Solución de problemas de autenticación del servidor MCP

Esta página cubre los errores comunes al autenticarse en servidores MCP de UiPath.

401 No autorizado

Token caducado

La causa más común es un token caducado. Volver a autenticar:

uipath auth

Formato de URL incorrecto

Verifica que todos los segmentos de URL sean correctos:

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

Donde:

• {org}: el nombre de su organización de UiPath
• {tenant}: tu nombre de tenant
• {folderKey}: el GUID de la carpeta
• {slug}: el nombre slug del servidor MCP

Token de un proveedor de identidades incorrecto

Si ves errores de validación de audiencia en los registros, es probable que el token se haya emitido para un servicio diferente. Comprueba que te has autenticado en la instancia de UiPath Cloud correcta.

403 Forbidden

Licencia no disponible

Orchestrator devuelve 403 con errorCode 10000 cuando no hay ninguna licencia disponible para la identidad de la llamada. Consulta Admin > Licencias en tu organización para confirmar que hay una licencia disponible para la edición del producto vinculada a los servidores MCP.

Aplicación externa o usuario no asignado a la carpeta

La corrección necesaria depende de los ámbitos que tenga la aplicación externa.

La aplicación tiene ámbitos de aplicación (con o sin ámbitos de usuario)

Asigna la aplicación a la carpeta que contiene el servidor MCP:

1. Abre la carpeta en Orchestrator.
2. Ve a Gestionar acceso > Asignar.
3. Busca tu aplicación externa.
4. Asigna la aplicación externa con el rol de Automation User .

La aplicación solo tiene ámbitos de usuario

La aplicación en sí no se puede asignar a la carpeta. Buscarlo en Gestionar acceso no devuelve resultados, porque Orchestrator solo enumera las aplicaciones con ámbitos de aplicación. En su lugar, asigna el usuario que inicia sesión a través de la aplicación:

1. Abre la carpeta en Orchestrator.
2. Ve a Gestionar acceso > Asignar.
3. Busque el usuario que iniciará sesión a través de la aplicación externa.
4. Asigna al usuario el rol Automation User, Automation Developer o Folder Administrator .

Al rol le falta el permiso Servidores MCP

La identidad se asigna a la carpeta, pero su rol no otorga el permiso MCPServers.View. Esto difiere de no estar asignado a la carpeta en absoluto: la asignación se realiza correctamente, pero las llamadas siguen fallando.

1. Ve a Admin > tu tenant > Gestionar acceso > Roles.
2. Abre el rol asignado a la aplicación o usuario externo.
3. En Permisos, habilita Ver en servidores MCP.

El rol de Automation User integrado ya incluye este permiso.

Falta OR. Ámbito predeterminado

Si solicitas un token con solo ámbitos OR.* específicos (por ejemplo, OR.Execution o OR.Jobs) sin incluir OR.Default, el token omite la resolución de roles a nivel de carpeta y otorga acceso a todas las carpetas dentro del tenant. Orchestrator sigue requiriendo el encabezado X-UIPATH-FolderKey en cada llamada a la API.

Las versiones actuales de servidores MCP gestionan esto automáticamente. En versiones anteriores, esto puede dar lugar a llamadas de Orchestrator fallidas. Para evitar este problema, incluye OR.Default como el único ámbito en tu solicitud de token y confía en el acceso a la carpeta basado en roles en su lugar.

GetFoldersForCurrentUser devuelve 403 con credenciales de cliente

Este es el comportamiento esperado. La GetFoldersForCurrentUser API de Orchestrator no admite la autenticación de credenciales de cliente. Para evitar esto, establece la variable de entorno UIPATH_FOLDER_KEY para omitir la llamada de resolución de carpetas.

400 Solicitud incorrecta: invalid_scope

Utilizar credenciales de máquina en lugar de credenciales de aplicación externa

Esta es la causa más común de errores invalid_scope. Las credenciales de la máquina son para la autenticación del robot, no para el acceso a la API.

Para solucionarlo:

1. Ve a Admin > Apps externas (no a Orchestrator > Máquinas).

2. Selecciona Añadir aplicación.

3. Introduce un nombre y mantén el tipo de aplicación Confidencial .

4. Selecciona la pestaña Ámbitos de aplicación .

5. Añade OR.Execution, y añade OR.Jobs si es necesario para servidores codificados o de comando.

6. Selecciona Añadir y, a continuación, copia el nuevo ID de cliente y Secreto de cliente.

7. Vuelve a autenticar utilizando las nuevas credenciales:

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

El flujo OAuth del cliente MCP falla

La URL de devolución de llamada no está en la lista de permitidas

UiPath Identity Server requiere que las URL de devolución de llamada se incluyan previamente en la lista de permisos para el registro dinámico de clientes (DCR). Si la URL de devolución de llamada de tu cliente MCP no está en la lista de permitidos, el paso DCR falla.

.problema de enrutamiento de descubrimiento conocido

Algunos clientes MCP (como los clientes Copilot Studio y OpenAI) sondean /.well-known/openid-configuration en el dominio raíz en lugar de seguir la URL resource_metadata del encabezado WWW-Authenticate. Cuando este sondeo llega a cloud.uipath.com/.well-known/openid-configuration, devuelve una página HTML 200 en lugar de una 404 propiamente dicha, lo que rompe la lógica de descubrimiento del cliente.

Este es un problema de enrutamiento conocido. Si lo encuentras, ponte en contacto con el soporte de UiPath para obtener el estado más reciente.