rpmc-superops-mcp

Eigenständiger SuperOps-MCP-Server für RPM Computers (RPMC).

Dies ist kein Fork von WYRE, Computask oder Servosity. Diese Projekte haben Implementierungscode beigesteuert und dienen als Live-API-Referenzen. Siehe docs/PROVENANCE.md.

Phase 1: authentifiziert, schreibgeschützt, Docker auf QNAP (LAN). Schreib-Tools sind nicht registriert und erscheinen nicht in tools/list.

Laufzeitumgebung

• Node.js 24

• MCP TypeScript SDK v2 (@modelcontextprotocol/server + @modelcontextprotocol/node)

• stdio (Desktop-MCP-Clients) oder Streamable HTTP (QNAP)

• SuperOps-Zugangsdaten nur aus der Container-/Prozessumgebung

• HTTP-MCP-Aufrufer müssen Authorization: Bearer <MCP_AUTH_TOKEN> senden (MCP_AUTH_TOKEN ≥ 32 Zeichen)

• stdio erfordert kein MCP_AUTH_TOKEN

Siehe docs/MCP-SDK.md für die Host-/Origin-Richtlinie und die v2-Entscheidung.

Related MCP server: runtime-inspector-mcp

Schnellstart (Entwicklung)

cp .env.example .env
npm install
npm test
npm run build

HTTP:

MCP_TRANSPORT=http MCP_AUTH_TOKEN=... SUPEROPS_API_TOKEN=... SUPEROPS_SUBDOMAIN=... SUPEROPS_REGION=us npm start

Aufrufer:

POST /mcp
Authorization: Bearer <MCP_AUTH_TOKEN>
Accept: application/json, text/event-stream

HTTP ist zustandslos (pro Anfrage ein neuer MCP-Server), sodass es hinter einem zukünftigen Cloudflare-Access-/Tunnel-Hop ohne Sticky-Sessions funktioniert. /health ist für Docker HEALTHCHECK nicht authentifiziert und legt keine Tokens oder Ticketinhalte offen.

Wenn ein Browser-Client Origin sendet, setzen Sie MCP_ALLOWED_ORIGINS. Für QNAP im LAN oder einen zukünftigen Tunnel-Hostnamen setzen Sie MCP_ALLOWED_HOSTS (oder setzen Sie Origins und lassen Sie Host diese Liste wiederverwenden). Nicht-Browser-Clients, die Origin weglassen, funktionieren weiterhin; ein vorhandener Host ist auf /mcp immer erforderlich.

Docker

docker build -t rpmc-superops-mcp:local .
docker run --rm -p 127.0.0.1:8080:8080 --env-file /secure/path/.env rpmc-superops-mcp:local

Siehe docker-compose.sample.yml. Die Produktions-Compose-Datei bleibt auf QNAP und wird nicht committet.

CI baut das Image bei jedem Push (keine Registry-Veröffentlichung). Ein lokaler/QNAP-Image-Smoke-Test ist weiterhin auf einer Maschine mit Docker erforderlich.

Datenschutz

Tool-JSON-Payloads werden einem konservativen Safe-Output-Durchlauf unterzogen: Geheimnisse mit hoher Konfidenz in Freitext-Strings werden durch [redacted] ersetzt und über _privacy markiert, wenn sich etwas geändert hat. Der content von Konversationen/Notizen wird ebenfalls von HTML bereinigt. Anhänge bleiben auf reine Metadaten beschränkt. Nützliches technisches Beweismaterial bleibt erhalten. Dies ist keine DLP.

Lizenz

Apache-2.0. Siehe LICENSE, NOTICE und THIRD_PARTY_NOTICES.md.