Cloud ALM MCP

SAP Cloud ALM Model Context Protocol サーバーのための Node.js と TypeScript スケルトンです。

このリポジトリは現在モックファーストです。SAP Cloud ALM の認証情報、BTP Destination Service の設定、OAuth のセットアップがなくても、インストール、ビルド、テスト、起動ができます。

ターゲット・アーキテクチャ

• ランタイム: SAP BTP Cloud Foundry 上の Node.js。

• 本番 MCP トランスポート: 公式 MCP の TypeScript SDK 経由の MCP Streamable HTTP。

• STR-158 では、MCP セッション ID ジェネレータを設定しないことによって、POC 用にステートレスな Streamable HTTP を使用します。

• ローカル ホールバック トランスポート: stdio。ローカル開発のみを意図しています。

• 将来の Cloud ALM アクセス経路: SAP BTP Destination Service。

• 将来の認証モデル: 設定済み destination 経由の OAuth2 Client Credentials。

実際の SAP Cloud ALM への接続は、STR-158 には意図的に含めていません。

後続のツールフローで MCP セッション状態の永続化が必要になった場合、本番エージェント利用の前にセッションと状態の要件を再検討する必要があります。STR-158 では、意図的にセッションストアを導入していません。

Related MCP server: cloud-alm-itsm-mcp

ローカル開発

npm install
npm run build
npm test
npm start

デフォルトでは、npm start は HTTP 上でモックモードを実行し、以下を公開します:

• MCP エンドポイント: POST /mcp

• ヘルスチェックエンドポイント: GET /health

例:

curl http://localhost:3000/health

.env.example はサポートされているプレースホルダーの一覧です。git にコミットされているローカルファイルに、実際の Cloud ALM シークレットを追加しないでください。

設定

主要な環境変数:

• RUNTIME_MODE=mock|destination

• MCP_TRANSPORT=http|stdio- PORT=3000

• READ_CAPABILITY_ENABLED=true|false`

• WRITE_CAPABILITY_ENABLED=true|false

• ALLOWED_DESTINATIONS=cloud-alm-dev

• EXTTERNAL_CALLS_ENABLED=false|true

ローカルのデフォルトは意図的に安全です: モックランタイム・HTTP トランスポート・読み取り有効・書き込み無効・外部呼び出し無効。

Destination モードは、このスケルトンでは単なるプレースホールダーとして存在します。BTP Destination Service のルックアップと OAuth トークンフローが後続のタスクで実装されるまで、フェイルクローズ (fail-closed) します。

セキュリティ境界

Policy Guard は、Cloud ALM クライアント呼び出しの前にコードで強制されます。検証する内容は以下のとおりです:

• 許可されたオペレーション名のみ

• 読み取り／書き込みの機能分離

• 削除オペレーションの拒否

• バルク オペレーションの拒否

• 未知のオペレーションの拒否

• エージェント指定の destination や顧客の選択がないこと

• あいまい設定に対するフェイルクローズ (fail-closed) 動作

これは意図的に、プロンプトのみの強制ではありません。顧客の分離と、永続的な監査ログ (durable audit logging) は将来のアーキーに向けて残されていますが、モジュール境界はすでに存在しています。

監査イベントには、将来の追跡性のために、オプションフィールド (actor、customer context、resource type/id、correlation ID) がすでに予約されています。また、スケルトンは実際のアクターや顧客の値を推測して作るものではなく、リクエストペイロード、トークン、認可ヘッダー、クライアント ID、クライアント シークレット、機微なレスポンスボにをログに残しません。