Solução de problemas de autenticação do servidor MCP

Esta página aborda erros comuns ao fazer autenticação em servidores MCP do UiPath.

401 não autorizado

Token expirado

A causa mais comum é um token expirado. Autenticar novamente:

uipath auth

Formato de URL incorreto

Verifique se todos os segmentos de URL estão corretos:

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

Onde:

• {org}: nome de sua organização UiPath
• {tenant}: seu nome de tenant
• {folderKey}: o GUID da pasta
• {slug}: o nome do campo de dados dinâmico do Servidor MCP

Token do provedor de identidade errado

Se você vir erros de validação de público nos logs, o token provavelmente foi emitido para um serviço diferente. Verifique se você se autentique na instância correta do UiPath Cloud.

403 Forbidden

App externo ou usuário não atribuído à pasta

A correção necessária depende de quais escopos o aplicativo externo tem.

O aplicativo tem escopos de aplicativo (com ou sem escopos de usuário)

Atribua o aplicativo à pasta que contém o Servidor MCP:

1. Abra a pasta no Orchestrator.
2. Navegue até Gerenciar acesso > Atribuir.
3. Procure seu aplicativo externo.
4. Atribua o aplicativo externo com a função Automation User .

O aplicativo tem apenas escopos de usuário

Não é possível atribuir o aplicativo à pasta. Pesquisar por ela em Gerenciar acesso não retorna resultados, porque o Orchestrator lista apenas aplicativos com escopos Aplicativo. Em vez disso, atribua ao usuário que faz login por meio do aplicativo:

1. Abra a pasta no Orchestrator.
2. Navegue até Gerenciar acesso > Atribuir.
3. Pesquise o usuário que fará login por meio do aplicativo externo.
4. Atribua ao usuário a função Automation User, Automation Developer ou Folder Administrator .

Escopo OR.Default ausente

Se você solicitar um token com apenas escopos OR.* específicos (por exemplo, OR.Execution ou OR.Jobs) sem incluir OR.Default, o token ignora a resolução de funções no nível da pasta e concede acesso em todas as pastas dentro do tenant. O Orchestrator ainda requer o cabeçalho X-UIPATH-FolderKey em cada chamada de API.

As versões atuais dos servidores MCP lidam com isso automaticamente. Em versões mais antigas, isso pode resultar em chamadas do Orchestrator com falha. Para evitar esse problema, inclua OR.Default como o único escopo em sua solicitação de token e dependa do acesso baseado em função de pasta.

GetFoldersForCurrentUser retorna 403 com credenciais do cliente

Esse é o comportamento esperado. A API GetFoldersForCurrentUser do Orchestrator não é compatível com a autenticação de credenciais do cliente. Para contornar isso, defina a variável de ambiente UIPATH_FOLDER_KEY para ignorar a chamada de resolução da pasta.

400 Solicitação inválida: invalid_scope

Usando credenciais de máquina em vez de credenciais de aplicativos externos

Essa é a causa mais comum de invalid_scope . As credenciais da máquina são para autenticação de robôs, não para acesso à API.

Para corrigir isso:

1. Acesse Admin > Apps externos (não Orchestrator > Máquinas).

2. Selecione Adicionar aplicativo.

3. Insira um nome e mantenha o tipo de aplicativo Confidencial .

4. Selecione a aba Escopo(s) do aplicativo .

5. Adicione OR.Execution e adicione OR.Jobs se necessário para servidores codificados ou de comando.

6. Selecione Adicionar e, em seguida, copie o novo ID do cliente e Segredo do cliente.

7. Autentique novamente usando as novas credenciais:

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

O fluxo OAuth do cliente MCP falha

URL de retorno de chamada não incluído na lista de permissões

O UiPath Identity Server exige que os URLs de retorno de chamada sejam pré-configurados para o Registro dinâmico do cliente (DCR). Se a URL de retorno de chamada do seu cliente MCP não estiver na lista de permissões, a etapa DCR falhará.

.conhecido problema de roteamento de descoberta

Alguns clientes MCP (como Copilot Studio e clientes OpenAI) sondam /.well-known/openid-configuration no domínio raiz em vez de seguir o URL resource_metadata do cabeçalho WWW-Authenticate . Quando essa investigação chega a cloud.uipath.com/.well-known/openid-configuration, ela retorna uma página HTML 200 em vez de uma 404 adequada, o que interrompe a lógica de descoberta do cliente.

Esse é um problema de roteamento conhecido. Se você o encontrar, entre em contato com o suporte da UiPath para saber o status mais recente.