Résolution des problèmes d’authentification du serveur MCP

Cette page couvre les erreurs courantes lors de l’authentification auprès des serveurs MCP UiPath.

401 Non autorisé

Jeton expiré

La cause la plus courante est un jeton expiré. Ré-authentifier:

uipath auth

Format URL incorrect

Vérifiez que tous les segments d'URL sont corrects:

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

Où :

• {org}: le nom de votre organisation UiPath
• {tenant}: votre nom de locataire
• {folderKey}: le GUID du dossier
• {slug}: le nom de champ de données dynamique du serveur MCP

Jeton provenant du fournisseur d’identité incorrect

Si vous voyez des erreurs de validation d'audience dans les journaux, cela signifie que le jeton a probablement été émis pour un autre service. Vérifiez que vous vous êtes authentifié par rapport à l’instance UiPath Cloud correcte.

403 Forbidden

Application externe ou utilisateur non affecté au dossier

Le correctif requis dépend des étendues de l’application externe.

L’application dispose d’étendues d’application (avec ou sans étendues d’utilisateur)

Attribuez l'application au dossier contenant le serveur MCP:

1. Ouvrez le dossier dans Orchestrator.
2. Accédez à Gérer l’accès > Attribuer.
3. Recherchez votre application externe.
4. Attribuez l’application externe avec le rôle Automation User .

L’application ne dispose que des étendues d’utilisateur

L’application elle-même ne peut pas être attribuée au dossier. La recherche dans Gérer l'accès ne renvoie aucun résultat, car Orchestrator répertorie uniquement les applications avec des étendues d'application. Attribuez plutôt l’utilisateur qui se connecte via l’application:

1. Ouvrez le dossier dans Orchestrator.
2. Accédez à Gérer l’accès > Attribuer.
3. Recherchez l’utilisateur qui se connectera via l’application externe.
4. Affectez à l’utilisateur le rôle Automation User, Automation Developer ou Folder Administrator .

Étendue OR.Default manquante

Si vous demandez un jeton avec uniquement des étendues OR.* spécifiques (par exemple, OR.Execution ou OR.Jobs) sans inclure OR.Default, le jeton contourne la résolution des rôles au niveau du dossier et accorde l'accès à tous les dossiers du locataire. Orchestrator requiert toujours l'en-tête X-UIPATH-FolderKey sur chaque appel d'API.

Les versions actuelles des serveurs MCP gèrent automatiquement. Sur les anciennes versions, cela peut entraîner l'échec des appels Orchestrator. Pour éviter ce problème, incluez OR.Default comme seule étendue dans votre demande de jeton et misez sur l'accès basé sur les rôles de dossier à la place.

GetFoldersForCurrentUser renvoie le code 403 avec les informations d’identification du client

Ce comportement est attendu. L'API GetFoldersForCurrentUser Orchestrator ne prend pas en charge l'authentification par informations d'identification du client. Pour résoudre ce problème, définissez la variable d'environnement UIPATH_FOLDER_KEY afin de contourner l'appel de résolution de dossier.

Requête 400 incorrecte: invalid_Scope

Utilisation des informations d’identification de la machine au lieu des informations d’identification de l’application externe

Il s’agit de la cause la plus fréquente des erreurs invalid_scope . Les informations d’identification de la machine sont destinées à l’authentification du Robot, et non à l’accès à l’API.

Pour résoudre ce problème:

1. Accédez à Admin > Apps (pas Orchestrator > Machines).

2. Sélectionnez Ajouter une application.

3. Saisissez un nom et conservez le type d'application Confidentiel .

4. Sélectionnez l'onglet Étendue(s) de l'application .

5. Ajoutez OR.Execution et ajoutez OR.Jobs si nécessaire pour les serveurs codés ou de commande.

6. Sélectionnez Ajouter, puis copiez le nouvel ID de client et la Nouvelle clé secrète du client.

7. Ré-authentifiez à l’aide des nouvelles informations d’identification:

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

Échec du flux OAuth du client MCP

URL de rappel non ajoutée à la liste blanche

UiPath Identity Server requiert la pré-ajout de la liste blanche aux URL de rappel pour l’enregistrement dynamique du client. Si l'URL de rappel de votre client MCP n'est pas ajoutée à la liste blanche, l'étape DCR échoue.

VS Code avec GitHub Copilot fonctionne actuellement sans configuration supplémentaire. La prise en charge de clients supplémentaires est ajoutée progressivement.

Problème de routage de découverte bien connu

Certains clients MCP (tels que les clients Copilot Studio et OpenAI) sondent /.well-known/openid-configuration au niveau du domaine racine au lieu de suivre l'URL resource_metadata de l'en-tête WWW-Authenticate . Lorsque cette sonde atteint cloud.uipath.com/.well-known/openid-configuration, elle renvoie une page HTML 200 au lieu d'une page 404 appropriée, ce qui interrompt la logique de découverte du client.

Il s'agit d'un problème de routage connu. Si vous le rencontrez, contactez le support UiPath pour obtenir le dernier statut.