intune-mcp

Microsoft Graph API を介して Microsoft Intune への読み取り専用アクセスを提供する MCP サーバーです。Claude（または任意の MCP クライアント）が、管理対象デバイス、アプリ、コンプライアンスポリシー、構成プロファイルを照会できます。

前提条件

• Node.js 18 以上

• 委任されたアクセス許可を持つ Azure AD（Entra ID）アプリの登録

• アプリ登録を自動化するための Azure CLI（az）（任意）

Related MCP server: azure-query-mcp

クイックスタート

1. Azure AD アプリを登録する

# Automated (requires Azure CLI + admin consent permissions)
.\scripts\register-app.ps1 -WriteEnv

# Or manually: create a public client app in Entra ID with these delegated permissions:
#   - DeviceManagementManagedDevices.Read.All
#   - DeviceManagementApps.Read.All
#   - DeviceManagementConfiguration.Read.All
# Then create .env:
#   AZURE_CLIENT_ID=<your-app-client-id>
#   AZURE_TENANT_ID=<your-tenant-id>

2. インストールとビルド

npm install
npm run build

3. 認証

npm run auth

デバイスコードのプロンプトに従って、Microsoft アカウントでサインインします。

4. 実行

# Stdio mode (for local MCP clients like Claude Code)
npm start

# HTTP mode (for shared/remote deployment)
npm run start:http

トランスポートモード

HTTP モードは、ポート 3000 で Express サーバーを起動します（--port または環境変数 PORT で設定可能）。エンドポイントは次のとおりです。

利用可能なツール

必要なアクセス許可（委任）

• DeviceManagementManagedDevices.Read.All

• DeviceManagementApps.Read.All

• DeviceManagementConfiguration.Read.All

開発

npm run dev          # TypeScript watch mode
npm test             # Run unit tests
npm run build        # Compile to dist/

実環境での検証

実際の Intune テナントに対して、12 個のエンドポイントをすべてテストします（事前の認証が必要です）：

node scripts/validate-tools.mjs

アーキテクチャ

MCP Client -> Transport (stdio | HTTP) -> McpServer -> Tool Handlers -> GraphClient -> Microsoft Graph API

• 認証: MSAL デバイスコードフロー、ファイルベースのトークンキャッシュを ~/.intune-mcp/token-cache.json に保存

• ログ: ~/.intune-mcp/logs/intune-mcp.log への構造化 JSON Lines ログ（10 MB ローテーション、5 ファイル）

• Graph クライアント: 指数バックオフによる自動再試行（429、401、5xx）、Retry-After サポート、30 秒のリクエストタイムアウト、最大 10 ページの自動ページネーション

• HTTP モード: セッションごとの認証、30 分のセッション TTL、最大 100 セッション