Lokka MCP
MCP-сервер для Microsoft Graph и Azure: тенантом Microsoft 365 управляют обычными словами, от групп Entra до расходов Azure
- 310 ★ репозитория
- Последний коммит
- MIT
Широкий доступ
Почему такой уровень
- При разрешениях на запись агент создает, меняет и удаляет объекты Microsoft 365 и ресурсы Azure.
- Секрет или сертификат приложения в конфигурации MCP открывает доступ к тенанту.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/lokkaОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- При разрешениях на запись агент создает, меняет и удаляет объекты Microsoft 365 и ресурсы Azure.
- Секрет или сертификат приложения в конфигурации MCP открывает доступ к тенанту.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Lokka дает агенту один инструмент `Lokka-Microsoft`, который вызывает Microsoft Graph и Azure Resource Manager. Агент собирает запрос из пути, метода и параметров, сервер выполняет его и возвращает ответ. В обычном чате так находят политики условного доступа, создают группу безопасности с динамическим правилом или узнают, какой сервис Azure обошелся дороже всего в прошлом месяце. Вход настраивается четырьмя способами: интерактивный с приложением Lokka по умолчанию, свое приложение Microsoft Entra, приложение без пользователя (сертификат или секрет) и токен, который передает сам клиент через `set-access-token`.
Для кого. Администраторам Microsoft 365 и Azure, которые ищут и меняют настройки тенанта запросами к агенту.
Подходит, если
- Политики условного доступа проверяют на исключения: например, не исключена ли аварийная учетная запись.
- Группу безопасности с динамическим правилом по отделу создают без захода в портал.
- Нужно понять, какие политики Intune назначены группе колл-центра.
- Финансовый отдел спрашивает, какой сервис Azure стоил больше всего за прошлый месяц.
Не подходит, если
- Тенант рабочий, а у приложения широкие права: методы `post`, `patch` и `delete` изменят настоящие данные.
- Политика компании запрещает передавать сведения о тенанте внешней модели.
- Нужен отчет по расписанию без участия человека.
Пример запроса к агенту
Найди политики условного доступа, где не исключена аварийная учетная запись, и покажи их названия.MCP
- Транспорт
- stdio
- Авторизация
- OAuth
Переменные окружения
`TENANT_ID`- Идентификатор тенанта Microsoft Entra; обязателен везде, кроме режима токена клиента.
`CLIENT_ID`- Идентификатор приложения Microsoft Entra; обязателен везде, кроме режима токена клиента.
`CLIENT_SECRET`секрет- Секрет приложения; нужен только для режима с секретом.
`USE_INTERACTIVE`- Значение `true` включает интерактивный вход.
`USE_CLIENT_TOKEN`- Значение `true` включает режим токена, который передает клиент.
`USE_CERTIFICATE`- Значение `true` включает вход по сертификату.
`CERTIFICATE_PATH`- Путь к PEM-сертификату; нужен для режима сертификата.
`CERTIFICATE_PASSWORD`секрет- Пароль сертификата, если он зашифрован.
`USE_GRAPH_BETA`- Значение `false` переводит все вызовы Graph на `v1.0`.
Ограничения
Сервер вызывает API с правами выбранного входа, поэтому запись и удаление возможны, если приложению выданы такие разрешения. Запросы Graph по умолчанию идут к версии `beta`; чтобы оставить только `v1.0`, задайте `USE_GRAPH_BETA=false`. Для режимов без пользователя нужны `TENANT_ID`, `CLIENT_ID` и сертификат или секрет приложения Entra. В режиме токена клиента токен приходится обновлять вручную через `set-access-token`. Документация по установке лежит на lokka.dev.
Как отключить. Удалите запись `Lokka-Microsoft` из конфигурации MCP и перезапустите клиент. Приложение Entra и выданные ему разрешения отзовите отдельно в портале Microsoft Entra.
Частые вопросы
С какого входа начать?
С интерактивного: конфигурация без переменных использует приложение Lokka по умолчанию и просит войти. Свое приложение Entra подключают через `TENANT_ID`, `CLIENT_ID` и `USE_INTERACTIVE=true`.
Как оставить сервер только на чтение?
Выдайте приложению Entra только права на чтение. Изменения возможны лишь при наличии разрешений, которых у приложения нет.
Какие инструменты есть у сервера?
`Lokka-Microsoft` вызывает API Graph или Azure, `set-access-token` передает токен, `get-auth-status` показывает режим входа и готовность, `add-graph-permission` запрашивает дополнительные права интерактивно.
Как отключить бета-версию Graph?
Задайте `USE_GRAPH_BETA=false`: все запросы пойдут к `v1.0`, даже если агент указал `beta`.
Как подключить Lokka к VS Code?
В README есть кнопки установки в один клик для VS Code и VS Code Insiders: отдельные для Windows (через `cmd /c npx`) и для macOS и Linux (через `npx`).
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыСкилл с локальным индексом 27 700 методов Microsoft Graph: поиск эндпоинтов, права и вызовы API из командной строки
Официальный MCP-сервер Microsoft для Azure: агент видит ресурсы подписки и работает с сервисами Azure от вашего имени
Локальный шлюз объединяет MCP-серверы внутренних сервисов, проверяет вход пользователя и записывает обращения в журнал.
MCP Gateway
mcp-gateway
Обратный прокси и управление жизненным циклом серверов MCP на Kubernetes и Azure от Microsoft: маршрутизация, авторизация, роли. Для команд платформы
Azure DevOps MCP от Tiberriver256
Azure DevOps MCP by Tiberriver256
MCP-сервер сообщества для задач, кода и сборок Azure DevOps; поддерживает вход по PAT в Azure DevOps Server внутри вашей сети
Агент ищет в журналах AWS CloudWatch, суммирует активность и сопоставляет события из разных сервисов.
Коротко о README
Сервер запускается через `npx`, а вход в Microsoft выбирается переменными окружения. Для VS Code есть установка в один клик, для Claude Desktop достаточно блока `mcpServers`.