AURON MCP — v1 (schreibgeschützt, mehrinstanzenfähig, betriebsschlank)

MCP-Gateway zwischen KI-Hosts/Agenten und dem AURON Suite-Backend (api_peluqueria). Identität, Mandantenfähigkeit und RBAC werden von der echten AURON-REST-API aufgelöst — das Modell kann sie niemals steuern.

Was dies ist

• Schreibgeschützt: Jedes Tool ist ein GET-Aufruf gegen einen verifizierten AURON-Endpunkt. Es werden keine Create/Update/Delete-Operationen bereitgestellt.

• Echte Identität: Löst den authentifizierten AURON-Prinzipal über GET /api/auth/verify/ + GET /api/tenants/current/ auf (Bearer-Token oder die httpOnly-Auth-Cookies, die /api/auth/login/ ausstellt).

• Fail-Closed-RBAC: Rollen-→Berechtigungs-Spiegelung (policy/roles.py), abgeleitet von AURONs kanonischen Rollen. Unbekannte Rollen erhalten null Berechtigungen; AURONs eigene Autorisierung (403) überschreibt die Tabelle dennoch.

• Mandantenfähigkeit an AURON delegiert: Der Adapter sendet NIEMALS tenant_id oder einen X-Auron-Tenant-Header. Der Upstream leitet den Mandanten aus der Sitzung über seine TenantMiddleware ab, genau wie AURONs eigene Clients.

• Fehlergrenze: Nichts Internes (Nachrichten, Tokens, Upstream-Bodies, Stack-Traces) gelangt zum Modell — siehe errors/normalize_error.

• Aufrufbezogene Prüfung: Jeder Tool-Aufruf (erfolgreich oder verweigert) wird in ein append-only JSONL-Audit-Log und nach stdout geschrieben.

• Ratenbegrenzung: Pro (Benutzer, Tool) wird ein Sliding-Window-Limiter vor der Richtlinienprüfung bei jedem Aufruf überprüft.

Tools

Plus eine auron://context/current-Ressource und einen daily_business_review-Prompt.

Schnellstart

python -m venv .venv
source .venv/bin/activate
pip install -e ".[dev]"

Kopiere .env.example nach .env und setze die echten Werte:

AURON_ADAPTER=http
AURON_API_BASE_URL=http://localhost:8000

Einmal authentifizieren (dies speichert AURONs httpOnly-Auth-Cookies für das Gateway):

auron-manage login --email caja@salon.test --subdomain salon-uno
auron-manage status        # verify the resolved identity/role

Server starten:

auron-mcp          # stdio (default; what local MCP hosts expect)

Stattdessen über Streamable HTTP (Spezifikation 2026-07-28) ausführen:

AURON_MCP_TRANSPORT=streamable-http \
AURON_MCP_HTTP_HOST=127.0.0.1 \
AURON_MCP_HTTP_PORT=8765 \
auron-mcp          # serves the MCP endpoint at http://127.0.0.1:8765/mcp

Die HTTP-Bereitstellung validiert die MCP-Protocol-Version-/Mcp-Method-/Mcp-Name-Anfrage-Header gegen den JSON-RPC-Body (400 + -32020 HeaderMismatch), lehnt Nicht-POST mit 405 ab und aktiviert DNS-Rebinding-Schutz. Siehe docs/CONNECTING.md für den vollständigen Endpunktvertrag und src/auron_mcp/http_app.py für die Spezifikationsebene auf dem SDK-Transport.

Mit AURON_ADAPTER=mock (Standard) arbeitet der Server offline mit einer festen Dev-Identität (u-mock-1 / t-mock-1 / CLIENT_ADMIN) nur für Entwicklung und Tests.

Tests

pytest -q          # 78 tests: policy, rbac, audit, ratelimit, adapters,
                   # identity provider, tools, MCP stdio handshake, and the
                   # 2026-07-28 Streamable HTTP header rules
ruff check src tests

Layout

src/auron_mcp/
  auth/          identity.py (AuronIdentity) + provider.py (resolve via AURON)
  policy/        roles.py (RBAC mirror) + engine.py (PolicyEngine, fail-closed)
  audit/         AuditLogger (JSONL + stdout)
  adapters/      base.py (interface) / http.py (httpx2 + cookies) / mock.py
  tools/         AuronTools (policy + rate-limit + audit around every read)
  errors/        normalize_error (model-safe error boundary)
  server.py      MCPServer wiring (stdio / streamable-http / sse)
  http_app.py    Streamable HTTP deployment: 2026-07-28 header validation,
                 DNS-rebinding settings, optional bearer token
  manage.py      operator CLI: login / status / clean

Sicherheitsprinzipien

1. Vertraue niemals einer von einer KI gelieferten Mandanten-ID als Autorisierungsgrenze.

2. Löse Mandanten/Bereich aus der authentifizierten Identität und serverseitigen Richtlinie auf.

3. Tools sind schreibgeschützt; Seiteneffekte sind für v1 bewusst ausgeschlossen.

4. Jede sensible Aktion ist prüfbar – einschließlich verweigerter Versuche.

5. MCP ruft stabile AURON-Anwendungs-APIs auf, niemals rohes SQL.

6. Gib niemals Geheimnisse, JWTs, Upstream-Antwortkörper oder Stack-Traces an das Modell weiter.

7. Ein Tool-Aufruf verursacht Kosten – begrenze seine Rate.

Siehe docs/mcp-integration-audit.md (Prüfung des echten AURON-Backends), docs/ARCHITECTURE.md, docs/CONNECTING.md und docs/ROADMAP.md.