近期，许多有远见的企业都在积极探索如何将模型上下文协议（MCP）应用于实际，以实现AI智能体与现有工具的无缝集成。然而，每次授权都需要员工手动点击OAuth确认弹窗，每台服务器重复操作一次。当规模扩大时，授权流程变得繁琐且低效。好消息是，MCP团队一直在致力于推动中央化访问权限管理，如今这一愿景终于成为现实。

（图片位置保持不变）

这项名为“企业托管授权”的扩展功能现已发布稳定版本。Anthropic与微软率先将其集成至自家产品，涵盖Claude、Claude Code、Claude Cowork及Visual Studio Code。同时，Okta成为首家支持该功能的身份提供商。

MCP自发布以来增长迅猛，这并不意外：早期技术规范并未充分考虑企业级应用场景。标准MCP授权模型本质上是为个人用户设计的。即便现在，授权服务器仍需手动逐台连接。安全团队无法统一执行访问策略，也难以获得完整的审计记录。更棘手的是，员工容易将个人账号与工作工具混用，带来安全隐患。

“只需登录一次，所有MCP连接器即可自动完成配置，这种体验堪称神奇。”Linear工程负责人Tom Moor在今日公告中这样评价。

简而言之，企业托管授权的核心逻辑是：由身份提供商充当决策者，决定客户端可访问哪些MCP服务器。管理员只需配置一次策略，员工即可使用现有企业身份凭证直接登录。

与传统OAuth的最大区别在于，用户全程无需执行任何授权确认操作。在单点登录过程中，客户端从身份提供商获取一份签名断言，该断言同时验证用户身份和请求访问的应用程序。随后，客户端将此断言提交给MCP服务器自身的授权服务器，后者返回一个带有权限限制的访问令牌，供客户端后续使用。

该技术称为“身份断言JWT授权授予”（Identity Assertion JWT Authorization Grant，简称ID-JAG），是一项正在成为IETF标准的OAuth扩展规范。Okta将其品牌化为Cross App Access。由于是开放标准，理论上任何身份提供商均可支持，但目前仅Okta率先实现了落地。

对于IT团队而言，这从根本上终结了“一人一审批”的混乱局面。管理员可为整个组织、团队或个人启用服务器，员工及其智能体可直接继承相应权限，访问范围与现有用户组和角色保持一致。

访问控制与审计工作也统一归至身份提供商的管理控制台。所有连接器的访问决策均沿同一条路径留下完整记录。如需撤销某用户的访问权限，只需直接停用账号，MCP的访问权限也会同步关闭。

企业IT部门掌握了连接的控制权后，无论是主动还是无意，混用个人账号与工作账号的情况都将变得极为困难。

在实际部署中，Anthropic与Okta的联合实现方案颇具特色：Claude Managed Agents可导入企业目录，作为有明确责任人的身份实体进行管理。合规接口还会将不活跃的智能体、账户配置错误等风险信号直接反馈给安全团队。

在今日公告中，Okta身份标准总监Aaron Parecki将这一成果描述为：让身份提供商成为MCP访问管理的“集中式治理平面”。该平面决定谁可以连接哪些资源，但不决定具体操作是否可执行。

值得注意的是，该扩展授予的权限范围相对宽泛。至于某个智能体在特定时刻对特定资源能否执行特定操作，这类更细粒度的判断通常由策略引擎和网关负责——它们一般位于智能体与其调用的工具之间。

除Anthropic、Okta和微软外，Asana、Atlassian、Canva、Figma、Granola、Linear、Supabase等公司也已支持该扩展。Slack及其他一些公司也将陆续跟进。

Okta还计划为其Auth0开发者平台引入对该协议的原生支持，这样开发者无需从头实现，即可直接对外暴露MCP服务器的能力。

Q&A

Q1：MCP企业托管授权和传统OAuth授权到底有什么不同？

传统OAuth授权要求用户每次连接服务器时手动点击确认弹窗，流程繁琐且难以统一管理。而企业托管授权则相反：由身份提供商集中决策，员工通过单点登录后自动获得相应权限，全程无需用户手动操作任何授权确认界面。访问控制与审计记录也统一汇聚在身份提供商的管理控制台中。

Q2：ID-JAG到底是什么？它在这个架构里起什么作用？

ID-JAG全称为“身份断言JWT授权授予”，是一项刚成为IETF草案的OAuth扩展规范。在MCP企业托管授权中，它扮演核心凭证传递者的角色：客户端在单点登录时从身份提供商获取的ID-JAG签名断言，同时验证了用户身份和应用程序身份。客户端利用该断言向MCP服务器换取一个带有权限范围限制的访问令牌。Okta将其品牌化为Cross App Access，目前是唯一正式支持该标准的身份提供商。

Q3：MCP企业托管授权具体能解决哪些安全难题？

主要解决三类问题：第一，杜绝员工混用个人账号与工作工具的风险，因为企业IT统一控制了连接逻辑；第二，让安全团队能够统一执行访问策略，管理员配置一次即可全局生效；第三，打通审计记录壁垒，所有连接器的访问决策统一留存，停用用户账号时MCP访问权限同步关闭，避免残留访问风险。