Fehlerbehebung bei der MCP-Server-Authentifizierung

Diese Seite behandelt häufige Fehler bei der Authentifizierung bei UiPath-MCP-Servern.

401 Nicht autorisiert

Token abgelaufen

Die häufigste Ursache ist ein abgelaufenes Token. Erneut authentifizieren:

uipath auth

Falsches URL-Format

Überprüfen Sie, ob alle URL-Segmente korrekt sind:

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

Wo:

• {org}: Ihr UiPath-Organisationsname
• {tenant}: Ihr Mandantenname
• {folderKey}: Die GUID des Ordners
• {slug}: Der Slug-Name des MCP-Servers

Token vom falschen Identitätsanbieter

Wenn Sie in den Protokollen Fehler bei der Zielgruppenvalidierung sehen, wurde das Token wahrscheinlich für einen anderen Dienst ausgestellt. Stellen Sie sicher, dass Sie sich bei der richtigen UiPath Cloud-Instanz authentifiziert haben.

403 Forbidden

Externe App oder Benutzer, die dem Ordner nicht zugewiesen ist

Die erforderliche Korrektur hängt davon ab, welche Scopes die externe App hat.

Die App hat Anwendungs-Scopes (mit oder ohne Benutzer-Scopes)

Weisen Sie die App dem Ordner zu, der den MCP-Server enthält:

1. Öffnen Sie den Ordner im Orchestrator.
2. Navigieren Sie zu Zugriff verwalten > Zuweisen.
3. Suchen Sie nach Ihrer externen App.
4. Weisen Sie die externe App mit der Rolle Automation User zu.

App hat nur Benutzer-Scopes

Die App selbst kann dem Ordner nicht zugewiesen werden. Die Suche danach in „Zugriff verwalten“ gibt keine Ergebnisse zurück, da Orchestrator nur Apps mit Anwendungs-Scopes auflistet. Weisen Sie stattdessen dem Benutzer, der sich über die App anmeldet, Folgendes zu:

1. Öffnen Sie den Ordner im Orchestrator.
2. Navigieren Sie zu Zugriff verwalten > Zuweisen.
3. Suchen Sie nach dem Benutzer, der sich über die externe App anmeldet.
4. Weisen Sie dem Benutzer die Rolle Automation User, Automation Developer oder Folder Administrator zu.

Fehlender OR.Default-Scope

Wenn Sie ein Token nur mit bestimmten OR.* -Scopes (z. B. OR.Execution oder OR.Jobs) anfordern, ohne OR.Default einzuschließen, umgeht das Token die Rollenauflösung auf Ordnerebene und gewährt Zugriff auf alle Ordner innerhalb des Mandanten. Der Orchestrator benötigt weiterhin den X-UIPATH-FolderKey -Header bei jedem API-Aufruf.

Aktuelle MCP-Serverversionen übernehmen dies automatisch. Bei älteren Versionen kann dies zu fehlgeschlagenen Orchestrator-Aufrufen führen. Um dieses Problem zu vermeiden, fügen Sie OR.Default als einzigen Scope in Ihre Tokenanforderung ein und verlassen Sie sich stattdessen auf den rollenbasierten Zugriff des Ordners.

GetFoldersForCurrentUser gibt 403 mit Client-Anmeldeinformationen zurück

Dies ist das erwartete Verhalten. Die Orchestrator-API GetFoldersForCurrentUser unterstützt keine Authentifizierung von Client-Anmeldeinformationen. Um dies zu umgehen, legen Sie die Umgebungsvariable UIPATH_FOLDER_KEY fest, um den Aufruf der Ordnerauflösung zu umgehen.

400 Ungültige Anforderung: ungültiger_Scope

Verwenden von Maschinenanmeldeinformationen anstelle externer App-Anmeldeinformationen

Dies ist die häufigste Ursache für invalid_scope -Fehler. Maschinenanmeldeinformationen sind für die Roboterauthentifizierung vorgesehen, nicht für den API-Zugriff.

So können Sie dies beheben:

1. Gehen Sie zu Administrator > Externe Apps (nicht zu Orchestrator > Maschinen).

2. Wählen Sie Anwendung hinzufügen aus.

3. Geben Sie einen Namen ein und behalten Sie den App-Typ „Vertraulich“ bei.

4. Wählen Sie die Registerkarte Anwendungsbereich(e) aus.

5. Fügen Sie OR.Execution und bei Bedarf OR.Jobs für codierte oder Befehlsserver hinzu.

6. Wählen Sie Hinzufügen aus und kopieren Sie dann die neue Client-ID und den geheimen Clientschlüssel.

7. Authentifizieren Sie sich mit den neuen Anmeldeinformationen erneut:

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

Der OAuth-Flow des MCP-Clients schlägt fehl

Rückruf-URL nicht auf der Zulassungsliste

UiPath Identity Server erfordert, dass Rückruf-URLs für die dynamische Client-Registrierung (DCR) vorab freigegeben wurden. Wenn die Rückruf-URL Ihres MCP-Clients nicht auf der Zulassungsliste steht, schlägt der DCR-Schritt fehl.

VS-Code mit GitHub-Copilot funktioniert derzeit ohne zusätzliche Konfiguration. Unterstützung für zusätzliche Clients (Claude Desktop, Cursor, ChatGPT) wird nach und nach hinzugefügt.

.bekanntes Problem mit dem Discovery Routing

Einige MCP-Clients (z. B. Copilot Studio- und OpenAI-Clients) testen /.well-known/openid-configuration in der Stammdomäne, anstatt der resource_metadata -URL aus dem WWW-Authenticate -Header zu folgen. Wenn dieser Prüfpunkt cloud.uipath.com/.well-known/openid-configuration erreicht, wird eine HTML 200-Seite anstelle einer richtigen 404-Seite zurückgegeben, was die Erkennungslogik des Clients unterbricht.

Dies ist ein bekanntes Routing-Problem. Wenn es auftritt, wenden Sie sich an den UiPath-Support, um den aktuellen Status zu erfahren.