mcp-data-gateway

AIクライアントを一人に渡せば、MCPは簡単だ。チームに渡すと——アナリスト、ピープルオプス、リーダー、それぞれが異なるシステムへのアクセス権を持つ——サーバーは、誰が呼び出しているのか、何に触れてよいのかという、守れる答えを必要とする。このリポジトリは、その答えを、構造上重要な部分だけに切り詰めたものだ。

単一の allows() 判定がすべてを駆動する。それは各アイデンティティが見えるものをフィルタリングし、かつ彼らがそれでも試みることも拒否する。したがって、ツールリストは、呼び出し元とシステムの間に立つ唯一の障壁になることは決してない。権限付与はフェイルクローズドである。つまり、ストアが欠落または破損している場合、コード内に存在する緊急時用スーパーユーザーを除く全員を拒否する。これは、ストアの障害が、ストアを修正する担当者を締め出さないようにするためである。すべての呼び出し——そしてすべての拒否——は、サイズ上限付きの監査行として記録される。

組み込まれている意見:

• 権限付与はツールを一つずつ指定する。グロブは読み込み時に拒否される。なぜなら、来四半期に誰かがリリースする書き込みツールが、継承によって読み取り専用アイデンティティに入り込むことがあってはならないからだ。

• 2つのシステムを結合するツールは、両方のシステムを宣言し、呼び出し元は両方の権限を必要とする。漏れるのは読み取りであり、名前ではない。

• スナップショットテストがツールサーフェスを固定し、もう1つのテストが書き込みサーフェスを正確に1つのツールに保つ。

• SQLゲートは迅速で具体的な拒否を提供する——しかし、本当の防壁はデータベースアイデンティティの権限である。テキストスキャンはすり抜けられる。IAMはすり抜けられない。

クイックスタート

python3 -m unittest discover -s tests   # no dependencies
python3 -m gateway.demo                 # three identities, one denial on the record
pip install mcp && GATEWAY_IDENTITY=analyst@example.com python3 -m gateway.server

Related MCP server: mcp-policy-gateway

さらに詳しく

docs/design.md は、キャプチャされた出力とともに各構成要素を解説する。 docs/rules.md は、すべてのルールに、その理由とテストを付与する。 docs/lineage.md は、正直な限界と由来を記す。

2026年8月に、各ルールを苦労して獲得した本番ゲートウェイから抽出された。コミットログはその抽出から始まる。