trmm-exec-mcp

Один MCP-сервер для Tactical RMM: доступ на чтение через Entra + read-only PowerShell runner. Подключаться могут только члены назначенной группы безопасности Entra. Он читает всё на платформе и запускает PowerShell для сбора информации на любом агенте — и отказывает всему, что меняет состояние. Построен на FastMCP 3.x с аутентификацией Microsoft Entra (тот же стек, что и odoo-ticket-mcp).

v2 (упрощённая). В более ранней версии был релей одобрения одноразовых токенов Roam для настоящих операций записи/выполнения. Это было больше, чем реальная потребность, поэтому в v2 убраны релей, хранилище предложений, список одобряющих и список разрешённых агентов. Безопасность теперь обеспечивается двумя вещами: группой Entra (кто может подключаться) и read-only защитой (что может делать скрипт). Старый процесс остался в истории git до ветки simplify/readonly-entra.

Что обеспечивает режим только для чтения

Произвольный PowerShell нельзя доказательно считать read-only, поэтому guard.py — это строгий защитный барьер с глубиной защиты, который склонен отказывать. Два уровня:

1. Разрешающий список глаголов командлетов — командлеты PowerShell имеют форму Verb-Noun; проходят только глаголы чтения (Get, Test, Measure, Select, …), поэтому любые Set-*, New-*, Remove-*, Stop-*, Restart-* отклоняются по построению.

2. Список запрещённых опасных токенов — ловит конструкции, меняющие состояние, которые не являются командлетами Verb-Noun (нативные del/reg delete/schtasks, .NET ::Delete, перенаправление на диск) и обфускацию, которая могла бы обойти уровень 1 (iex, -EncodedCommand, декодирование Base64, Invoke-Command).

Отказ называет нарушающий токен. Это не песочница — по-прежнему указывайте TRMM_API_KEY на аккаунт, чей радиус поражения вы принимаете.

Related MCP server: EndpointRead-MCP

Аутентификация: Microsoft Entra (режим resource-server)

AzureJWTVerifier + RemoteAuthProvider от FastMCP: сервер проверяет токены Entra, привязанные к аудитории, и публикует метаданные защищённого ресурса; он никогда не выдаёт токены. claude.ai выполняет OAuth против Entra и подключается. nginx перед ним выполняет только TLS + список разрешённых IP Anthropic. Ограничьте доступ старшим инженерам через назначение группы в приложении Entra (Assignment required = Yes).

Инструменты

Конфигурация (только env)

† требуется при MCP_AUTH_ENABLED=true.

Аккаунт TRMM

Использует пользователя TRMM claude, предоставленного с правами чтения + Send Command (SendCMDPerms). Поместите его ключ в TRMM_API_KEY (через переменные окружения стека Portainer, никогда в git). Read-only защита ограничивает, что может делать скрипт; держите аккаунт ограниченным тем, что нужно инструментам. Относитесь к DC как к особо чувствительным.

Запуск / развёртывание

python -m venv .venv && .venv\Scripts\activate
pip install -r requirements.txt
# local (auth off): set TRMM_API_URL, TRMM_API_KEY, MCP_AUTH_ENABLED=false, then:
python -m trmm_exec_mcp

Продакшн: PORTAINER_DEPLOY.md (Git-стек + webhook, переменные Entra, порт хоста) + deploy/nginx-trmm-exec-mcp.conf.

Проверка

python -m py_compile trmm_exec_mcp/*.py — чисто. Read-only защита имеет набор тестов (read-скрипты разрешены; изменяющие/обфусцированные/нативно-деструктивные отклоняются). После развёртывания: /healthz ok, неаутентифицированный /mcp → 401, и discovery-документ объявляет scope https://…/mcp/access_as_user (не api://…).