Atlassian Read-only MCP

Небольшой MCP-сервер, который предоставляет ИИ-ассистентам доступ только для чтения к Jira и Confluence Cloud. Доступ только для чтения обеспечивается на двух уровнях:

1. Токены Atlassian содержат только области действия для чтения.

2. Сервер реализует только авторизованные GET-запросы.

Он предоставляет четыре инструмента:

• Прочитать задачу Jira

• Поиск в Jira с помощью JQL

• Прочитать страницу Confluence

• Поиск в Confluence с помощью CQL

Здесь нет универсального HTTP-инструмента и нет реализации POST, PUT, PATCH или DELETE. Даже если будут случайно переданы более широкие учётные данные, клиенты MCP всё равно не будут иметь инструмента для изменения контента Jira или Confluence. Ответы ограничены по размеру, вероятные секреты маскируются, HTML-код из хранилища Confluence конвертируется в Markdown, а опциональные JMESPath-проекции могут сократить объём возвращаемых данных.

Требования

• Node.js 20 или новее

• Доступ к настроенному облачному тенанту Atlassian

• Отдельные ограниченные API-токены для Jira и Confluence

• MCP-клиент, такой как GitHub Copilot в VS Code

Related MCP server: MCP Atlassian Server

Установка

git clone https://github.com/AlexSchaap-TMMC/atlassian-readonly-mcp.git C:\Tools\atlassian-readonly
Set-Location C:\Tools\atlassian-readonly
npm install
npm test

Создание API-токенов

Откройте API-токены Atlassian и создайте два токена.

Jira-токен

read:jira-work

Только классической области достаточно для получения задачи и поиска по JQL. Atlassian отклонил Jira-токены, содержащие только эквивалентные детализированные области, с ответом 401 Unauthorized; scope does not match.

Confluence-токен

read:page:confluence
read:content-details:confluence
search:confluence

Эти детализированные области проверены для поиска по CQL и полного чтения страниц.

Области действия фиксируются при создании токена. Jira и Confluence требуют отдельных токенов. Скопируйте каждый токен из однократного диалога создания и не помещайте его в исходные файлы, конфигурацию MCP, историю командной оболочки, задачи или чат.

Не добавляйте области на запись или администрирование. Ограниченные токены гарантируют, что Atlassian отклоняет операции записи независимо от реализации MCP.

Сохранение учётных данных

Из каталога репозитория:

npm run configure -- jira
npm run configure -- confluence

Скрытые запросы ввода сохраняют каждый токен отдельно в Windows Credential Manager, macOS Keychain или Linux Secret Service. Электронная почта учётной записи Atlassian должна находиться в окружении MCP, а не в хранилище учётных данных.

Настройка GitHub Copilot в VS Code

Выполните MCP: Open User Configuration из палитры команд:

{
  "servers": {
    "atlassian-readonly": {
      "type": "stdio",
      "command": "node",
      "args": ["C:\\Tools\\atlassian-readonly\\src\\server.mjs"],
      "env": {
        "ATLASSIAN_USER_EMAIL": "your.atlassian.email@example.com",
        "NODE_OPTIONS": "--use-system-ca"
      }
    }
  }
}

Обновите VS Code, откройте Copilot Chat, выберите Configure Tools и включите четыре инструмента Atlassian.

Примеры запросов:

Read HEC-123 and summarize its acceptance criteria.
Search Jira for open bugs assigned to me.
Search Confluence for pages about Kafka retry handling.

Настройка GitHub Copilot CLI

copilot mcp add atlassian-readonly `
  --env ATLASSIAN_USER_EMAIL="your.atlassian.email@example.com" `
  --env NODE_OPTIONS="--use-system-ca" `
  -- node C:\Tools\atlassian-readonly\src\server.mjs

Перезапустите Copilot CLI после добавления или изменения сервера.

Устранение неполадок

Аутентификация

Проверьте, что:

• Адрес электронной почты соответствует учётной записи Atlassian, создавшей токены.

• Были сохранён правильный токен продукта.

• Токен актуален, а учётная запись может получить доступ к запрашиваемому контенту.

• Jira использует read:jira-work, а не только детализированные области Jira.

• У Confluence есть все три указанных выше области действия.

• Хост перезапу ал.

Токены с ограничениями должны использовать продуктовые шлюзы Atlassian:

https://api.atlassian.com/ex/jira/{cloudId}
https://api.atlassian.com/ex/confluence/{cloudId}

Этот сервер использует фиксированный Cloud ID тенанта в src/atlassian.mjs.

Корпоративные сертификаты

Продукты для проверки TLS, такие как Zscale, повторно подписывают HTTPS-трафик с помощью корпоративного удостоверяющего центра. Windows может доверять этому центру, в то время как Node.js по-прежнему использует встроенный список CA. В поддерживаемых версиях Node.js добавьте это в окружение MCP:

NODE_OPTIONS=--use-system-ca

Если требуется, экспортируйте непростроченный корпоративный CA в формате Base64‑PEM и укажите в NODE_EXTRA_CA_CERTS его абсолютный путь. Никогда не отключение проверку TLS.

WSL имеет отдельное двоение Linux. Экспортируйте из Windows корневые и промежуточные сертификаты, сохраните их с расширением .crt, скопируйте в /usr/local/share/ca-certificates/, затем выполните:

sudo update-ca-certificates

Перезапустите WSL перед повторной попыткой curl, Docker, Node.js или других HTTPS‑клиентов.

WSL и системы без графического интерфейса

Если keyring рабочего стола недоступен, используйте файлы токенов с ограниченными правами:

mkdir -p ~/.config
install -m 600 /dev/null ~/.config/atlassian-jira-token
install -m 600 /dev/null ~/.config/atlassian-confluence-token
read -rsp "Jira API token: " token; echo
printf '%s' "$token" > ~/.config/atlassian-jira-token
read -rsp "Confluence API token: " token; echo
printf '%s' "$token" > ~/.config/atlassian-confluence-token
unset token

Настройтете эти переменными в окружении MCP:

ATLASSIAN_USER_EMAIL
ATLASSIAN_JIRA_TOKEN_FILE
ATLASSIAN_CONFLUENCE_TOKEN_FILE

ATLASSIAN_JIRA_API_TOKEN и ATLASSIAN_CONFLUENCE_API_TOKEN поддерживаются для процесса в CI, но не должны сохраняться на рабочих станциях.

Изменение или удаление учётных данных

Замените сохранённые токены:

npm run configure -- jira
npm run configure -- confluence

Удалите сохранённые токены:

npm run configure -- jira delete
npm run configure -- confluence delete

Локальное удаление не отзываетя токенек. Отзовите его отдельно через страницу управления токеном.

Граница безопасности

Проект использует защиту на нескольких уровнях:

• Ограничение токена: документированные токены имеют только чтение-области Azure, поэтому Atlassian не авторизует записы.

• Ограничение реализации: открыт только четыре узких инструмента чтения. Их URL и HTTP-метод фиксированы; вызывающие не может выбирать другой хост, endpoint or method.

• Контроль ответов: ответы размерно ограничены, вероятные секреты маскируются, а проекции могут уменьшать отдача.

Токены по-прежнему получают уровень видимости создателя: сервер MCP может читать только те данные, которые пользователь уже имеет право читать. Подключение более широкого токена ослабляет слой токена, но не добавляет операции записи данному серверу.

Лицензия

MIT