Entra ID MCP Sunucusu

Microsoft Entra ID (Azure AD) hakkında salt-okunur bir Model Context Protocol sunucusu. ArubaCentralMCP / JamfMCP / DefenderCloudAppsMCP / TeamsCallsMCP / IntuneMCP ile aynı mimari desenle yazılmıştır ve NetRadar Copilot Studio ajan ailesinin bir parçasıdır.

Mimari

flowchart LR
    A["MCP İstemcisi<br/>(Copilot Studio / Claude Code)"] -->|"HTTPS<br/>Authorization: Bearer &lt;token&gt;"| B["Caddy<br/>(aruba-mcp-vm üzerinde,<br/>altıncı site block'u)"]
    B -->|"127.0.0.1:8425"| C["entraid-mcp.service<br/>Python / mcp.server.MCPServer"]
    C -->|"OAuth2 client_credentials<br/>Bearer &lt;access_token&gt;"| D["Microsoft Graph API<br/>graph.microsoft.com<br/>/auditLogs/signIns, /users/{id}/memberOf, /subscribedSkus"]

Barındırma: Ayrı bir VM açılmadı — aruba-mcp-vm (Azure, ArubaMCP resource group) üzerinde altıncı bir systemd servisi (entraid-mcp.service, port 8425) ve Caddy'de altıncı bir site block'u (ayrı subdomain, ayrı bearer token) olarak çalışır. Dedike, ayrıcalıksız entraidmcp sistem kullanıcısı altında.

Kimlik Doğrulama

Microsoft Entra ID, Doğuş Grubu tenant'ı (dogusgrubu.onmicrosoft.com). Ayrı bir Entra ID App Registration (EntraIDMCP), OAuth2 client_credentials akışı, 4 application permission (hepsi admin consent almış):

Not — lisans bilgisi neden /subscribedSkus üzerinden geliyor: /users/{id}/licenseDetails uç noktası Microsoft Graph'ta uygulama (app-only) izniyle hiç desteklenmiyor, yalnızca delegated (kullanıcı oturumu) erişimle çalışıyor. Bu yüzden get_user_licenses tool'u, tenant'ın SKU kataloğunu (/subscribedSkus, 1 saat önbelleklenir) kullanıcının assignedLicenses alanıyla eşleştirerek çalışıyor — servis planı bazında ayrıntı yok, yalnızca üst seviye SKU adı (örn. ENTERPRISEPREMIUM).

Araçlar

Gizlilik / Kapsam Notları

• Sign-in loglarında hassas geoCoordinates (enlem/boylam) alanı bilinçli olarak hiç döndürülmez — yalnızca şehir/ülke düzeyi tutulur.
• Risk alanları (riskLevelDuringSignIn, riskDetail) yalnızca Entra ID P2 lisansında dolu gelir; P1/Free'de Graph "hidden" döndürür.
• Yazma/aksiyon işlemi (parola sıfırlama, hesap kilitleme, grup üyeliği değiştirme, sign-in riskli/güvenli işaretleme vb.) hiç içermez.