --env AUTHENTIK_TOKEN=your-api-token \
  -- docker run --rm -i ghcr.io/samik081/mcp-authentik

# Using remote HTTP (connect to a running Docker container or HTTP server)
claude mcp add --transport http authentik http://localhost:3000

JSON配置 （与Claude Code合作 .mcp.json，克劳德桌面 claude_desktop_config.json，光标 .cursor/mcp.json):

{
  "mcpServers": {
    "authentik": {
      "command": "npx",
      "args": ["-y", "@samik081/mcp-authentik"],
      "env": {
        "AUTHENTIK_URL": "https://auth.example.com",
        "AUTHENTIK_TOKEN": "your-api-token"
      }
    }
  }
}

Docker（标准操作系统）：

{
  "mcpServers": {
    "authentik": {
      "command": "docker",
      "args": ["run", "--rm", "-i",
        "-e", "AUTHENTIK_URL=https://auth.example.com",
        "-e", "AUTHENTIK_TOKEN=your-api-token",
        "ghcr.io/samik081/mcp-authentik"
      ]
    }
  }
}

远程MCP （连接到正在运行的Docker容器或HTTP服务器）：

{
  "mcpServers": {
    "authentik": {
      "type": "streamable-http",
      "url": "http://localhost:3000"
    }
  }
}

访问层

使用控制哪些工具可用 AUTHENTIK_ACCESS_TIER 环境变量：

• 满的：全部245个工具。包括创建、更新和删除用户、组、应用程序、流、提供程序和所有其他资源。
• 只读：121个工具。仅列出和查看资源。没有状态变化。

您层中不可用的工具未在MCP服务器上注册。它们不会出现在你的人工智能工具的工具列表中，保持上下文干净。

环境变量

可用类别

admin, authenticators, core, crypto, enterprise, events, flows, managed, oauth2, outposts, policies, property-mappings, providers, rac, rbac, root, sources, ssf, stages, tenants

工具

mcp authentik提供245个按类别组织的工具。每个工具的“访问”列显示了所需的最低级别： read-only （两层都有）或 full （要求 full 层）。提示列显示工具行为： read-only （无状态变化）， destructive （修改现有状态）， idempotent （如果调用两次，结果相同）。

Admin (8 tools)

Authenticators (5 tools)

Core (44 tools)

用户

群组

应用程序

代币

品牌

Crypto (8 tools)

Enterprise (8 tools)

Events (24 tools)

事件

系统任务

Flows (15 tools)

Managed (7 tools)

OAuth2 (9 tools)

Outposts (15 tools)

Policies (19 tools)

策略使用类型+配置模式。跨类型工具在任何策略上运行，而每种类型的工具接受 policy_type 参数。可用类型： dummy, event_matcher, expression, geoip, password, password_expiry, reputation, unique_password.

Property Mappings (10 tools)

属性映射使用类型+配置模式。跨类型工具可对任何映射进行操作，而每种类型的工具则接受 mapping_type 参数。可用类型： notification, provider_google_workspace, provider_microsoft_entra, provider_rac, provider_radius, provider_saml, provider_scim, provider_scope, source_kerberos, source_ldap, source_oauth, source_plex, source_saml, source_scim.

Providers (11 tools)

提供者使用类型+配置模式。跨类型工具在任何提供者上运行，而每种类型的工具接受 provider_type 参数。可用类型： oauth2, saml, ldap, proxy, radius, scim, rac, google_workspace, microsoft_entra.

RAC (8 tools)

RBAC (12 tools)

Root (1 tool)

Sources (10 tools)

源代码使用类型+配置模式。跨类型工具可在任何源上运行，而每种类型工具接受 source_type 参数。可用类型： oauth, saml, ldap, plex, kerberos, scim.

SSF (2 tools)

Stages (19 tools)

阶段使用类型+配置模式。交叉型工具可在任何阶段运行，而每种类型的工具可接受 stage_type 参数。可用类型： authenticator_duo, authenticator_email, authenticator_endpoint_gdtc, authenticator_sms, authenticator_static, authenticator_totp, authenticator_validate, authenticator_webauthn, captcha, consent, deny, dummy, email, identification, invitation, mtls, password, prompt, redirect, source, user_delete, user_login, user_logout, user_write.

Tenants (10 tools)

已知限制

以下企业终结点功能在中不可用 @goauthentik/api SDK：

• 结束01： 代理连接器CRUD
• 02端： 注册令牌CRUD
• 结束-03： 注册密钥查看
• 结束-06： 设备访问组CRUD
• 07结束： 舰队连接器CRUD
• 08结束： 连接器类型列表

这些企业端点功能需要尚未提供的SDK支持。

验证它是否有效

配置完MCP客户端后，询问您的AI助手：

“正在运行哪个版本的Authentik？”

如果连接正常，助理会打电话 authentik_admin_version 并返回您的服务器版本并构建哈希。

用法示例

• “列出管理员组中的所有用户” --电话 authentik_users_list 和 authentik_groups_list 查找和显示管理员组成员。
• “配置了哪些应用程序？” --电话 authentik_apps_list 显示所有应用程序及其提供者和组。
• “为创建新用户john.doe@example.com" --电话 authentik_users_create 设置新用户帐户。

故障排除

连接错误

• 验证 AUTHENTIK_URL 可从运行MCP服务器的计算机访问
• 确保URL上没有尾随斜线（使用 https://auth.example.com 不 https://auth.example.com/)
• 如果您的实例使用TLS，请验证HTTPS是否配置正确

令牌权限

• API令牌必须对您要使用的工具具有足够的权限
• 工具与 full 如果您的令牌只有读取权限，则访问层将失败--set AUTHENTIK_ACCESS_TIER=read-only 限制暴露
• 在Authentik管理界面的目录>令牌和应用程序密码下创建令牌

类别筛选

• 使用 AUTHENTIK_CATEGORIES 根据上面列出的实际类别值（例如。， core,admin,flows)，不是源文件名
• 用户、组、应用程序、令牌和品牌都在 core 类别，而不是单独的类别
• 使用不带空格的逗号分隔值（例如。， core,admin,events)

发展

# Install dependencies
npm install

# Build the project
npm run build

# Run in development mode (auto-reload)
npm run dev

# Open the MCP Inspector for interactive testing
npm run inspect

许可证

麻省理工学院