trmm-exec-mcp

Un servidor MCP para Tactical RMM: lecturas controladas por Entra + un ejecutor de PowerShell de solo lectura. Solo los miembros del grupo de seguridad de Entra asignado pueden conectarse. Lee todo en la plataforma y ejecuta PowerShell de recopilación de información en cualquier agente — y rechaza cualquier cosa que cambie el estado. Construido sobre FastMCP 3.x con autenticación de Microsoft Entra (misma pila que odoo-ticket-mcp).

v2 (simplificado). El diseño anterior añadía un relé de aprobación de token de un solo uso de Roam para escritura/ejecución genuina. Eso era más complejo de lo que la necesidad real requería, así que v2 elimina el relé, el almacén de propuestas, la lista de aprobadores y la lista de permitidos de agentes. La seguridad ahora proviene de dos cosas: el grupo de Entra (quién puede conectarse) y el guardia de solo lectura (lo que un script puede hacer). El flujo antiguo vive en el historial de git antes de la rama simplify/readonly-entra.

Qué lo mantiene de solo lectura

PowerShell arbitrario no puede probarse como de solo lectura, por lo que guard.py es un respaldo estricto de defensa en profundidad que se inclina por rechazar. Dos capas:

1. Lista de permitidos de verbos de cmdlet — Los cmdlets de PowerShell son Verbo-Sustantivo; solo pasan los verbos de lectura (Get, Test, Measure, Select, …), por lo que cualquier Set-*, New-*, Remove-*, Stop-*, Restart-* se rechaza por construcción.

2. Lista de denegados de tokens peligrosos — detecta construcciones que cambian el estado que no son cmdlets Verbo-Sustantivo (del nativo, reg delete, schtasks, .NET ::Delete, redirección a disco) y ofuscación que podría derrotar la capa 1 (iex, -EncodedCommand, decodificación Base64, Invoke-Command).

Un rechazo nombra el token infractor. Esto no es un sandbox — aún apunta TRMM_API_KEY a una cuenta cuyo radio de explosión aceptes.

Related MCP server: EndpointRead-MCP

Autenticación: Microsoft Entra (modo servidor de recursos)

El AzureJWTVerifier + RemoteAuthProvider de FastMCP: el servidor valida tokens de Entra vinculados a la audiencia y publica metadatos de recursos protegidos; nunca emite tokens. claude.ai realiza el OAuth contra Entra y se conecta. nginx al frente solo hace TLS + la lista de permitidos de IP de Anthropic. Restringe a los ingenieros senior mediante la asignación de grupos de la aplicación de Entra (Asignación requerida = Sí).

Herramientas

Configuración (solo env)

† requerido cuando MCP_AUTH_ENABLED=true.

Cuenta de TRMM

Usa el usuario claude de TRMM, aprovisionado con lectura + Enviar comando (SendCMDPerms). Pon su clave en TRMM_API_KEY (a través del entorno de la pila de Portainer, nunca en git). El guardia de solo lectura limita lo que un script puede hacer; mantén la cuenta limitada a lo que las herramientas necesitan. Trata los DC como especialmente sensibles.

Ejecutar / desplegar

python -m venv .venv && .venv\Scripts\activate
pip install -r requirements.txt
# local (auth off): set TRMM_API_URL, TRMM_API_KEY, MCP_AUTH_ENABLED=false, then:
python -m trmm_exec_mcp

Producción: PORTAINER_DEPLOY.md (pila de Git + webhook, entorno de Entra, puerto de host) + deploy/nginx-trmm-exec-mcp.conf.

Verificar

python -m py_compile trmm_exec_mcp/*.py — limpio. El guardia de solo lectura tiene un conjunto de casos (scripts de lectura permitidos; mutantes/ofuscados/destructivos nativos rechazados). Después del despliegue: /healthz ok, /mcp no autenticado → 401, y el documento de descubrimiento anuncia el ámbito https://…/mcp/access_as_user (no api://…).