KSM MCPサーバー - Keeperシークレットへの安全なAIアクセス

KSM MCPは、AI言語モデル（Claudeなど）とKeeper Secrets Manager (KSM) の間の安全な仲介役として機能するModel Context Protocol (MCP) サーバーです。AIエージェントがKSMのシークレット（レコードやフォルダの一覧表示、作成、取得、削除など）を管理できるようにしつつ、KSMアプリケーションの認証情報を保護します。機密性の高い操作にはユーザーの確認が必要であり、データの管理権限を維持できます。

クイックユーザーガイド

オプション1: Dockerの使用（推奨）

1. KSM Base64設定の取得:

   • Keeper Secrets Vaultにログインします。

   • Secrets Manager、アプリケーション、「Devices」タブの順に移動します。

   • 「Add Device」をクリックし、提供されたbase64エンコードされた設定文字列（通常はewog...で始まります）をコピーします。

   重要: base64設定にはKSMアプリケーションの認証情報が含まれています。安全に保管し、バージョン管理システムには絶対にコミットしないでください。

2. Claude Desktopの設定:

   • Claude Desktopの設定ファイルを開きます:

     • macOS: ~/Library/Application Support/Claude/claude_desktop_config.json

     • Windows: %APPDATA%\Claude\claude_desktop_config.json

     • Linux: ~/.config/Claude/claude_desktop_config.json

   • ksmサーバーのエントリを追加または更新します。YOUR_BASE64_CONFIG_STRING_HEREを実際のbase64設定に置き換えてください:

   {
     "mcpServers": {
       "ksm": {
         "command": "docker",
         "args": [
           "run", "-i", "--rm",
           "-e", "KSM_CONFIG_BASE64=YOUR_BASE64_CONFIG_STRING_HERE",
           "keeper/keeper-mcp-server:latest"
         ]
       }
       // You might have other servers like "memory" here, leave them as is.
     }
   }

3. Claude Desktopの再起動:

   • これでKSMサーバーがClaudeから利用可能になります。初回接続時に、base64設定を使用して起動します。

オプション2: コンパイル済みバイナリの使用

1. バイナリのダウンロード:

   • KSM MCP Releasesページにアクセスし、お使いのOSに適したバイナリをダウンロードします（例: Intel Macの場合はksm-mcp-darwin-amd64、Windowsの場合はksm-mcp-windows-amd64.exe）。

   • バイナリに実行権限を付与し（例: chmod +x ./ksm-mcp-darwin-amd64）、システムのPATHに含まれるディレクトリに配置するか、フルパスを控えておきます。

2. KSM Base64設定の取得: （上記のDockerガイドのステップ1を参照）

   重要: base64設定にはKSMアプリケーションの認証情報が含まれています。安全に保管し、バージョン管理システムには絶対にコミットしないでください。

3. KSM MCPプロファイルの初期化:

   • ターミナルを開き、YOUR_BASE64_CONFIG_STRINGを置き換え、プロファイル名（例: default）を選択して初期化コマンドを実行します:

     /path/to/ksm-mcp init --profile default --config "YOUR_BASE64_CONFIG_STRING"

   • ローカルプロファイルストアの保護パスワードを設定するよう求められます。サーバーを手動で再起動する場合や、パスワードが必要な設定になっている場合に必要となるため、このパスワードを忘れないようにしてください。Claudeで自動的に使用する場合、通常は対話形式でプロンプトが表示されないバッチモードでサーバーが実行されます。

4. Claude Desktopの設定:

   • claude_desktop_config.jsonファイルを開きます（Dockerガイドのパスを参照）。

   • ksmサーバーのエントリを追加または更新し、/path/to/ksm-mcpをダウンロードしたバイナリの実際のパスに置き換えます: GXP3

5. Claude Desktopの再起動。

Related MCP server: keyshade-mcp

機能（利用可能なツール）

KSM MCPサーバーは、Keeper Secrets Managerと対話するために以下のツールを提供します:

シークレット操作

• list_secrets: アクセス可能なすべてのシークレットを一覧表示します（メタデータのみ）。

• get_secret: 特定のシークレットを取得します（機密フィールドはデフォルトでマスクされます。マスク解除には確認が必要です）。

• search_secrets: タイトル、メモ、その他のフィールド内容でシークレットを検索します。

• create_secret: 新しいシークレットを作成します（確認が必要です）。

• update_secret: 既存のシークレットを更新します（確認が必要です）。

• delete_secret: シークレットを削除します（確認が必要です）。

フォルダ操作

• list_folders: アクセス可能なすべてのフォルダを一覧表示します。

• create_folder: 新しいフォルダを作成します（確認が必要です。親となる共有フォルダを指定する必要があります）。

• delete_folder: フォルダを削除します（確認が必要です。空でないフォルダを強制削除するオプションがあります）。

ファイル管理（シークレット内）

• upload_file: シークレットにファイルを添付してアップロードします（確認が必要です）。

• download_file: シークレットから添付ファイルをダウンロードします。

ユーティリティ

• generate_password: 安全なパスワードを生成します。AIに公開することなく、直接新しいシークレットに保存することも可能です。

• get_totp_code: TOTPが設定されているシークレットの現在のTOTPコードを取得します。

• get_server_version: KSM MCPサーバーの現在のバージョンを取得します。

• health_check: MCPサーバーの動作状態とKSMへの接続を確認します。

サンプルユースケース

AIエージェント（Claudeなど）にKSM MCPサーバーを使用させるための指示例をいくつか紹介します:

• 新しいフォルダに新しいシークレットを作成: 「メインの'KSM-MCP-TEST-RECORDS'共有フォルダの下に'Project Phoenix Shared'という名前の新しいフォルダを作成してください。次に、'Project Phoenix Shared'の中に、ユーザー名'phoenix_user'、パスワード'ComplexP@$$wOrd123!'、URL'db.phoenix.dev.internal'を持つ'Phoenix Dev DB'というタイトルの新しいログインシークレットを作成してください。」

• シークレットの一覧表示と取得: 「'API Keys'フォルダ内のすべてのシークレットを一覧表示してください。その後、'Third-Party Analytics API Key'というタイトルのシークレットの詳細を取得してください。ただし、APIキー自体はマスクしたままにしてください。」

• シークレットを削除し、そのフォルダを削除（空の場合）: 「'Old Staging Server Credentials'という名前のシークレットを削除してください。それが完了したら、そのシークレットが入っていた'Staging Environment'フォルダが空であれば、そのフォルダも削除してください。」

• 既存のレコードに設定ファイルをアップロード: 「'~/Downloads/kubeconfig-prod.yaml'にある本番クラスター用の新しいKubernetes設定ファイルがあります。このファイルを'Production K8s Cluster Access'というタイトルのKSMレコードにアップロードし、添付ファイル名を'kubeconfig-prod-cluster.yaml'にしてください。」

• 安全なパスワードを生成して新しいレコードに保存: 「大文字、小文字、数字、特殊文字を含む、非常に強力な32文字のパスワードを生成してください。それを'Service Accounts'フォルダ内の'Internal Audit Service Account'というタイトルの新しいログインレコードに直接保存してください。パスワードは私に表示しないでください。」

• 環境間での設定の一貫性を確認: 「環境（dev, qa）ごとにフォルダ分けされ、各AWSリージョンのサブフォルダを持つサービス設定レコードがあります。これらのレコードを分析し、異なる環境間で類似するサービス間の不整合を特定してください。ログレベル、タイムアウト設定、機能フラグなど、通常は環境間で同一であるべき設定値に特に注意してください。」

サーバー設定リファレンス

KSM MCPサーバーは、さまざまな設定オプションを使用して複数の方法でインスタンス化できます。このセクションでは、利用可能なすべてのメソッド、フラグ、環境変数を文書化します。

設定メソッド

メソッド1: 環境変数を使用したDocker（推奨）

{
  "mcpServers": {
    "ksm": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm",
        "-e", "KSM_CONFIG_BASE64=YOUR_BASE64_CONFIG_STRING",
        "keeper-mcp-server:latest"
      ]
    }
  }
}

メソッド2: プロファイルを使用したコンパイル済みバイナリ

{
  "mcpServers": {
    "ksm": {
      "command": "/path/to/ksm-mcp",
      "args": ["serve", "--profile", "default"]
    }
  }
}

メソッド3: Base64設定を使用したコンパイル済みバイナリ（CLIフラグ）

{
  "mcpServers": {
    "ksm": {
      "command": "/path/to/ksm-mcp",
      "args": [
        "serve",
        "--config-base64", "YOUR_BASE64_CONFIG_STRING"
      ]
    }
  }
}

メソッド4: 環境変数を使用したコンパイル済みバイナリ

{
  "mcpServers": {
    "ksm": {
      "command": "/path/to/ksm-mcp",
      "args": ["serve"],
      "env": {
        "KSM_CONFIG_BASE64": "YOUR_BASE64_CONFIG_STRING"
      }
    }
  }
}

メソッド5: サイレントモード（ローカルログなし）

監査ログを含むローカルファイルの作成を一切防ぎたい環境向け:

{
  "mcpServers": {
    "ksm": {
      "command": "/path/to/ksm-mcp",
      "args": [
        "serve",
        "--no-logs",
        "--config-base64", "YOUR_BASE64_CONFIG_STRING"
      ]
    }
  }
}

--no-logsフラグは監査ログを完全に無効にし、ローカルファイルが作成されないようにします。これは以下の場合に役立ちます:

• ローカルファイルの作成を回避する必要があるコンプライアンス環境

• 永続性が不要なコンテナ化されたデプロイメント

• 一時的またはテストのシナリオ

• 読み取り専用ファイルシステムを持つシステム

コマンドラインフラグ