mcp-jumpserver

MCP STDIO de JumpServer para Codex. Inicia sesión automáticamente con la URL, el nombre de usuario y la contraseña de JumpServer y almacena en caché el Token de la API, sin necesidad de crear el Token manualmente.

Herramientas

• test_jumpserver_login: prueba el inicio de sesión con nombre de usuario y contraseña, no devuelve Token.

• list_jumpserver_databases: consulta los activos de base de datos.

• list_jumpserver_database_accounts: consulta las cuentas del activo, no devuelve contraseñas.

• get_jumpserver_temporary_database_credential: emite un nombre de usuario y contraseña temporales del proxy de base de datos, coherente con la «Información de conexión de base de datos» del terminal web de JumpServer.

• get_jumpserver_configured_database_credentials: sin parámetros, emite de una vez los nombres de usuario y contraseñas temporales de todos los activos de base de datos del array de configuración.

Related MCP server: Supabase MCP Server

Instalación

uv sync

Se recomienda usar un usuario independiente de JumpServer con permisos mínimos, no un superadministrador. Para emitir credenciales de conexión temporales, ese usuario debe tener autorización de inicio de sesión para el activo, la cuenta y el protocolo de destino; las políticas de aprobación o MFA del ACL de inicio de sesión siguen vigentes. Este MCP no proporciona herramientas para leer contraseñas estáticas de cuentas subyacentes ni requiere el permiso accounts.view_accountsecret.

Configurar Codex

codex mcp add jumpserver -- \
  /absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver

También se puede escribir en ~/.codex/config.toml:

[mcp_servers.jumpserver]
command = "/absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver"
startup_timeout_sec = 20
tool_timeout_sec = 60
enabled = true

[mcp_servers.jumpserver.env]
JUMPSERVER_URL = "https://jumpserver.example.com"
JUMPSERVER_USERNAME = "codex-service-user"
JUMPSERVER_PASSWORD = "change-me"
JUMPSERVER_VERIFY_SSL = "true"
JUMPSERVER_DATABASE_ASSETS = '["DB-正式mysql-A", "DB-正式mysql-B"]'
# 可选：JUMPSERVER_ORG_ID = "组织 UUID"

Tras la configuración, reinicie este MCP en el escritorio de Codex/ChatGPT y luego llame a test_jumpserver_login.

Obtener credenciales temporales de base de datos

En el uso diario, llámelo directamente sin parámetros:

调用 get_jumpserver_configured_database_credentials

Los credentials del resultado se devuelven en el orden de configuración; antes de consumirlos, debe confirmar que errors esté vacío. Cuando necesite consultar temporalmente un activo fuera de la configuración, llame a la herramienta de activo único por el nombre exacto del activo:

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-A","protocol":"mysql"}

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-B","protocol":"mysql"}

El connection.username y connection.password devueltos son las credenciales temporales del proxy de base de datos de JumpServer; connection.host, connection.port y connection.database son la dirección de conexión completa. Si el activo tiene autorizadas varias cuentas, especifique primero el nombre de usuario o UUID de account.

Notas de seguridad

• El Token solo se almacena en caché en la memoria del proceso MCP; tras recibir un HTTP 401, vuelve a iniciar sesión automáticamente una vez.

• Los registros y las excepciones no muestran la contraseña ni el Token de JumpServer.

• El MCP solo emite credenciales temporales del proxy de base de datos de JumpServer, no lee las contraseñas estáticas de las cuentas de base de datos subyacentes.

• get_jumpserver_temporary_database_credential devuelve credenciales de conexión en texto plano de corta duración, y solo debe llamarse con la autorización explícita del usuario.

Pruebas

uv run pytest
uv run ruff check .