hydris-mcp-integration

Hydris Pulse Bridge トラック、ワークアイテム1：診断用MCPサーバーのスケルトン これはLiteモノレポ内の lite/diagnostic_mcp/ に配置されます。 BRIDGE-2（呼び出しごとのファクトリー認可）、BRIDGE-5（呼び出しごとの監査ログ）、NFR-4（セキュリティ）を実行し、構造的にBRIDGE-1（読み取り専用ツールセット）を強制します。

ここで構築される内容とされない内容の詳細は docs/scope.md を、保留中の決定事項（失効レイテンシ、監査シンク障害時の動作、非漏洩エラー形状、ツールセットバージョンスキーム）については docs/decisions.md を参照してください。このスケルトンはこれらの決定事項に対して立場を取っており、Nematullah の承認を待っています。

アーキテクチャ

• 二つのIDを分離（diagnostic_mcp/auth/）：サービスプリンシパルJWT（読み取り専用スコープ、独立して検証）と呼び出しごとのユーザーコンテキストJWT。サービストークンはアクセスを拡大しません。

• すべての呼び出しに一つのパイプライン（diagnostic_mcp/registry/pipeline.py）：両方のIDを認証し、引数を検証し、ユーザーのライブファクトリー付与（キャッシュなし）を確認し、ディスパッチし、監査ログに結果（成功、拒否、エラー）を毎回記録します。

• 登録時の読み取り専用ゲート（diagnostic_mcp/registry/tool_registry.py）：classification="read_only" を持たない、または必須の factory_id 引数を持たないツールは、呼び出し時ではなく登録時に拒否されます。

• スキーマ公開にはFastMCP、ディスパッチには一つのオーバーライド（diagnostic_mcp/server.py）：tools/list は通常通りFastMCPから提供されます。tools/call は低レベルサーバーで一度だけインターセプトされるため、すべてのツール（現在および将来）は同じパイプラインを通過し、ツールごとのボイラープレートは不要です。

• 一つのデモツール get_plant_overview（diagnostic_mcp/tools/plant_overview.py）。Liteの読み取りサービス層のインメモリスタブで動作し、ソースドキュメントに記載された正確なフィクスチャ（u-ops-alpha には fx-mbr-01 が付与、u-ops-beta には fx-beta-01 が付与）でシードされます。

Related MCP server: system-monitor

クイックスタート

python -m venv .venv
.venv/Scripts/pip install -e ".[dev]"      # .venv/bin/pip on macOS/Linux
cp .env.example .env                        # then edit the two secrets

サーバーを起動します：

set -a; source .env; set +a                 # or export the vars another way
python -m diagnostic_mcp.server

デフォルトでは streamable-http で http://127.0.0.1:8765/mcp をリッスンします。

エンドツーエンドで検証する

pytest -v            # includes a real streamable-HTTP client/server round trip
ruff check .
mypy diagnostic_mcp tests
python scripts/check_no_write_imports.py

実行中のサーバーを公式MCPクライアントで手動呼び出しするには、サーバーが使用しているのと同じシークレットに対してサービストークンとユーザーコンテキストトークンを発行します：

from diagnostic_mcp.auth.service_principal import issue_service_token
from diagnostic_mcp.auth.user_context import issue_user_context_token

service_token = issue_service_token("<LITE_MCP_SERVICE_TOKEN_SECRET>")
user_token = issue_user_context_token("<LITE_MCP_USER_CONTEXT_SECRET>", "u-ops-alpha", "org-alpha")
print(f"Authorization: Bearer {service_token}")
print(f"X-Pulse-User-Context: {user_token}")

その後、get_plant_overview を factory_id=fx-mbr-01（付与あり - 成功）または factory_id=fx-beta-01（付与なし - 拒否）で呼び出します。両方の試行は audit.jsonl に記録されます。

ワークアイテム1の完了条件