MCP サーバーを保護する

1. 次のボタンを選び、クイックスタートを開始します。

   

2. Zero Trust 組織があるアカウントを選びます。

3. Create an application ページで、次の項目を設定します。

   • Git account: 既存のアカウントを選ぶか、新しい GitHub または GitLab アカウントを接続します。
   • Create private Git repository: プロジェクトリポジトリを公開にするか非公開にするかを選びます。
   • Project name: mcp-server-cf-access
   • Select KV namespace: Create new
   • Name your KV namespace: OAUTH_KV

   ACCESS_CLIENT_ID とその他のシークレット値は、後の手順で設定します。

4. Create and deploy を選びます。

MCP サーバーは、*.workers.dev サブドメイン上の mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev にデプロイされます。GitHub または GitLab アカウントに MCP サーバー用の新しい git リポジトリが作成され、メインブランチへの push またはプルリクエストのマージのたびに、自動で Cloudflare へデプロイされます。

Wrangler CLI を使い、ローカルで MCP サーバーを作成して Cloudflare へデプロイできます。

1. ターミナルを開き、サンプルプロジェクトをクローンします。

   npm create cloudflare@latest -- mcp-server-cf-access --template=cloudflare/ai/demos/remote-mcp-cf-access

   セットアップ中は、次の選択肢を選びます。

   • Do you want to add an AGENTS.md file to help AI coding tools understand Cloudflare APIs? には No を選びます。
   • Do you want to use git for version control? には No を選びます。
   • Do you want to deploy your application? には No を選びます（デプロイ前に変更を加えます）。

2. プロジェクトディレクトリへ移動します。

   cd mcp-server-cf-access

3. キーを保存する Workers KV namespace を作成します。サンプルをそのまま動かす場合、バインディング名は OAUTH_KV にしてください。

   npx wrangler kv namespace create "OAUTH_KV"

   コマンドは、バインディング名と KV namespace ID を出力します。

   {
   	"kv_namespaces": [
   		{
   			"binding": "OAUTH_KV",
   			"id": "<YOUR_KV_NAMESPACE_ID>"
   		}
   	]
   }

4. エディターで wrangler.jsonc を開き、OAUTH_KV namespace ID を入れます。

   "kv_namespaces": [
   	{
   		"binding": "OAUTH_KV",
   		"id": "<YOUR_KV_NAMESPACE_ID>"
   	}
   ],

5. Worker を Cloudflare のグローバルネットワークへデプロイできます。

   npx wrangler deploy

Worker は、*.workers.dev サブドメイン上の mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev にデプロイされます。

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Access controls > Applications を開きます。

2. Create new application を選びます。

3. SaaS application を選びます。

4. Application にカスタム名（例: MCP server）を入力し、下に表示されるテキストボックスを選びます。

5. 認証プロトコルとして OIDC を選びます。

6. Add application を選びます。

7. Redirect URLs に、MCP サーバーの認可コールバック URL を入力します。サンプル MCP サーバー のコールバック URL は https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback です。

8. 次の値をコピーし、サンプル MCP サーバーへ入力します。ほかの MCP サーバーでは、必要な値の組み合わせが異なる場合があります。

   • Client secret
   • Client ID
   • Token endpoint
   • Authorization endpoint
   • Key endpoint

9. （任意）Advanced settings で Refresh tokens をオンにすると、アイデンティティプロバイダーへのログイン回数を減らせます。

10. Access ポリシー を設定し、MCP サーバーへアクセスできるユーザーを決めます。

11. ユーザーの認証方法を設定します。

    1. アプリケーションで有効にする アイデンティティプロバイダー を選択します。

    2. （推奨）単一の IdP だけでアクセスを許可する場合は、Apply instant authentication をオンにします。エンドユーザーには Cloudflare Access のログインページ は表示されません。代わりに、Cloudflare はユーザーを SSO ログインへ直接リダイレクトします。

    3. （任意） Authenticate with Cloudflare One Client をオンにすると、ユーザーは Cloudflare One Client のセッションアイデンティティ でアプリケーションに認証できます。

12. Create を選びます。

1. Access applications エンドポイントへ POST リクエストを送ります。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "MCP server",
   		"type": "saas",
   		"saas_app": {
   				"auth_type": "oidc",
   				"redirect_uris": [
   						"https://mcp-server-cf-access.<YOUR_SUBDOMAIN>.workers.dev/callback"
   				],
   				"grant_type": [
   						"authorization_code",
   						"refresh_tokens"
   				],
   				"refresh_token_options": {
   						"lifetime": "90d"
   				}
   		},
   		"policies": [
   				"f174e90a-fafe-4643-bbbc-4a0ed4fc8415"
   		],
   		"allowed_idps": []
   	}'

2. レスポンスの client_id と client_secret をコピーします。

3. チーム名 とレスポンスの client_id を使い、OAuth エンドポイント URL を組み立てます。

   エンドポイント	URL
   Token endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/token
   Authorization endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/authorization
   Key endpoint	https://<TEAM_NAME>.cloudflareaccess.com/cdn-cgi/access/sso/oidc/<CLIENT_ID>/jwks

1. Cloudflare ダッシュボード ↗ で、Workers & Pages ページを開きます。

   Workers & Pages を開く ↗

2. mcp-server-cf-access Worker を選びます。

3. Settings を開きます。

4. Variables and Secrets で、各シークレットを Access for SaaS アプリ から取得した対応する値に更新します。

   Workers シークレット	SaaS アプリの項目
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Client secret
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Authorization endpoint
   ACCESS_JWKS_URL	Key endpoint

5. COOKIE_ENCRYPTION_KEY には、次のコマンドでランダムな文字列を生成できます。

   openssl rand -hex 32

   このコマンドの出力を COOKIE_ENCRYPTION_KEY に入力します。

1. 次の Workers secrets を作成します。

   npx wrangler secret put ACCESS_CLIENT_ID
   npx wrangler secret put ACCESS_CLIENT_SECRET
   npx wrangler secret put ACCESS_TOKEN_URL
   npx wrangler secret put ACCESS_AUTHORIZATION_URL
   npx wrangler secret put ACCESS_JWKS_URL

2. シークレット値の入力を求められたら、Access for SaaS アプリ から取得した対応する値を貼り付けます。

   Workers シークレット	SaaS アプリの項目
   ACCESS_CLIENT_ID	Client ID
   ACCESS_CLIENT_SECRET	Client secret
   ACCESS_TOKEN_URL	Token endpoint
   ACCESS_AUTHORIZATION_URL	Authorization endpoint
   ACCESS_JWKS_URL	Key endpoint

3. Cookie 暗号化キー用のランダムな文字列を生成します。

   openssl rand -hex 32

   このコマンドの出力を Workers secret に保存します。

   npx wrangler secret put COOKIE_ENCRYPTION_KEY