Atlassian Read-only MCP

Jira と Confluence Cloud への読み取り専用アクセスを AI アシスタントに提供する、小規模な MCP サーバーです。読み取り専用アクセスは、次の 2 つのレイヤーで強制されます。

1. Atlassian のトークンには読み取りスコープのみが含まれます。

2. サーバーは許可リストに登録された GET リクエストのみを実装します。

公開されるツールは次の 4 つです。

• Jira の課題を読む

• JQL で Jira を検索する

• Confluence のページを読む

• CQL で Confluence を検索する

汎用の HTTP ツールはなく、POST、PUT、PATCH、DELETE の実装もありません。万一、より広い権限の資格情報が誤って指定された場合でも、MCP クライアントには Jira や Confluence のコンテンツを変更するツールがありません。レスポンスはサイズが制限され、機密情報の可能性がある値は伏せられ、Confluence のストレージ HTML は Markdown に変換され、任意の JMESPath プロジェクションで返却データを削減できます。

要件

• Node.js 20 以降

• 設定済みの Atlassian Cloud テナントへのアクセス

• Jira 用と Confluence 用の、分離されたスコープ付き API トークン

• VS Code の GitHub Copilot などの MCP クライアント

Related MCP server: MCP Atlassian Server

インストール

git clone https://github.com/AlexSchaap-TMMC/atlassian-readonly-mcp.git C:\Tools\atlassian-readonly
Set-Location C:\Tools\atlassian-readonly
npm install
npm test

API トークンを作成する

Atlassian API tokens を開き、2 つのトークンを作成します。

Jira トークン

read:jira-work

このクラシックスコープのみで、課題の取得と JQL 検索が検証されています。Atlassian は、同等の細粒度スコープのみを含む Jira トークンを、401 Unauthorized; scope does not match で拒否しました。

Confluence トークン

read:page:confluence
read:content-details:confluence
search:confluence

これらの細粒度スコープは、CQL 検索とページ全体の取得で検証されています。

スコープはトークン作成時に固定されます。Jira と Confluence には別々のトークンが必要です。各トークンは一度きりの作成ダイアログからコピーし、ソースファイル、MCP 設定、シェルの履歴、課題、チャットには置かないでください。

書き込みスコープや管理スコープは追加しないでください。制限されたトークンにより、MCP 実装とは独立に、Atlassian が書き込み操作を拒否することが保証されます。

資格情報を保存する

リポジトリのディレクトリから:

npm run configure -- jira
npm run configure -- confluence

非表示のプロンプトは、各トークンを Windows Credential Manager、macOS Keychain、または Linux Secret Service に個別に保存します。Atlassian アカウントのメールは、資格情報ストアではなく MCP 環境に入れます。

VS Code で GitHub Copilot を設定する

コマンドパレットから MCP: Open User Configuration を実行します:

{
  "servers": {
    "atlassian-readonly": {
      "type": "stdio",
      "command": "node",
      "args": ["C:\\Tools\\atlassian-readonly\\src\\server.mjs"],
      "env": {
        "ATLASSIAN_USER_EMAIL": "your.atlassian.email@example.com",
        "NODE_OPTIONS": "--use-system-ca"
      }
    }
  }
}

VS Code を再読み込みし、Copilot Chat を開いて Configure Tools を選択し、4 つの Atlassian ツールを有効にします。

プロンプトの例:

Read HEC-123 and summarize its acceptance criteria.
Search Jira for open bugs assigned to me.
Search Confluence for pages about Kafka retry handling.

GitHub Copilot CLI を設定する

copilot mcp add atlassian-readonly `
  --env ATLASSIAN_USER_EMAIL="your.atlassian.email@example.com" `
  --env NODE_OPTIONS="--use-system-ca" `
  -- node C:\Tools\atlassian-readonly\src\server.mjs

サーバーを追加または変更した後は、Copilot CLI を再起動します。

トラブルシューティング

認証

以下を確認してください:

• メールアドレスが、トークンを作成した Atlassian アカウントと一致していること。

• 正しいプロダクトのトークンが保存されていること。

• トークンが最新であり、そのアカウントが要求されたコンテンツにアクセスできること。

• Jira が、細粒度の Jira スコープだけでなく read:jira-work に一致していること。

• Confluence に上記の 3 つのスコープがすべて含まれていること。

• トークンを置き換えた後に MCP ホストが再起動されていること。

スコープ付きトークンは、Atlassian のプロダクトゲートウェイを使用する必要があります:

https://api.atlassian.com/ex/jira/{cloudId}
https://api.atlassian.com/ex/confluence/{cloudId}

このサーバーは、src/atlassian.mjs の固定テナント Cloud ID を使用します。

企業証明書

Zscaler などの TLS 検査製品は、HTTPS トラフィックを企業の認証局で再署名します。Windows はその認証局を信頼する場合がありますが、Node.js はバンドルされた CA リストを使い続けます。対応する Node.js バージョンでは、これを MCP 環境に入れてください:

NODE_OPTIONS=--use-system-ca

必要に応じて、期限切れでない企業 CA を Base-64 PEM としてエクスポートし、NODE_EXTRA_CA_CERTS にその絶対パスを設定します。TLS の検証を無効にしないでください。

WSL には、または Linux トラストストアがあります。該当する企業のルート証明書と中間証明書を Windows からエクスポートし、.crt 拡張子で保存し、/usr/local/share/ca-certificates/ にコピーしてから、次カーネル:

sudo update-ca-certificates

curl、Docker、Node.js、その他の HTTPS クライアントを再試行する前に、WSL を再起動します。

WSL とヘッドレスシステム

デスクトップのキーリングが利用できない場合は、制限されたトークンファイルを使用してください:

mkdir -p ~/.config
install -m 600 /dev/null ~/.config/atlassian-jira-token
install -m 600 /dev/null ~/.config/atlassian-confluence-token
read -rsp "Jira API token: " token; echo
printf '%s' "$token" > ~/.config/atlassian-jira-token
read -rsp "Confluence API token: " token; echo
printf '%s' "$token" > ~/.config/atlassian-confluence-token
unset token

MCP 環境で、サンプルの変数にしてください:

ATLASSIAN_USER_EMAIL
ATLASSIAN_JIRA_TOKEN_FILE
ATLASSIAN_CONFLUENCE_TOKEN_FILE

ATLASS_JIRA_API_Token と ATLASS_CONFUENCE_API_TOOKEN ont、プロセススコープの CI 利用に対応していますが、デスクトップ設定に保存すべきではありません。

資格情報と回転・削除

保存したトークンを置き換えます:

npm run configure -- jira
npm run configure -- confluence

保存したトークンを削除します:

npm run configure -- jira delete
npm run configure -- confluence delete

ローる削除で、トークンは失効しません。Atlassian のトークン管理ページで、個に失効させてください。

セキュリティ境界

このプロジェクトは多層防御を採用しています。

• トークンの強制: 文書化されたトークンには Atlassian の読取スコープのみが含まれるため、Atlassian は書キ込みを強制しません。

• 実装の強制: 公開されいるは、制限の4つの読み取りツールのみです。その URL と HTTP メソッドは固定され、呼び出し側が他にホスト、エンドポイント、メソッドを選択できません。

• レスポンス制御: レスポンスはサイ追加制限され、機密情報の可能性があるものは伏せられ、プロジェクションで返却データを最小化できます。

トークンは、作成者の可視性を依然として継承します。つまり、MCP はそのアカウントがすでにアクセスできるコンテンツのみを読み取ります。トークンを広くするとトークンレイヤとしての保護は弱まりますが、このサーバーに書き込み操作が追加されることはありません。

ライセンス

MIT