intune-mcp

MCP-сервер, предоставляющий доступ только для чтения к Microsoft Intune через Microsoft Graph API. Позволяет Claude (или любому MCP-клиенту) запрашивать управляемые устройства, приложения, политики соответствия и профили конфигурации.

Предварительные требования

• Node.js >= 18

• Регистрация приложения Azure AD (Entra ID) с делегированными разрешениями

• Azure CLI (az) для автоматической регистрации приложения (необязательно)

Related MCP server: azure-query-mcp

Быстрый старт

1. Зарегистрируйте приложение Azure AD

# Automated (requires Azure CLI + admin consent permissions)
.\scripts\register-app.ps1 -WriteEnv

# Or manually: create a public client app in Entra ID with these delegated permissions:
#   - DeviceManagementManagedDevices.Read.All
#   - DeviceManagementApps.Read.All
#   - DeviceManagementConfiguration.Read.All
# Then create .env:
#   AZURE_CLIENT_ID=<your-app-client-id>
#   AZURE_TENANT_ID=<your-tenant-id>

2. Установка и сборка

npm install
npm run build

3. Аутентификация

npm run auth

Следуйте указаниям с кодом устройства, чтобы войти с учётной записью Microsoft.

4. Запуск

# Stdio mode (for local MCP clients like Claude Code)
npm start

# HTTP mode (for shared/remote deployment)
npm run start:http

Транспортные режимы

HTTP-режим запускает Express-сервер на порту 3000 (настраивается флагом --port или переменной окружения PORT) и предоставляет следующие конечные точки:

Доступность инструмента

Требуемые разрешения (делегированные)

• DeviceManagementManagedDevices.Read.All

• DeviceManagementApps.Read.All

• DeviceManagementConfiguration.Read.All

Разработка

npm run dev          # TypeScript watch mode
npm test             # Run unit tests
npm run build        # Compile to dist/

Проверка вживую

Проверьте все 12 конечных точек на реальном тенанте Intune (требуется предварительная аутентификация):

node scripts/validate-tools.mjs

Архитектура

MCP Client -> Transport (stdio | HTTP) -> McpServer -> Tool Handlers -> GraphClient -> Microsoft Graph API

• Аутентификация: поток кода устройства MSAL, файловый кэш маркеров в ~/.intune-mcp/token-cache.json

• Журналирование: структурированные JSON-строки в ~/.intune-mcp/logs/intune-mcp.log (10 МБ на файл, ротация 5 файлов)

• Graph-клиент: автоматические повторы с экспоненциальной задержкой (429, 401, 5xx), поддержка Retry-After, таймаут запроса 30 секунд, автоматическая пагинация до 10 страниц

• HTTP-режим: аутентификация для каждой сессии, срок жизни сессии 30 минут, лимит в 100 сессий