trmm-exec-mcp

Ein MCP-Server für Tactical RMM: Entra-gesteuertes Lesen + ein schreibgeschützter PowerShell Runner. Nur Mitglieder der zugewiesenen Entra-Sicherheitsgruppe können sich verbinden. Er liest alles auf der Plattform und führt informationssammelnde PowerShell auf jedem Agenten aus – und verweigert alles, was den Zustand ändert. Basierend auf FastMCP 3.x mit Microsoft Entra-Authentifizierung (gleicher Stack wie odoo-ticket-mcp).

v2 (vereinfacht). Das frühere Design fügte ein Roam-One-Time-Token-Genehmigungsrelay für echte Schreib-/Ausführungsvorgänge hinzu. Das war mehr Maschinerie als der tatsächliche Bedarf, daher entfernt v2 das Relay, den Vorschlagsspeicher, die Genehmigerliste und die Agenten-Zulassungsliste. Sicherheit kommt jetzt aus zwei Dingen: der Entra-Gruppe (wer sich verbinden kann) und dem Schreibschutz-Wächter (was ein Skript tun darf). Der alte Ablauf lebt in der Git-Historie vor dem simplify/readonly-entra-Branch.

Was es schreibgeschützt hält

Beliebige PowerShell kann nicht bewiesen schreibgeschützt sein, daher ist guard.py eine strenge, mehrschichtige Absicherung, die eher ablehnt. Zwei Ebenen:

1. Cmdlet-Verb-Zulassungsliste — PowerShell-Cmdlets sind Verb-Nomen; nur Lese- Verben (Get, Test, Measure, Select, …) bestehen, sodass alle Set-*, New-*, Remove-*, Stop-*, Restart-* konstruktionsbedingt abgelehnt werden.

2. Sperrliste für gefährliche Tokens — erfasst zustandsändernde Konstrukte, die keine Verb-Nomen-Cmdlets sind (native del/reg delete/schtasks, .NET ::Delete, Umleitung auf Platte) und Verschleierung, die Ebene 1 aushebeln würde (iex, -EncodedCommand, Base64-Decodierung, Invoke-Command).

Eine Ablehnung benennt das auslösende Token. Dies ist keine Sandbox – weisen Sie TRMM_API_KEY weiterhin einem Konto zu, dessen Schadensradius Sie akzeptieren.

Related MCP server: EndpointRead-MCP

Authentifizierung: Microsoft Entra (Ressourcenserver-Modus)

FastMCPs AzureJWTVerifier + RemoteAuthProvider: Der Server validiert audience-gebundene Entra-Tokens und veröffentlicht Metadaten für geschützte Ressourcen; er stellt niemals Tokens aus. claude.ai führt den OAuth gegen Entra durch und verbindet sich. nginx davor macht nur TLS + die Anthropic-IP-Zulassungsliste. Beschränken Sie den Zugriff auf die Senior-Engineers über die Gruppenzuweisung der Entra-App (Assignment required = Yes).

Tools

Konfiguration (nur Umgebung)

† erforderlich, wenn MCP_AUTH_ENABLED=true.

TRMM-Konto

Verwendet den claude-TRMM-Benutzer, bereitgestellt mit Lese- und Sendeberechtigungen (SendCMDPerms). Legen Sie seinen Schlüssel in TRMM_API_KEY ab (über die Portainer-Stack-Umgebung, niemals im Git). Der Schreibschutz-Wächter begrenzt, was ein Skript tun kann; halten Sie das Konto auf das beschränkt, was die Tools benötigen. Behandeln Sie Domänencontroller als besonders sensibel.

Ausführen/Bereitstellen

python -m venv .venv && .venv\Scripts\activate
pip install -r requirements.txt
# local (auth off): set TRMM_API_URL, TRMM_API_KEY, MCP_AUTH_ENABLED=false, then:
python -m trmm_exec_mcp

Produktion: PORTAINER_DEPLOY.md (Git-Stack + Entra-Umgebung, Host-Port) + deploy/nginx-trmm-exec-mcp.conf.

Verifizieren

python -m py_compile trmm_exec_mcp/*.py — sauber. Der Schreibschutz-Wächter hat eine Testsuite (Leseskripte erlaubt; mutierende/verschleierte/nativ-destruktive abgelehnt). Nach der Bereitstellung: /healthz ok, /mcp ohne Authentifizierung → 401, und das Discovery-Dokument bewirbt den https://…/mcp/access_as_user-Umfang (nicht api://…).