intune-mcp

Servidor MCP que proporciona acceso de solo lectura a Microsoft Intune mediante Microsoft Graph API. Permite que Claude (o cualquier cliente MCP) consulte dispositivos administrados, aplicaciones, políticas de cumplimiento y perfiles de configuración.

Requisitos previos

• Node.js >= 18

• Un registro de aplicación de Azure AD (Entra ID) con permisos delegados

• Azure CLI (az) para el registro automatizado de aplicaciones (opcional)

Related MCP server: azure-query-mcp

Inicio rápido

1. Registra la aplicación de Azure AD

# Automated (requires Azure CLI + admin consent permissions)
.\scripts\register-app.ps1 -WriteEnv

# Or manually: create a public client app in Entra ID with these delegated permissions:
#   - DeviceManagementManagedDevices.Read.All
#   - DeviceManagementApps.Read.All
#   - DeviceManagementConfiguration.Read.All
# Then create .env:
#   AZURE_CLIENT_ID=<your-app-client-id>
#   AZURE_TENANT_ID=<your-tenant-id>

2. Instala y compila

npm install
npm run build

3. Autentícate

npm run auth

Sigue el aviso de código de dispositivo para iniciar sesión con tu cuenta de Microsoft.

4. Ejecuta

# Stdio mode (for local MCP clients like Claude Code)
npm start

# HTTP mode (for shared/remote deployment)
npm run start:http

Modos de transporte

El modo HTTP inicia un servidor Express en el puerto 3000 (configurable mediante --port o la variable de entorno PORT) con los siguientes endpoints:

Herramientas disponibles

Permisos requeridos (delegados)

• DeviceManagementManagedDevices.Read.All

• DeviceManagementApps.Read.All

• DeviceManagementConfiguration.Read.All

Desarrollo

npm run dev          # TypeScript watch mode
npm test             # Run unit tests
npm run build        # Compile to dist/

Validación en vivo

Prueba los 12 puntos de conexión contra un inquilino real de Intune (requiere auth autenticación previa):

node scripts/validate-tools.mjs

Arquitectura

MCP Client -> Transport (stdio | HTTP) -> McpServer -> Tool Handlers -> GraphClient -> Microsoft Graph API

• Auth: Flujo de código de dispositivo de MSAL, caché de tokens basada en archivos en ~/.intune-mcp/token-cache.json

• Logística: Sistema de registros en líneas JSON en ~/.intune-mcp/logs/intune-mcp.log (rotación de 10 MB, 5 archivos)

• Cliente de Graph: Reintentos automáticos con retroceso exponencial (429, 401, 5xx), soporte de Retry-After, tiempo de espera de 30 s, paginación automática de hasta 10 páginas

• Modo HTTP: Autenticación por sesión, TTL de sesión de 30 minutos, límite de 100 sesiones