cisco-secure-access-mcp

Un servidor de Model Context Protocol (MCP) comunitario para Cisco Secure Access.

Expone la API REST de Secure Access a clientes de IA compatibles con MCP (Cursor, Claude Desktop, VS Code GitHub Copilot, etc.) como un catálogo curado de herramientas agrupadas por las propias categorías de recursos de Cisco: Administración, Implementaciones, Investigación, Políticas e Informes.

Estado: v1 en desarrollo. Consulta install.md para ver el diario de compilación y el progreso por fases.

Por qué un servidor comunitario de DevNet

Este repositorio está estructurado para ser alojado como un servidor MCP comunitario de Cisco DevNet, siguiendo el diseño de CiscoDevNet/devnet-template. Los archivos de plantilla estándar (AGENTS.md, CODE_OF_CONDUCT.md, CONTRIBUTING.md, LICENSE, README.md, SECURITY.md) están presentes y cumplen con dicha plantilla.

Además, install.md es un diario de trabajo que registra cada paso realizado para construir el servidor, notas de solución de problemas y cualquier herramienta que añadamos como mejora. Se mantiene intencionalmente en el árbol de archivos para que los futuros colaboradores puedan ver el razonamiento seguido.

Inicio rápido

# 1. Clone and install (using uv)
git clone https://github.com/sdntechforum/Secure_Access.git
cd Secure_Access
uv sync

# 2. Provide your Cisco Secure Access API credentials via environment variables
#    (Admin > API Keys in the Secure Access dashboard)
export SECURE_ACCESS_API_KEY=...
export SECURE_ACCESS_API_SECRET=...

# 3. Run the server (stdio transport, default)
uv run cisco-secure-access-mcp

Para la configuración del cliente (Cursor / Claude Desktop / VS Code), el uso de Docker, la lista completa de herramientas y la lista de variables de entorno compatibles, consulta AGENTS.md.

Autenticación de un vistazo

Flujo de credenciales de cliente OAuth 2.0 contra POST https://api.sse.cisco.com/auth/v2/token.
Token de portador (Bearer token) almacenado en memoria y actualizado poco antes de su caducidad de 1 hora.
Las credenciales se leen solo desde variables de entorno, nunca desde flags de CLI o archivos confirmados (committed).
Compatibilidad con múltiples organizaciones / MSSP a través de SECURE_ACCESS_ORG_ID (enviado como X-Umbrella-OrgId).
Un par de credenciales opcional y separado de Administrador de Claves protege el pequeño conjunto de herramientas que gestionan otras claves de API.

Consulta Cisco Secure Access — API Authentication para saber cómo crear claves de API.

Diseño del repositorio

.
├── AGENTS.md              # Install + tool catalog + env vars (read this first if you're an AI agent)
├── CODE_OF_CONDUCT.md     # Cisco DevNet template (unchanged)
├── CONTRIBUTING.md        # Cisco DevNet template (project name filled in)
├── LICENSE                # Apache-2.0 (Cisco DevNet template)
├── README.md              # this file
├── SECURITY.md            # Cisco DevNet template (project name filled in)
├── install.md             # Build journal — phases, troubleshooting, enhancements
├── pyproject.toml         # Package metadata + entry point
├── Dockerfile             # Optional secondary distribution
├── .env.example           # Documented env vars; NEVER real secrets
├── src/cisco_secure_access_mcp/
│   ├── server.py          # FastMCP entrypoint (stdio default)
│   ├── auth.py            # OAuth2 client-credentials + token cache
│   ├── client.py          # httpx-based REST client (TLS-only, retry-aware)
│   ├── config.py          # Env-var loading + validation
│   ├── errors.py          # SDK / HTTP errors → MCP errors
│   ├── logging.py         # Structured JSON logs with secret redaction
│   ├── registry.py        # Discovers and registers tools from each category
│   └── tools/
│       ├── admin/         # admin_*  — Admin Resources
│       ├── deployments/   # deploy_* — Deployments Resources
│       ├── investigate/   # investigate_* — Investigate Resources (v1.1)
│       ├── policies/      # policy_*  — Policies Resources
│       └── reports/       # report_*  — Reports Resources (v1.1)
└── tests/
    ├── unit/              # Offline; mock HTTP and clock
    └── integration/       # Opt-in; requires real DevNet sandbox credentials

Seguridad

Este repositorio sigue las reglas de seguridad en .cursor (parametrización, sin credenciales codificadas, registro estructurado con redacción, cumplimiento de TLS 1.2+, endurecimiento de contenedores estilo distroless, etc.). Para informar de una vulnerabilidad, consulta SECURITY.md.