intune-mcp

MCP-Server, der schreibgeschützten Zugriff auf Microsoft Intune über die Microsoft Graph API bereit. Ermöglicht Claude (oder Jedem beliebigen MCP-Client), verwaltete Geräte, Apps, Compliance-Richtlien und Konfigurationsprofile abzufragen.

Voraussetzungen

• Node.js >= 18

• Eine Azure App (Entra ID) App-Registrierung mit delegierten Berechtigungen

• Azure CLI (az) für die automatisierte App-Registrierung (optional)

Related MCP server: azure-query-mcp

Schnellstart

1. Die Azure AD-App registrieren

# Automated (requires Azure CLI + admin consent permissions)
.\scripts\register-app.ps1 -WriteEnv

# Or manually: create a public client app in Entra ID with these delegated permissions:
#   - DeviceManagementManagedDevices.Read.All
#   - DeviceManagementApps.Read.All
#   - DeviceManagementConfiguration.Read.All
# Then create .env:
#   AZURE_CLIENT_ID=<your-app-client-id>
#   AZURE_TENANT_ID=<your-tenant-id>

2. Installieren und Erstellen

npm install
npm run build

3. Authentifizieren

npm run auth

Folgen Sie der Gerätecode-Eingabeaufforderung, um sich mit Ihrem Microsoft-Konto anzumelden.

4. Ausführen

# Stdio mode (for local MCP clients like Claude Code)
npm start

# HTTP mode (for shared/remote deployment)
npm run start:http

Transportmodi

Der HTTP-Modus startet einen Express-Server auf Port 3000 (konfigurierbar über --port oder die PORT-Umgebungsvariable) mit den folgenden Endpunkten:

Verfügbare Tools

Erfordandertliche Berchtigend (Delet)

• DeviceManagementManagedDevices.ReadAll

• DeviceManagementApps.ReadAll

• DeviceManagementConfiguration.ReadAll

Entwickler

npm run dev          # TypeScript watch mode
npm test             # Run unit tests
npm run build        # Compile to dist/

Live-Validierung 12

Testen Sie die Ende aller 12 Endpunkte gegen einen echten Intune-Mandanten (erfordert eine vorherige Authentifizierung):

node scripts/validate-tools.mjs

Architektur

MCP Client -> Transport (stdio | HTTP) -> McpServer -> Tool Handlers -> GraphClient -> Microsoft Graph API

• Authentifizierung: MSAL-Gerätecode-Flow, dateibasierter Token-Cache unter ~/.intune-mcp/token-cache.json

• Logging: Strukturierte JSON-Zeilen unter ~/.intune-mcp/logs/intune-mcp.log (Rotation bei 10 MB, 5 Dateien)

• Graph-Client: Automatische Wiederholung mit exponentiellem Backoff (429, 401, 5xx), Retry-After-Unterstützung, 30-Sekunden-Anfrage-Timeout, automatische Paginierung bis zu 10 Seiten

• HTTP-Modus: Authentifizierung pro Sitzung, 30-Minuten-Sitzungs-TTL, maximal 100 Sitzungen