Διακομιστής MCP

Τι κάνει ο διακομιστής MCP

Το Model Context Protocol (MCP) είναι ένα ανοιχτό πρότυπο που επιτρέπει σε βοηθούς AI να καλούν εργαλεία σε άλλα συστήματα. Ο διακομιστής Nomid MCP επιτρέπει σε έναν βοηθό όπως το claude.ai, το ChatGPT, το Claude Code, το Codex ή το Cursor να απαντά σε ερωτήσεις σχετικά με τον στόλο σας σε απλή γλώσσα, για παράδειγμα πόσες συσκευές χρησιμοποιούν μια πολιτική ή ποιες συσκευές δεν έχουν εμφανιστεί από μια συγκεκριμένη ημερομηνία, χωρίς να χρειάζεται να ανοίξει κανείς την πύλη. Μπορεί επίσης να διαγνώσει γιατί μια συσκευή δεν είναι προσβάσιμη εξ αποστάσεως, να παραπέμψει σε μια συσκευή, πολιτική ή εφαρμογή στην πύλη, καθώς και να αναζητήσει τα δημόσια προγράμματα και τις τιμές τιμοκαταλόγου του Nomid. Με ένα επιπλέον δικαίωμα μπορεί να στέλνει εντολές σε μία συσκευή τη φορά, όπως κλείδωμα, επανεκκίνηση ή αλλαγή της πολιτικής της, ή να δημιουργεί κωδικούς QR προετοιμασίας (provisioning). Ένα ξεχωριστό δικαίωμα επιτρέπει καταστροφικές εντολές όπως η διαγραφή (wipe).

Τελικό σημείο (Endpoint) και μεταφορά

POST https://api.nomid.tech/emm/api/mcp

Ο διακομιστής χρησιμοποιεί το MCP Streamable HTTP σε κατάσταση χωρίς διατήρηση συνεδρίας (stateless). Κάθε κλήση JSON-RPC είναι ένα ανεξάρτητο αίτημα HTTPS, επομένως δεν υπάρχει συνεδρία προς διατήρηση ούτε ροή συμβάντων (event stream) που πρέπει να παραμένει ανοιχτή.

Συνδεθείτε με Sign in with Nomid (OAuth) ή με ένα κλειδί API. Στείλτε το κλειδί API ως bearer token ή στην κεφαλίδα X-API-Key. Οι περισσότεροι πελάτες MCP υποστηρίζουν μόνο τη μορφή bearer. Ένα κλειδί ή token που λείπει, δεν είναι έγκυρο ή έχει λήξει επιστρέφει 401.

Το κλειδί API ή η σύνδεση Sign in with Nomid καθορίζει την εταιρεία. Κανένα εργαλείο δεν δέχεται όρισμα μισθωτή (tenant) ή εταιρείας, και μια σύνδεση μπορεί να δει μόνο τις συσκευές και τις πολιτικές της δικής της εταιρείας.

Sign in with Nomid

Η Sign in with Nomid είναι OAuth για πελάτες MCP, ανοιχτή σε κάθε εταιρεία. Αντί να χρησιμοποιεί κλειδί, ο χρήστης συνδέεται στο Nomid στο πρόγραμμα περιήγησης και εγκρίνει όσα επιτρέπεται να κάνει ο βοηθός. Ο βοηθός στη συνέχεια ενεργεί ως αυτός ο χρήστης σε αυτήν την εταιρεία και βλέπει μόνο τις συσκευές και τις πολιτικές που επιτρέπουν ο ρόλος και η πρόσβαση πολιτικής του χρήστη.

Το claude.ai, το ChatGPT και το Claude Code συνδέονται με τη Sign in with Nomid: προσθέστε την παραπάνω διεύθυνση URL τελικού σημείου ως προσαρμοσμένο σύνδεσμο ή διακομιστή MCP, χωρίς κλειδί, και συνδεθείτε όταν το ζητήσει ο πελάτης. Τα παρακάτω παραδείγματα Codex και Cursor χρησιμοποιούν κλειδί API.

Στο Claude Code, προσθέστε τον διακομιστή χωρίς κεφαλίδα, στη συνέχεια εκτελέστε το /mcp στο Claude Code και επιλέξτε τον διακομιστή για να συνδεθείτε.

claude mcp add --transport http nomid-mdm https://api.nomid.tech/emm/api/mcp

Μια σύνδεση φέρει εμβέλειες (scopes) OAuth, οι οποίες αντικαθιστούν τα δικαιώματα κλειδιού API.

Οι πελάτες ζητούν από προεπιλογή τα mcp:read, mcp:devices:command και mcp:provisioning. Τα mcp:devices:destructive και mcp:policies:write δεν ζητούνται ποτέ αυτόματα: ένας πελάτης πρέπει να τα ζητήσει ρητά.

Στη σελίδα συγκατάθεσης, ο χρήστης μπορεί να αποεπιλέξει εμβέλειες, και το Nomid απορρίπτει οποιαδήποτε εμβέλεια δεν επιτρέπουν ο ρόλος του χρήστη ή οι ρυθμίσεις πρόσβασης πράκτορα AI της εταιρείας. Η έγκριση μιας εμβέλειας εντολής, καταστροφικής ενέργειας ή αλλαγής πολιτικής απαιτεί πρόσφατη σύνδεση.

Κάθε αίτημα ελέγχει ξανά τη σύνδεση. Εάν ο χρήστης χάσει την πρόσβαση στην εταιρεία ή τα δικαιώματα ρόλου που χρειάζεται ένα εργαλείο, ή εάν η εταιρεία απενεργοποιήσει την πρόσβαση πράκτορα AI, τα αιτήματα απορρίπτονται για όσο διάστημα ισχύει αυτό.

Δημιουργία κλειδιού API

Ο διακομιστής MCP χρησιμοποιεί τα ίδια κλειδιά API με το REST API. Δημιουργήστε ένα αποκλειστικό κλειδί για κάθε βοηθό, ώστε να μπορείτε να το ανακαλέσετε χωρίς να επηρεαστούν άλλες ενοποιήσεις.

1. 1

   Στην πύλη Nomid, ανοίξτε τις Ρυθμίσεις και επιλέξτε την καρτέλα API.

2. 2

   Κάντε κλικ στο Δημιουργία κλειδιού API και εισαγάγετε ένα όνομα που προσδιορίζει τον βοηθό, για παράδειγμα Claude Code μόνο για ανάγνωση.

3. 3

   Επιλέξτε τα δικαιώματα που περιγράφονται παρακάτω. Εάν θέλετε το κλειδί να σταματήσει να λειτουργεί σε μια συγκεκριμένη ημερομηνία, ορίστε ημερομηνία λήξης.

4. 4

   Αντιγράψτε το κλειδί όταν εμφανιστεί. Εμφανίζεται μόνο μία φορά.

Συνδέστε τον βοηθό σας

Αποθηκεύστε το κλειδί σε μια μεταβλητή περιβάλλοντος με το όνομα NOMID_API_KEY και μην το υποβάλετε ποτέ σε αποθετήριο. Το URL σε κάθε παράδειγμα είναι το τελικό σημείο παραγωγής.

claude mcp add --transport http nomid-mdm https://api.nomid.tech/emm/api/mcp \
  --header "Authorization: Bearer ${NOMID_API_KEY}"

[mcp_servers.nomid]
url = "https://api.nomid.tech/emm/api/mcp"
bearer_token_env_var = "NOMID_API_KEY"

{
  "mcpServers": {
    "nomid-mdm": {
      "url": "https://api.nomid.tech/emm/api/mcp",
      "headers": {
        "Authorization": "Bearer ${env:NOMID_API_KEY}"
      }
    }
  }
}

Διαθέσιμα εργαλεία

Κάθε εργαλείο περιορίζεται στην εταιρεία του κλειδιού ή της σύνδεσης. Μια συσκευή αναγνωρίζεται από το assetId της, το οποίο είναι το pathName που επιστρέφεται από τα search_devices και get_device. Μια πολιτική αναγνωρίζεται από το policyId της, το οποίο είναι το pathName που επιστρέφεται από το list_policies.

Εργαλεία ανάγνωσης

Τα εργαλεία ανάγνωσης δεν αλλάζουν ποτέ τίποτα. Τα περισσότερα επιστρέφουν τα ίδια δεδομένα με τα αντίστοιχα τελικά σημεία REST. Τα diagnose_device, get_portal_link, search_nomid_site και το όρισμα query του search_devices δεν έχουν αντίστοιχο REST.

Εργαλεία εντολών

Τα εργαλεία εντολών ενεργούν σε ακριβώς μία φυσική συσκευή ανά κλήση. Δεν υπάρχει μαζική επιλογή. Κάθε εργαλείο χρειάζεται DEVICES_COMMAND, και το change_device_policy χρειάζεται επίσης POLICIES_READ.

Εργαλεία καταστροφικών εντολών

Οι πελάτες MCP που συνδέονται με Sign in with Nomid αντί για κλειδί API χρειάζονται το εύρος mcp:devices:destructive για αυτά τα εργαλεία και το mcp:devices:command για τα εργαλεία εντολών.

Ποιες συσκευές μπορούν να λάβουν εντολές

• Μόνο εγγεγραμμένες συσκευές μπορούν να λάβουν εντολές (κατάσταση ACTIVE, INACTIVE ή SYNCHRONIZING). Στοιχεία ενεργητικού που έχουν διαγραφεί, επαναπαραχωρηθεί ή καταργηθεί η εγγραφή τους απορρίπτονται.
• Ορισμένες εντολές λειτουργούν μόνο σε έναν τύπο συσκευής. Τα Lock, lost mode, clear_app_data, reset_screen_lock και change_screen_lock_password απαιτούν συσκευή Android Management (υπό τη διαχείριση της Google). Τα sync_policy, shutdown_device και launch_app απαιτούν συσκευή υπό τη διαχείριση του πράκτορα Nomid (AOSP). Άλλες συσκευές λαμβάνουν σφάλμα εργαλείου.
• Ένα μήνυμα είναι μια ειδοποίηση push προς τον πράκτορα Nomid στη συσκευή, επομένως η συσκευή χρειάζεται ένα εγγεγραμμένο διακριτικό push (push token).
• Ένα στοιχείο ενεργητικού που ανήκει σε άλλη εταιρεία συμπεριφέρεται ακριβώς όπως ένα στοιχείο ενεργητικού που δεν υπάρχει.

Μη διαθέσιμα μέσω MCP ή του REST API: έναρξη συνεδριών απομακρυσμένης πρόσβασης, και παράθεση ή ανάκληση διακριτικών εγγραφής (enrollment tokens). Ένας κωδικός QR προετοιμασίας δημιουργεί το δικό του διακριτικό εγγραφής. Οι αλλαγές πολιτικής έχουν τη δική τους ροή πρότασης και εφαρμογής (propose-and-apply).

Εργαλείο παραχώρησης (Provisioning tool)

Κάθε κλήση δημιουργεί ένα νέο διακριτικό εγγραφής (enrollment token), επομένως ο βοηθός θα πρέπει να δημιουργεί κωδικό QR μόνο όταν το ζητά ο χρήστης και να μην επαναχρησιμοποιεί ποτέ έναν παλαιότερο.

Ο κωδικός QR επιστρέφεται ως μπλοκ εικόνας MCP δίπλα στο αποτέλεσμα κειμένου, ώστε ο πελάτης να μπορεί να τον εμφανίσει στον χρήστη. Το αποτέλεσμα κειμένου παρέχει τα policyId, policyName, personalUsage, expiresAt και, όταν δόθηκε δίκτυο, το wifiSsid. Δεν περιέχει ποτέ το διακριτικό εγγραφής ή τον κωδικό πρόσβασης Wi-Fi.

Οι συνδέσεις Sign in with Nomid χρειάζονται την εμβέλεια mcp:provisioning και τη ρύθμιση παραχώρησης της εταιρείας στην ενότητα πρόσβασης πράκτορα AI. Ένα κλειδί API με PROVISIONING δεν χρειάζεται αυτή τη ρύθμιση.

API κωδικών QR προετοιμασίας (provisioning)

Ασφάλεια και έλεγχος

Μια εντολή αλλάζει κάτι που κρατά ένα άτομο. Αντιμετωπίστε κάθε μία ως μια ενέργεια που χρειάζεται ανθρώπινη απόφαση.

• Πάντα να επιβεβαιώνετε με τον χρήστη πριν από οποιαδήποτε εντολή. Οι περιγραφές των εργαλείων ζητούν από το μοντέλο να το κάνει αυτό, αλλά τίποτα στον διακομιστή δεν το επιβάλλει. Διατηρήστε την έγκριση ανά εργαλείο του προγράμματος-πελάτη σας ενεργοποιημένη για τα εργαλεία εντολών αντί να τα εγκρίνετε αυτόματα.
• Μην στέλνετε ποτέ ξανά μια εντολή μετά από ένα ανεπιβεβαίωτο αποτέλεσμα. Εάν το αποτέλεσμα είναι άγνωστο, ελέγξτε το list_device_commands αφού η συσκευή έχει προλάβει να απαντήσει, και ρωτήστε τον χρήστη πριν στείλετε ξανά. Η εκ νέου αποστολή μπορεί να δημιουργήσει διπλότυπο μιας εντολής που είχε ήδη παραδοθεί, και ένα μήνυμα εμφανίζει μια δεύτερη ειδοποίηση.
• Ένα αποτέλεσμα που αναφέρει ότι η εντολή δεν στάλθηκε είναι ασφαλές για επανάληψη. Η εντολή δεν έφυγε ποτέ από το Nomid.
• Κάθε εντολή καταγράφεται στο ιστορικό εντολών της συσκευής στην πύλη Nomid. Μια εντολή που στάλθηκε με κλειδί API αποδίδεται στο κλειδί, όχι σε ένα άτομο: η καταχώριση εμφανίζει το api-key, το αναγνωριστικό του κλειδιού και το πρόθεμα του κλειδιού. Μια εντολή που στάλθηκε μέσω μιας σύνδεσης «Sign in with Nomid» αποδίδεται στον χρήστη που συνδέθηκε. Το ιστορικό που επιστρέφει το list_device_commands περιέχει μόνο τύπο, κατάσταση, χρονικές σημάνσεις και έκβαση, όχι ποιος έστειλε την εντολή.
• Εάν ένας υπολογιστής ή ένα αρχείο ρυθμίσεων παραβιαστεί, ανακαλέστε το κλειδί από τις Ρυθμίσεις, API. Τα ανακληθέντα κλειδιά δεν μπορούν να αποκατασταθούν. Για να τερματίσετε μια σύνδεση «Sign in with Nomid», ανακαλέστε την στη λίστα συνδέσεων της σελίδας AI agents στην πύλη, ή αποσυνδέστε την σε ένα πρόγραμμα-πελάτη που ανακαλεί τα διακριτικά του κατά την αποσύνδεση. Σε κάθε περίπτωση, η σύνδεση και όλα τα διακριτικά της σταματούν να λειτουργούν αμέσως. Κάθε χρήστης μπορεί να ανακαλέσει τις δικές του συνδέσεις, και ένας χρήστης που μπορεί να διαχειριστεί κλειδιά API μπορεί να ανακαλέσει οποιαδήποτε σύνδεση της εταιρείας.

Όρια ρυθμού αιτημάτων

Τα όρια υπολογίζονται ανά κλειδί API ή ανά σύνδεση «Sign in with Nomid», σε σταθερά παράθυρα ενός λεπτού. Όταν υπερβαίνετε το όριο αιτημάτων MCP, ο διακομιστής απαντά με HTTP 429 Too Many Requests και μια κεφαλίδα Retry-After που δίνει τα δευτερόλεπτα μέχρι την επαναφορά του παραθύρου.

Μια κλήση εργαλείου εντολής (command tool), κάθε κλήση propose ή apply ενός εργαλείου αλλαγής πολιτικής, καθώς και κάθε κλήση create_provisioning_qr_code προσμετρώνται και στα δύο όρια. Όταν μια τέτοια κλήση υπερβαίνει το κοινό όριο εγγραφής, ο διακομιστής επιστρέφει σφάλμα εργαλείου αντί για HTTP 429. Πρόκειται για μια κανονική απόκριση επισημασμένη ως σφάλμα, και το κείμενό της αναφέρει πόσα δευτερόλεπτα πρέπει να περιμένετε. Τα τελικά σημεία (endpoints) ανάγνωσης REST δεν χρησιμοποιούν το όριο MCP.

Αντιμετώπιση προβλημάτων

Σχετική τεκμηρίωση

• Έλεγχος ταυτότητας με κλειδί API
• Αναφορά API εντολών συσκευής
• API αλλαγών πολιτικής
• API κωδικών QR προετοιμασίας (provisioning)