Доступ и группы

Агент работает от имени пользователя сайта, чей токен указан в его настройках. Доступ проверяется на двух уровнях:

1. Вход в шлюз. Роут /mcp принимает access-токен API-платформы только от пользователя группы «MCP: Клиенты» (NATIVE_MCP_CLIENT).
2. Инструменты. Каждый инструмент — роут API-платформы со своими списками групп. Агент видит и вызывает только роуты, доступные группам пользователя.

Пользователь

Агента можно подключить от имени любого пользователя сайта, в том числе уже существующего клиента. Добавьте его в группу «MCP: Клиенты».

Не подключайте агента от имени администратора: администраторы не ограничены списками групп роутов и увидят все инструменты.

Токен

Агент передаёт access-токен пользователя в заголовке Authorization: Bearer. Токены выпускает API-платформа: сам пользователь через API или администратор вручную. Способы выпуска, сроки, обновление и привязка к клиенту описаны в разделе «Токены авторизации».

Чтобы отключить агента, отзовите токен или исключите пользователя из группы «MCP: Клиенты».

Настройка Claude, Codex и других агентов — в разделе «Ручное подключение». Чтобы агент подключился сам, передайте ему «Инструкцию для агента».

Разграничение по группам

Группа «MCP: Клиенты» даёт вход в шлюз, но не определяет набор инструментов. Чтобы разные пользователи видели разные инструменты, создайте дополнительные группы и укажите их в whitelist нужных роутов, см. «Инструменты».

Так устроен пример «Список заказов»: инструмент доступен только группе «MCP: Заказы» (NATIVE_MCP_ORDER). Чтобы агент его увидел, пользователь должен входить и в «MCP: Клиенты», и в «MCP: Заказы». Роуты без whitelist доступны всем пользователям «MCP: Клиенты».

Правила whitelist и blacklist групп — в разделе «Безопасность роутов». Кроме того:

• Вызов недоступного инструмента по имени возвращает «Unknown or unavailable tool»: при выполнении группы проверяются повторно.
• Вне шлюза тот же роут можно вызвать обычным REST-запросом, если пользователь проходит его ограничения.