claude.ai- und ChatGPT-Konnektoren

Im Admin-Bereich: System › Settings › API & AI agents (/agent/keys), Reiter Connected apps. Der Einwilligungsbildschirm öffnet sich unter /agent/consent, wenn ein Konnektor Zugriff anfordert (nicht im Menü).

Funktion

Web-AI-Apps können keinen Schlüssel von Ihrer Festplatte lesen. Sie verbinden sich über OAuth: Sie fügen die MCP-URL des Panels hinzu, die App leitet Sie zur Anmeldung an Ihren eigenen Administratorbereich weiter, Sie wählen aus, was die App tun darf und für wie lange, und die App erhält kurzlebige Token. Es wird kein Schlüssel kopiert oder eingefügt. Sie können die Verbindung zur App jederzeit trennen.

Verwenden Sie dies für benutzerdefinierte claude.ai-Konnektoren, ChatGPT-Entwicklermodus-Konnektoren und andere MCP-Clients, die OAuth mit dynamischer Client-Registrierung unterstützen. Befehlszeilentools können denselben Ablauf verwenden, aber ein admin API key ist für diese einfacher.

Anforderungen

Komponente	Anforderung
URL	https://cloud.example.com/mcp/admin, aus dem Internet erreichbar (die Server des Anbieters stellen eine Verbindung her).
Reverse proxy	Wenn Sie einen eigenen Proxy vor dem Panel einsetzen, muss dieser die Pfade /mcp/admin, /oauth-admin/ und /.well-known/ an das Panel weiterleiten.
You	Angemeldet im NexCMP-Admin-Bereich im selben Browser, den Sie für den Einwilligungsbildschirm verwenden.
Client	Unterstützt MCP über Streamable HTTP, OAuth 2.1 mit PKCE (S256) und dynamische Client-Registrierung.

Connect

1. Fügen Sie in der AI-App einen benutzerdefinierten MCP-Konnektor hinzu und fügen Sie https://cloud.example.com/mcp/admin ein. In claude.ai finden Sie dies in den Konnektoreinstellungen (Custom-Konnektor hinzufügen); in ChatGPT unter dem Entwicklermodus (MCP-Konnektor hinzufügen, Authentifizierung OAuth).
2. Wählen Sie Sign in (oder „Connect“) in der App. Ihr Browser öffnet den NexCMP-Admin-Einwilligungsbildschirm. Wenn Sie nicht angemeldet sind, melden Sie sich zuerst an; der Bildschirm wird danach fortgesetzt.
3. Lesen Sie die Karte: „Example AI app möchte diesen NexCMP-Admin verwalten“ (der Name der anfragenden App) mit der Adresse, an die Sie zurückgeleitet werden.
4. Wählen Sie die zu gewährenden Berechtigungen aus. Die von der App angeforderten sind vorab ausgewählt; wurden keine angefordert, ist nur admin:read ausgewählt. Siehe Scopes.
5. Wählen Sie, wie lange die Verbindung dauern soll: 7, 30 oder 90 Tage (Standard: 30).
6. Klicken Sie auf Allow. Der Browser kehrt zur App zurück, die nun verbunden ist. Klicken Sie auf Deny, um abzulehnen.

::: important Wählen Sie Bereiche wie bei einem Schlüssel aus Gewähren Sie den kleinstmöglichen Satz, der die Aufgabe erfüllt. Finanz-, Lösch- und Sicherheitsaktionen halten nach wie vor bei einer Vorschau an und erfordern Ihre Genehmigung, aber eine Verbindung mit settings:write kann dennoch Ihr Branding und Ihre E-Mail ändern. :::

Manage and revoke

Öffnen Sie System › Settings › API & AI agents › Connected apps. Die Tabelle listet jede von Ihnen verbundene App auf: Anwendung, Berechtigungen, Zeitpunkt der Verbindung, Ablaufdatum und Zeitpunkt der letzten Verwendung.

Um eine App zu trennen, klicken Sie auf Revoke und bestätigen Sie dies. Ihre Token funktionieren sofort nicht mehr; die App muss den Einwilligungsbildschirm erneut durchlaufen, um sich zu verbinden.

So funktioniert der Ablauf

Schritt	Detail
Discovery	Die App liest /.well-known/oauth-protected-resource/mcp/admin und danach /.well-known/oauth-authorization-server/oauth-admin. Der Aussteller ist https://cloud.example.com/oauth-admin.
Registration	Die App registriert sich selbst (POST /oauth-admin/register, RFC 7591). Es werden nur öffentliche Clients unterstützt (kein Client-Geheimnis). Die Weiterleitungsadresse muss https sein oder http auf demselben Computer (Loopback).
Authorization	GET /oauth-admin/authorize mit PKCE-Methode S256. Ein gesendeter resource-Parameter muss die /mcp/admin-URL dieses Panels sein. Die Anfrage ist 10 Minuten gültig und an den Browser gebunden, der sie gestartet hat.
Zustimmung	Sie wählen Scopes und Dauer (oben). Der Autorisierungscode ist 60 Sekunden gültig und funktioniert einmal.
Tokens	POST /oauth-admin/token gibt ein Access Token (ein ak_o... Schlüssel, gültig 1 Stunde oder bis zum Ende der Verbindung, je nachdem, was zuerst eintritt) und ein Refresh Token (akr_...) zurück. Jede Aktualisierung liefert ein neues Refresh Token; das alte funktioniert nicht mehr. Die Verbindung endet nach der von Ihnen gewählten Anzahl an Tagen.
Widerruf	Revoke in Connected apps, oder die App ruft POST /oauth-admin/revoke auf (RFC 7009).

Das Access Token verhält sich wie ein Admin-Schlüssel mit den von Ihnen gewährten Scopes: dieselben Scope-Regeln, Bestätigungen, Rate Limits und Aktivitätsprotokolle. Seine Aufrufe werden auf der Registerkarte Activity angezeigt.

Verifizierung

1. Fragen Sie in der App „run system_health“ (oder „what tools do you have?“). Die App listet die Tools auf, die Ihre Scopes erlauben (die Tool-Liste).
2. Öffnen Sie Connected apps: Last used ändert sich.
3. Öffnen Sie Activity: Die Aufrufe werden mit dem Namen der App und mcp aufgelistet.

Limits & Hinweise

• Wenn die App nach einer Stunde erneut zur Anmeldung auffordert, ist das normal, wenn ein Client keine Aktualisierung durchführt; verbinden Sie sich erneut.
• Ein Refresh Token, das zweimal verwendet wird, wird als gestohlen behandelt: Die gesamte Verbindung wird widerrufen. Verbinden Sie sich über die App neu.
• Ein zweimal verwendeter Autorisierungscode wird abgelehnt (invalid_grant) und die bereits dafür ausgegebenen Tokens werden widerrufen.
• OAuth-Zugriff gewährt niemals mehr, als die Scope-Regeln erlauben: Was ein Schlüssel niemals tun kann gilt auch für verbundene Apps.
• Anbieter ändern ihre Menüs und das, was sie unterstützen. Wenn die App eines Anbieters in Ihrem Tarif keine benutzerdefinierten Konnektoren anbietet, verwenden Sie stattdessen einen Admin-API-Schlüssel mit einem Desktop- oder Befehlszeilen-Client.

Fehlerbehebung

Symptom	Ursache	Behebung
Der Einwilligungsbildschirm zeigt „Wrong browser“	Die Anfrage wurde in einem anderen Browser gestartet als dem, in dem Sie angemeldet sind	Starten Sie die Verbindung von der KI-App aus im selben Browser neu.
Der Einwilligungsbildschirm besagt, dass die Anfrage abgelaufen ist oder fehlt	Es sind mehr als 10 Minuten vergangen oder der Link wurde zweimal geöffnet	Starten Sie die Verbindung von der KI-App aus neu.
Seite „Unknown client“ oder „redirect address does not match“	Die App-Registrierung ist veraltet oder verwendet eine Weiterleitungsadresse, die nicht registriert wurde	Entfernen Sie den Konnektor in der App und fügen Sie ihn erneut hinzu.
invalid_target	Das gesendete resource ist nicht die /mcp/admin-URL dieses Panels	Verwenden Sie die genaue URL, die auf der Registerkarte Connect an AI angezeigt wird.
invalid_request zu PKCE	Der Client sendet kein code_challenge_method=S256	Verwenden Sie einen Client, der OAuth 2.1 mit PKCE unterstützt.
Die App verbindet sich, aber ein Aufruf gibt insufficient_scope zurück	Sie haben diesen Scope nicht ausgewählt	Widerrufen Sie die Verbindung und verbinden Sie sich erneut mit ausgewähltem Scope.
Die App kann die URL nicht erreichen	DNS, TLS oder der Reverse Proxy blockiert /mcp/admin, /oauth-admin/ oder /.well-known/	Überprüfen Sie die Proxy-Regeln.