MCP OAuth 監査
戦略・企画上級
認可検出、過剰スコープ、保護リソースメタデータ不足を特定してリスクを低減します。
トリガー
/mcp-auth-audit使用頻度per deployment
Security Engineerなら？ Run /mcp-auth-audit before deploying MCP servers to production
MCP Server Authorなら？ Validate OAuth configuration matches the 2025-11 spec update
OAuth 2.1OIDCMCPセキュリティ監査
動作フロー
/mcp-auth-audit [server-config] run
↓
Phase 1: 4 audit checks
oidc-discovery
Validate .well-known/openid-configuration
scope-analysis
Check for overscoped permissions
consent-flow
Verify incremental consent support
resource-meta
Audit protected resource metadata
↓
Generate security risk assessment
↓
✓ Auth audit report with risk scores + fix recommendations
スキルコード
# MCP OAuth Auditor Skill
## Trigger: /mcp-auth-audit [server-config-path]
When invoked:
1. Read MCP server auth configuration:
- OAuth 2.1 authorization server metadata
- OIDC Discovery endpoint (.well-known/openid-configuration)
- Protected Resource Metadata (RFC 9728)
- Scope definitions and consent flow
2. Audit against MCP spec (2025-11-25):
### OIDC Discovery Check
| Requirement | Status |
|-------------|--------|
| Discovery endpoint reachable | OK/FAIL |
| issuer matches server URL | OK/FAIL |
| authorization_endpoint present | OK/FAIL |
| token_endpoint present | OK/FAIL |
| response_types_supported | OK/WARN |
### Scope Analysis
- List all declared scopes
- Flag overly broad scopes (e.g., "admin" without sub-scopes)
- Check: does each tool declare required scopes?
- Recommend minimum-privilege scope sets
### Incremental Consent
- Does server support incremental scope requests?
- Are scope upgrade prompts user-friendly?
- Is consent revocation properly handled?
### Protected Resource Metadata
- RFC 9728 compliance check
- resource_documentation_uri present?
- authorization_servers[] properly linked?
3. Output: Risk score (Low/Medium/High/Critical) per category
+ specific remediation steps for each finding
コピーしてCLAUDE.mdに貼り付ければ、すぐに使えます。
MCP OAuth 監査 の仕組み
MCP OAuth Auditorは、サーバーの認証設定を読み取り、OIDC Discovery、スコープ分析、段階的同意、保護リソースメタデータの4領域を並列監査した後、各カテゴリ別リスクスコア（Low〜Critical）と具体的な修正推奨事項を含むセキュリティ評価レポートを生成します。
MCP OAuth 監査 が力を発揮する場面
MCPサーバーをプロダクションにデプロイする前、またはOAuth 2.1スペック更新（2025-11）後に既存の認証設定の準拠状況を確認する際に不可欠です。
主な強み
- OAuth 2.1 + OIDC Discovery + RFC 9728統合監査
- 過度な権限（overscoped permissions）の自動検出
- カテゴリ別リスクスコアで優先順位判断が容易
- 具体的な修正ガイド付き