mcp-jumpserver

Codex 向けの JumpServer STDIO MCP。JumpServer の URL、ユーザー名、パスワードを使用して自動ログインし、API Token をキャッシュします。手動で Token を作成する必要はありません。

ツール

• test_jumpserver_login：ユーザー名とパスワードでのログインをテストします。Token は返しません。

• list_jumpserver_databases：データベース資産を照会します。

• list_jumpserver_database_accounts：資産配下のアカウントを照会します。パスワードは返しません。

• get_jumpserver_temporary_database_credential：データベースプロキシの一時ユーザー名とパスワードを発行します。JumpServer Web ターミナルの「データベース接続情報」と同じです。

• get_jumpserver_configured_database_credentials：引数なしで、設定配列内のすべてのデータベース資産の一時ユーザー名とパスワードを一度に発行します。

Related MCP server: Supabase MCP Server

インストール

uv sync

権限を最小化した独立した JumpServer ユーザーの使用を推奨します。スーパー管理者は使用しないでください。一時接続資格情報の発行には、そのユーザーが対象資産、アカウント、プロトコルのログイン認可を持っている必要があります。ログイン ACL の承認または MFA ポリシーは引き続き有効です。この MCP は基盤となるアカウントの静的パスワードを読み取るツールを提供せず、accounts.view_accountsecret 権限も必要ありません。

Codex の設定

codex mcp add jumpserver -- \
  /absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver

~/.codex/config.toml に書き込むこともできます：

[mcp_servers.jumpserver]
command = "/absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver"
startup_timeout_sec = 20
tool_timeout_sec = 60
enabled = true

[mcp_servers.jumpserver.env]
JUMPSERVER_URL = "https://jumpserver.example.com"
JUMPSERVER_USERNAME = "codex-service-user"
JUMPSERVER_PASSWORD = "change-me"
JUMPSERVER_VERIFY_SSL = "true"
JUMPSERVER_DATABASE_ASSETS = '["DB-正式mysql-A", "DB-正式mysql-B"]'
# 可选：JUMPSERVER_ORG_ID = "组织 UUID"

設定後、Codex/ChatGPT デスクトップ版でこの MCP を再起動し、test_jumpserver_login を呼び出してください。

データベース一時資格情報の取得

日常的には引数なしで直接呼び出します：

调用 get_jumpserver_configured_database_credentials

結果の credentials は設定順に返されます。消費する前に errors が空であることを確認する必要があります。設定外の資産を一時的に照会する必要がある場合は、資産の正確な名前で単一資産ツールを呼び出します：

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-A","protocol":"mysql"}

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-B","protocol":"mysql"}

返される connection.username と connection.password は JumpServer データベースプロキシの一時資格情報です。connection.host、connection.port、connection.database は完全な接続アドレスです。資産に複数のアカウントが認可されている場合は、先に account のユーザー名または UUID を指定してください。

セキュリティに関する注意

• Token は MCP プロセスのメモリ内にのみキャッシュされ、HTTP 401 を受信すると自動的に再ログインが 1 回実行されます。

• ログと例外には JumpServer のパスワードや Token は出力されません。

• MCP は JumpServer データベースプロキシの一時資格情報のみを発行し、基盤となるデータベースアカウントの静的パスワードは読み取りません。

• get_jumpserver_temporary_database_credential は短期間有効な平文の接続資格情報を返すため、ユーザーが明示的に承認した場合にのみ呼び出す必要があります。

テスト

uv run pytest
uv run ruff check .