mcp-jumpserver

Ein JumpServer-STDIO-MCP für Codex. Es meldet sich automatisch mit JumpServer-URL, Benutzername und Passwort an und cached das API-Token – ohne dass ein Token manuell erstellt werden muss.

Werkzeuge

• test_jumpserver_login: Testet die Anmeldung mit Benutzername und Passwort, gibt kein Token zurück.

• list_jumpserver_databases: Fragt Datenbank-Assets ab.

• list_jumpserver_database_accounts: Fragt Konten unter einem Asset ab, gibt keine Passwörter zurück.

• get_jumpserver_temporary_database_credential: Stellt temporären Benutzernamen und Passwort für den Datenbank-Proxy aus, identisch mit den „Datenbank-Verbindungsinformationen“ im JumpServer-Webterminal.

• get_jumpserver_configured_database_credentials: Ohne Parameter; stellt in einem Aufruf temporäre Benutzernamen und Passwörter für alle Datenbank-Assets im Konfigurationsarray aus.

Related MCP server: Supabase MCP Server

Installation

uv sync

Es wird empfohlen, einen eigenständigen JumpServer-Benutzer mit minimalen Rechten zu verwenden, keinen Superadministrator. Zum Ausstellen temporärer Verbindungsnachweise benötigt dieser Benutzer die Login-Autorisierung für das Ziel-Asset, das Konto und das Protokoll; Genehmigungs- oder MFA-Richtlinien der Login-ACL bleiben weiterhin wirksam. Dieses MCP bietet kein Werkzeug zum Lesen statischer Passwörter von zugrunde liegenden Konten und benötigt auch keine accounts.view_accountsecret-Berechtigung.

Codex konfigurieren

codex mcp add jumpserver -- \
  /absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver

Alternativ kann in ~/.codex/config.toml geschrieben werden:

[mcp_servers.jumpserver]
command = "/absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver"
startup_timeout_sec = 20
tool_timeout_sec = 60
enabled = true

[mcp_servers.jumpserver.env]
JUMPSERVER_URL = "https://jumpserver.example.com"
JUMPSERVER_USERNAME = "codex-service-user"
JUMPSERVER_PASSWORD = "change-me"
JUMPSERVER_VERIFY_SSL = "true"
JUMPSERVER_DATABASE_ASSETS = '["DB-正式mysql-A", "DB-正式mysql-B"]'
# 可选：JUMPSERVER_ORG_ID = "组织 UUID"

Nach der Konfiguration das MCP in Codex/ChatGPT-Desktop neu starten und dann test_jumpserver_login aufrufen.

Temporäre Datenbank-Anmeldedaten abrufen

Im Alltag einfach ohne Parameter aufrufen:

调用 get_jumpserver_configured_database_credentials

Die credentials im Ergebnis werden in der Reihenfolge der Konfiguration zurückgegeben; vor der Verwendung muss bestätigt werden, dass errors leer ist. Wenn temporär ein Asset außerhalb der Konfiguration abgefragt werden muss, das Einzel-Asset-Werkzeug mit dem exakten Asset-Namen aufrufen:

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-A","protocol":"mysql"}

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-B","protocol":"mysql"}

connection.username und connection.password im Ergebnis sind die temporären Anmeldedaten des JumpServer-Datenbank-Proxys; connection.host, connection.port und connection.database sind die vollständige Verbindungsadresse. Wenn einem Asset mehrere Konten autorisiert sind, zuerst den Benutzernamen oder die UUID des account angeben.

Sicherheitshinweise

• Das Token wird nur im Speicher des MCP-Prozesses gecacht; nach einem HTTP-401 wird automatisch einmal neu angemeldet.

• Logs und Ausnahmen geben weder das JumpServer-Passwort noch das Token aus.

• Das MCP stellt ausschließlich temporäre Anmeldedaten des JumpServer-Datenbank-Proxys aus und liest keine statischen Passwörter der zugrunde liegenden Datenbankkonten.

• get_jumpserver_temporary_database_credential gibt kurzlebige Klartext-Verbindungsdaten zurück und sollte nur bei ausdrücklicher Autorisierung durch den Benutzer aufgerufen werden.

Test

uv run pytest
uv run ruff check .