mcp-jumpserver

JumpServer STDIO MCP для Codex. Автоматический вход с использованием URL, имени пользователя и пароля JumpServer с кэшированием API-токена — без необходимости создавать токен вручную.

Инструменты

• test_jumpserver_login: проверяет вход по имени пользователя и паролю, токен не возвращает.

• list_jumpserver_databases: запрашивает активы баз данных.

• list_jumpserver_database_accounts: запрашивает учётные записи актива, пароли не возвращает.

• get_jumpserver_temporary_database_credential: выдаёт временные имя пользователя и пароль для прокси базы данных — аналогично «Информации о подключении к базе данных» в веб-терминале JumpServer.

• get_jumpserver_configured_database_credentials: без параметров, единовременно выдаёт временные имя пользователя и пароль для всех активов баз данных из массива конфигурации.

Related MCP server: Supabase MCP Server

Установка

uv sync

Рекомендуется использовать отдельного пользователя JumpServer с минимальными правами, а не суперадминистратора. Для выдачи временных учётных данных подключения этот пользователь должен иметь авторизацию на вход к целевому активу, учётной записи и протоколу; политики утверждения или MFA в ACL входа по-прежнему действуют. Этот MCP не предоставляет инструментов для чтения статических паролей нижележащих учётных записей и не требует права accounts.view_accountsecret.

Настройка Codex

codex mcp add jumpserver -- \
  /absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver

Также можно записать в ~/.codex/config.toml:

[mcp_servers.jumpserver]
command = "/absolute/path/to/mcp-jumpserver/.venv/bin/mcp-jumpserver"
startup_timeout_sec = 20
tool_timeout_sec = 60
enabled = true

[mcp_servers.jumpserver.env]
JUMPSERVER_URL = "https://jumpserver.example.com"
JUMPSERVER_USERNAME = "codex-service-user"
JUMPSERVER_PASSWORD = "change-me"
JUMPSERVER_VERIFY_SSL = "true"
JUMPSERVER_DATABASE_ASSETS = '["DB-正式mysql-A", "DB-正式mysql-B"]'
# 可选：JUMPSERVER_ORG_ID = "组织 UUID"

После настройки перезапустите этот MCP в Codex/ChatGPT Desktop, затем вызовите test_jumpserver_login.

Получение временных учётных данных базы данных

В повседневной работе вызывайте напрямую без параметров:

调用 get_jumpserver_configured_database_credentials

Поле credentials в результате возвращается в порядке конфигурации; перед использованием необходимо убедиться, что errors пуст. Если требуется временный запрос актива вне конфигурации, вызовите инструмент для одного актива по его точному имени:

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-A","protocol":"mysql"}

调用 get_jumpserver_temporary_database_credential：
{"asset":"DB-正式mysql-B","protocol":"mysql"}

connection.username и connection.password в результате — это временные учётные данные прокси базы данных JumpServer; connection.host, connection.port, connection.database — полный адрес подключения. Если активу авторизовано несколько учётных записей, сначала укажите имя пользователя или UUID в account.

Примечания по безопасности

• Токен кэшируется только в памяти процесса MCP; при получении HTTP 401 автоматически выполняется повторный вход один раз.

• Журналы и исключения не выводят пароль JumpServer или токен.

• MCP выдаёт только временные учётные данные прокси базы данных JumpServer и не читает статические пароли нижележащих учётных записей базы данных.

• get_jumpserver_temporary_database_credential возвращает краткосрочные учётные данные подключения в открытом виде и должен вызываться только при явном разрешении пользователя.

Тестирование

uv run pytest
uv run ruff check .