Mit Flip als Identity Provider ruft Ask AI deinen MCP-Server im Namen der Person auf, die gerade chattet, mit deren eigener Identität und deren Berechtigungen. Statt eines geteilten API-Keys erhält dein MCP-Server ein von Flip ausgestelltes Access Token, das den User identifiziert. So kann der Server eigene Berechtigungen pro User anwenden, zum Beispiel damit eine Teamleitung nur die Daten des eigenen Teams sieht.

Diese Methode ist für MCP-Server gedacht, die Flip bereits als Identity Provider vertrauen, zum Beispiel Server deiner IT, eines Partners oder eines Integrators. Hat dein MCP-Server einen eigenen Authorization Server, verwende stattdessen MCP Enterprise Authentication.

Voraussetzungen

• Ask AI ist für deine Organisation aktiviert.
• Du kannst in der Admin Console OIDC-Clients und Custom Agents verwalten.
• Dein MCP-Server validiert Access Tokens, die von Flip ausgestellt wurden (siehe getflip.dev).

So funktioniert es

Du registrierst den MCP-Server als OIDC-Client und erlaubst Ask AI, Tokens für ihn zu tauschen. Dann fügst du den Server als Connector mit Flip als Identity Provider hinzu. Bei jedem Tool-Aufruf tauscht Ask AI das Flip-Token des Users gegen ein Token, das an deinen OIDC-Client adressiert ist, und sendet es an den MCP-Server. Der Server validiert es, liest aus, welcher User anfragt, und wendet dessen Berechtigungen an. In Flip werden keine Secrets gespeichert, und User müssen sich nicht erneut anmelden.

Schritt 1: Token-Exchange für deinen OIDC-Client erlauben

1. Öffne die Admin Console und gehe zu Zugriff & Sicherheit > OIDC-Clients.
2. Klicke auf OIDC-Client erstellen, oder auf Bearbeiten bei einem bestehenden Client, den dein MCP-Server bereits nutzt.
3. Gib eine Client-ID ein, zum Beispiel den Namen deines MCP-Servers.
4. Klicke im Abschnitt Token-Austausch auf Client hinzufügen und wähle ASK_AI.
5. Lass die Redirect-URIs leer, wenn der Client nur für den Token-Austausch verwendet wird.
6. Klicke auf OIDC-Client erstellen oder Speichern.

In der Detailansicht stehen jetzt Token-Austausch: ASK_AI und die OIDC Discovery URL, mit der dein MCP-Server Tokens validiert.

Gut zu wissen:

• In Schritt 2 lassen sich nur Clients auswählen, bei denen ASK_AI unter Token-Austausch eingetragen ist.
• Entfernst du ASK_AI, endet der Token-Austausch sofort. Connectors mit diesem Client funktionieren erst wieder, wenn du ihn erneut erlaubst.
• Änderungen erscheinen im Audit Log.

Schritt 2: MCP-Server als Connector hinzufügen

1. Gehe zu KI-Assistent > Custom Agents und klicke auf Neuer Agent, oder öffne einen bestehenden Agent und gehe zu Connectors.
2. Klicke auf Connector hinzufügen und gib Name, MCP-Server-URL und Transport ein.
3. Wähle unter Authentifizierung die Option Flip als Identity Provider.
4. Wähle unter OIDC-Client den Client aus Schritt 1. Es werden nur Clients angezeigt, die Ask AI den Token-Austausch erlauben.
5. Klicke auf Speichern.

Flip verbindet sich mit einem getauschten Token zum MCP-Server und lädt die Tools. Schlägt das fehl, zum Beispiel weil der Server das Token ablehnt, siehst du die Fehlermeldung des Identity Providers, und der Connector wird nicht gespeichert.

6. Lege die Tool-Berechtigungen fest, vervollständige Agent-Details und Benutzerberechtigungen, klicke auf Agent erstellen und setze den Agent auf Aktiv.

Was dein MCP-Server tun muss

• Bei jedem Tool-Aufruf ein von Flip ausgestelltes Bearer Token akzeptieren.
• Issuer, Audience und Signatur gegen Flip validieren, über die OIDC Discovery URL aus der Detailansicht des Clients.
• Die Audience ist die Client-ID deines OIDC-Clients, das Subject der chattende User. Das Token enthält außerdem die Organisation des Users.
• Beim Ausführen des Tools die Berechtigungen des Users anwenden.

Vollständiger Guide mit Beispielen: getflip.dev.