Serveur MCP

Ce que fait le serveur MCP

Le Model Context Protocol (MCP) est un standard ouvert qui permet aux assistants IA d'appeler des outils dans d'autres systèmes. Le serveur MCP Nomid permet à un assistant tel que claude.ai, ChatGPT, Claude Code, Codex ou Cursor de répondre à des questions sur votre flotte en langage naturel, par exemple combien d'appareils utilisent une politique ou quels appareils n'ont pas été vus depuis une date donnée, sans que personne n'ait à ouvrir le portail. Il peut également diagnostiquer pourquoi un appareil ne peut pas être joint à distance, fournir un lien vers un appareil, une politique ou une application dans le portail, et consulter les offres publiques et les tarifs de Nomid. Avec une autorisation supplémentaire, il peut envoyer des commandes à un appareil à la fois, comme le verrouiller, le redémarrer ou modifier sa politique, ou encore créer des codes QR d'enrôlement. Une autorisation distincte permet les commandes destructrices telles que l'effacement.

Point de terminaison et transport

POST https://api.nomid.tech/emm/api/mcp

Le serveur utilise le protocole MCP Streamable HTTP en mode sans état (stateless). Chaque appel JSON-RPC est une requête HTTPS indépendante, il n'y a donc aucune session à maintenir active et aucun flux d'événements à garder ouvert.

Connectez-vous avec « Sign in with Nomid » (OAuth) ou avec une clé d'API. Envoyez une clé d'API sous forme de jeton porteur (bearer token) ou dans l'en-tête X-API-Key. La plupart des clients MCP ne prennent en charge que le format bearer. Une clé ou un jeton manquant, invalide ou expiré renvoie une erreur 401.

La clé d'API ou la connexion « Sign in with Nomid » détermine l'entreprise. Aucun outil n'accepte d'argument de locataire (tenant) ou d'entreprise, et une connexion ne peut voir que les appareils et les politiques de sa propre entreprise.

Sign in with Nomid

Sign in with Nomid est de l'OAuth pour les clients MCP, accessible à toutes les entreprises. Au lieu d'utiliser une clé, l'utilisateur se connecte à Nomid dans le navigateur et autorise ce que l'assistant peut faire. L'assistant agit alors en tant que cet utilisateur au sein de cette entreprise, et ne voit que les appareils et politiques autorisés par le rôle de l'utilisateur et ses accès aux politiques.

claude.ai, ChatGPT et Claude Code se connectent avec Sign in with Nomid : ajoutez l'URL du point de terminaison ci-dessus en tant que connecteur personnalisé ou serveur MCP, sans clé, puis connectez-vous lorsque le client le demande. Les exemples Codex et Cursor ci-dessous utilisent une clé d'API.

Dans Claude Code, ajoutez le serveur sans en-tête, puis exécutez /mcp dans Claude Code et sélectionnez le serveur pour vous connecter.

claude mcp add --transport http nomid-mdm https://api.nomid.tech/emm/api/mcp

Une connexion comporte des portées OAuth, qui remplacent les permissions des clés d'API.

Les clients demandent par défaut mcp:read, mcp:devices:command et mcp:provisioning. mcp:devices:destructive et mcp:policies:write ne sont jamais demandés automatiquement : un client doit les demander explicitement.

Sur la page de consentement, l'utilisateur peut décocher des portées, et Nomid supprime toute portée non autorisée par le rôle de l'utilisateur ou les paramètres d'accès de l'agent IA de l'entreprise. L'approbation d'une portée de commande, destructrice ou de modification de politique nécessite une connexion récente.

Chaque requête vérifie à nouveau la connexion. Si l'utilisateur perd l'accès à l'entreprise ou les permissions de rôle requises par un outil, ou si l'entreprise désactive l'accès de l'agent IA, les requêtes sont refusées pendant toute cette durée.

Créer une clé d'API

Le serveur MCP utilise les mêmes clés d'API que l'API REST. Créez une clé dédiée pour chaque assistant afin de pouvoir la révoquer sans affecter les autres intégrations.

1. 1

   Dans le portail Nomid, ouvrez Paramètres et sélectionnez l'onglet API.

2. 2

   Cliquez sur Créer une clé d'API et saisissez un nom qui identifie l'assistant, par exemple « Claude Code lecture seule ».

3. 3

   Choisissez les autorisations décrites ci-dessous. Si vous souhaitez que la clé cesse de fonctionner à une date donnée, définissez une date d'expiration.

4. 4

   Copiez la clé lorsqu'elle s'affiche. Elle ne s'affiche qu'une seule fois.

Connecter votre assistant

Stockez la clé dans une variable d'environnement nommée NOMID_API_KEY et ne la validez jamais dans un dépôt. L'URL dans chaque exemple correspond au point de terminaison de production.

claude mcp add --transport http nomid-mdm https://api.nomid.tech/emm/api/mcp \
  --header "Authorization: Bearer ${NOMID_API_KEY}"

[mcp_servers.nomid]
url = "https://api.nomid.tech/emm/api/mcp"
bearer_token_env_var = "NOMID_API_KEY"

{
  "mcpServers": {
    "nomid-mdm": {
      "url": "https://api.nomid.tech/emm/api/mcp",
      "headers": {
        "Authorization": "Bearer ${env:NOMID_API_KEY}"
      }
    }
  }
}

Outils disponibles

Chaque outil est limité à l'entreprise de la clé ou de la connexion. Un appareil est identifié par son assetId, qui est le pathName renvoyé par search_devices et get_device. Une politique est identifiée par son policyId, qui est le pathName renvoyé par list_policies.

Outils de lecture

Les outils de lecture ne modifient jamais rien. La plupart renvoient les mêmes données que les points de terminaison REST correspondants. diagnose_device, get_portal_link, search_nomid_site et l'argument query de search_devices n'ont pas d'équivalent REST.

Outils de commande

Les outils de commande agissent sur exactement un appareil physique par appel. Il n'existe pas d'option groupée. Chaque outil nécessite DEVICES_COMMAND, et change_device_policy nécessite également POLICIES_READ.

Outils de commande destructrice

Les clients MCP qui se connectent avec « Sign in with Nomid » au lieu d'une clé API nécessitent le scope mcp:devices:destructive pour ces outils, et mcp:devices:command pour les outils de commande.

Quels appareils peuvent recevoir des commandes

• Seuls les appareils inscrits peuvent recevoir des commandes (statut ACTIVE, INACTIVE ou SYNCHRONIZING). Les ressources supprimées, réapprovisionnées et désinscrites sont rejetées.
• Certaines commandes ne fonctionnent que sur un seul type d'appareil. Lock, lost mode, clear_app_data, reset_screen_lock et change_screen_lock_password nécessitent un appareil Android Management (géré par Google). sync_policy, shutdown_device et launch_app nécessitent un appareil géré par l'agent Nomid (AOSP). Les autres appareils renvoient une erreur d'outil.
• Un message est une notification push envoyée à l'agent Nomid sur l'appareil ; l'appareil a donc besoin d'un jeton push enregistré.
• Une ressource appartenant à une autre entreprise se comporte exactement comme une ressource inexistante.

Non disponible via MCP ou l'API REST : le démarrage de sessions d'accès à distance, ainsi que l'énumération ou la révocation de jetons d'inscription. Un code QR de provisionnement crée son propre jeton d'inscription. Les modifications de règles ont leur propre flux de proposition et d'application.

Outil de provisionnement

Chaque appel crée un nouveau jeton d'enrôlement, l'assistant ne doit donc créer un code QR que lorsque l'utilisateur en fait la demande, et ne jamais réutiliser un ancien.

Le code QR est renvoyé sous la forme d'un bloc d'image MCP à côté du résultat textuel, afin que le client puisse l'afficher à l'utilisateur. Le résultat textuel indique policyId, policyName, personalUsage, expiresAt et, lorsqu'un réseau a été fourni, wifiSsid. Il ne contient jamais le jeton d'enrôlement ni le mot de passe Wi-Fi.

Les connexions Sign in with Nomid nécessitent la portée mcp:provisioning et le paramètre de provisionnement de l'entreprise sous Accès de l'agent IA. Une clé d'API avec PROVISIONING n'a pas besoin de ce paramètre.

API de codes QR d'approvisionnement

Sécurité et audit

Une commande modifie un appareil tenu par une personne. Considérez chacune d'elles comme une action nécessitant une décision humaine.

• Confirmez toujours auprès de l'utilisateur avant d'exécuter une commande. Les descriptions des outils demandent au modèle de le faire, mais rien sur le serveur ne l'impose. Laissez l'approbation par outil de votre client activée pour les outils de commande au lieu de les approuver automatiquement.
• Ne renvoyez jamais une commande après un résultat non confirmé. Si l'issue est inconnue, vérifiez list_device_commands après avoir laissé à l'appareil le temps de répondre, et demandez à l'utilisateur avant de renvoyer. Un renvoi peut dupliquer une commande déjà transmise, et un message affiche une seconde notification.
• Un résultat indiquant que la commande n'a pas été envoyée peut être réessayé en toute sécurité. La commande n'a jamais quitté Nomid.
• Chaque commande est enregistrée dans l'historique des commandes de l'appareil sur le portail Nomid. Une commande envoyée avec une clé d'API est attribuée à la clé, et non à une personne : l'entrée affiche api-key, l'identifiant de la clé et son préfixe. Une commande envoyée via une connexion « Sign in with Nomid » est attribuée à l'utilisateur connecté. L'historique renvoyé par list_device_commands ne contient que le type, le statut, les horodatages et l'issue, pas l'auteur de la commande.
• Si un ordinateur ou un fichier de configuration est compromis, révoquez la clé depuis Paramètres, API. Les clés révoquées ne peuvent pas être restaurées. Pour mettre fin à une connexion « Sign in with Nomid », révoquez-la dans la liste des connexions de la page des agents IA du portail, ou déconnectez-la dans un client qui révoque ses jetons lors de la déconnexion. Dans les deux cas, la connexion et tous ses jetons cessent immédiatement de fonctionner. Chaque utilisateur peut révoquer ses propres connexions, et un utilisateur pouvant gérer les clés d'API peut révoquer n'importe quelle connexion de l'entreprise.

Limites de débit

Les limites sont décomptées par clé d'API ou par connexion « Sign in with Nomid », sur des fenêtres fixes d'une minute. Lorsque vous dépassez la limite de requêtes MCP, le serveur répond par HTTP 429 Too Many Requests avec un en-tête Retry-After qui indique le nombre de secondes jusqu'à la réinitialisation de la fenêtre.

Un appel d'outil de commande, chaque appel propose ou apply d'un outil de modification de stratégie, ainsi que chaque appel create_provisioning_qr_code sont décomptés des deux limites. Lorsqu'un tel appel dépasse la limite partagée d'écriture, le serveur renvoie une erreur d'outil au lieu d'un code HTTP 429. Il s'agit d'une réponse normale marquée comme une erreur, et son texte indique le nombre de secondes à attendre. Les points de terminaison REST de lecture n'utilisent pas la limite MCP.

Dépannage

Documentation associée

• Authentification par clé API
• Référence de l'API des commandes d'appareils
• API de modifications de stratégie
• API de codes QR d'approvisionnement