MCP サーバー認証のトラブルシューティング

このページでは、UiPath MCP サーバーへの認証を行う際の一般的なエラーについて説明します。

401 未承認

トークンの有効期限が切れています

最も一般的な原因は、トークンの期限切れです。再認証:

uipath auth

URL の形式が正しくない

すべての URL セグメントが正しいことを確認します。

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

場所：

• {org}: UiPath の組織名
• {tenant}: テナント名
• {folderKey}: フォルダーの GUID
• {slug}: MCP サーバーのスラグ名

間違った ID プロバイダーからのトークン

ログにオーディエンス検証エラーが表示される場合は、トークンが別のサービスに対して発行された可能性があります。正しい UiPath Cloud インスタンスに対して認証していることを確認します。

403 Forbidden

外部アプリまたはユーザーがフォルダーに割り当てられていない

必要な修正は、外部アプリに含まれるスコープによって異なります。

アプリにはアプリケーション スコープがある (ユーザー スコープの有無にかかわらず)

MCP サーバーを含むフォルダーにアプリを割り当てます。

1. フォルダーを Orchestrator で開きます。
2. [ アクセス権を管理] > [割り当て] に移動します。
3. 外部アプリを検索します。
4. 外部アプリに Automation User ロールを割り当てます。

アプリにはユーザー スコープのみがある

アプリ自体をフォルダーに割り当てることはできません。[ アクセス権を管理 ] でアプリを検索しても結果は返されません。Orchestrator ではアプリケーション スコープを持つアプリのみがリストされるためです。代わりに、アプリからログインするユーザーを割り当てます。

1. フォルダーを Orchestrator で開きます。
2. [ アクセス権を管理] > [割り当て] に移動します。
3. 外部アプリを介してログインするユーザーを検索します。
4. ユーザーに Automation User、Automation Developer、または Folder Administrator のロールを割り当てます。

ORがありません。既定のスコープ

OR.Defaultを含まずに、特定のOR.*範囲 (OR.Execution や [ OR.Jobsなど) のみを持つトークンを要求する場合、トークンはフォルダー レベルのロール解決をバイパスし、テナント内のすべてのフォルダーにわたるアクセス権を付与します。Orchestrator では、すべての API 呼び出しに X-UIPATH-FolderKey ヘッダーが必要です。

現在の MCP サーバー バージョンは、これを自動的に処理します。古いバージョンでは、このため Orchestrator の呼び出しが失敗する可能性があります。この問題を回避するには、 OR.Default をトークン要求の唯一のスコープとして含め、代わりにフォルダーのロールベースのアクセスを使用します。

GetFoldersForCurrentUser がクライアント資格情報で 403 を返す

これは正常な動作です。GetFoldersForCurrentUser Orchestrator API は、クライアント資格情報認証をサポートしていません。これを回避するには、 UIPATH_FOLDER_KEY 環境変数を設定して、フォルダー解決の呼び出しをバイパスします。

400 Bad Request: invalid_scope (400 不正な要求:

外部アプリの資格情報の代わりにマシン資格情報を使用する

これは、 invalid_scope エラーの最も一般的な原因です。マシンの資格情報はロボット認証用であり、API アクセス用ではありません。

これを修正するには、次の手順を実行します。

1. [ 管理] >> [外部Apps ] ( Orchestrator の > マシンではない) に移動します。

2. [アプリケーションを追加] を選択します。

3. アプリの名前を入力し、アプリの種類は [機密 ] のままにします。

4. [ アプリケーション スコープ] タブを選択します。

5. OR.Executionを追加し、コード化されたサーバーまたはコマンドサーバーの場合は必要に応じてOR.Jobsを追加します。

6. [ 追加] を選択し、新しい クライアント ID と クライアント シークレットをコピーします。

7. 新しい資格情報を使用して再認証します。

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

MCP クライアントの OAuth フローが失敗する

コールバック URL がホワイトリストに登録されていない

UiPath Identity Server では、動的クライアント登録 (DCR) のためにコールバック URL を事前にホワイトリストに登録する必要があります。MCP クライアントのコールバック URL がホワイトリストに登録されていない場合、DCR ステップは失敗します。

現在、GitHub Copilot を使用した VS Code は、追加の構成なしで動作します。追加のクライアント (Claude Desktop、Cursor、ChatGPT) のサポートは段階的に追加されています。

既知のディスカバリールーティングの問題

一部の MCP クライアント (Copilot、Studio、OpenAI クライアントなど) は、WWW-Authenticate ヘッダーの resource_metadata URL をたどるのではなく、ルート ドメインで/.well-known/openid-configurationプローブします。このプローブが cloud.uipath.com/.well-known/openid-configurationにヒットすると、適切な 404 ではなく HTML 200 ページが返され、クライアントの検出ロジックが壊れます。

これは、ルーティングに関する既知の問題です。この問題が発生した場合は、UiPath サポートに連絡して最新のステータスを入手してください。