MCP 服务器身份验证故障排除

本页面介绍了对 UiPath MCP 服务器进行身份验证时的常见错误。

401 未经授权

令牌已过期

最常见的原因是令牌过期。重新验证：

uipath auth

URL 格式错误

验证所有 URL 段是否正确:

https://cloud.uipath.com/{org}/{tenant}/agenthub_/mcp/{folderKey}/{slug}

其中：

• {org} ：您的 UiPath 组织名称
• {tenant} ：您的租户名称
• {folderKey} ：文件夹的 GUID
• {slug} ：MCP 服务器的 Slug 名称

来自错误身份提供程序的令牌

如果您在日志中看到受众验证错误，则可能会为其他服务颁发令牌。请验证您是否针对正确的 UiPath Cloud 实例进行了身份验证。

403 Forbidden

未将外部应用程序或用户分配到文件夹

所需的修复取决于外部应用程序的作用域。

应用程序具有应用程序作用域（带或不带用户作用域）

将应用程序分配到包含 MCP 服务器的文件夹：

1. 在 Orchestrator 中打开文件夹。
2. 导航到“管理访问权限”>“分配” 。
3. 搜索您的外部应用程序。
4. 为外部应用程序分配“自动化用户”角色。

应用程序仅具有“用户”作用域

无法将应用程序本身分配给文件夹。在“管理访问权限”中搜索不会返回任何结果，因为 Orchestrator 仅列出具有应用程序作用域的应用程序。相反，请分配通过应用程序登录的用户：

1. 在 Orchestrator 中打开文件夹。
2. 导航到“管理访问权限”>“分配” 。
3. 搜索将通过外部应用程序登录的用户。
4. 分配具有Automation User 、 Automation Developer或Folder Administrator角色的用户。

缺少 OR.默认作用域

如果您请求仅包含特定OR.*作用域（例如OR.Execution或OR.Jobs ）而不包含OR.Default令牌，则令牌会绕过文件夹级别的角色解析，并授予对租户中所有文件夹的访问权限。Orchestrator 仍需要在每次 API 调用时提供X-UIPATH-FolderKey标头。

当前版本的 MCP 服务器会自动处理此问题。在较旧的版本中，这可能会导致 Orchestrator 调用失败。为避免此问题，请在令牌请求中包含OR.Default作为唯一作用域，并改为依赖基于文件夹角色的访问权限。

GetFoldersForCurrentUser 对客户端凭据返回 403

这是预期行为。GetFoldersForCurrentUser Orchestrator API 不支持客户端凭据身份验证。要解决此问题，请设置UIPATH_FOLDER_KEY环境变量以绕过文件夹解析调用。

400 错误请求：invalidate_scope

使用计算机凭据代替外部应用程序凭据

这是导致invalid_scope错误的最常见原因。计算机凭据用于机器人身份验证，而不用于 API 访问。

要解决此问题，请执行以下操作：

1. 转到“管理员”>“外部 Apps” （而不是“Orchestrator”>“计算机” ）。

2. 选择“添加应用程序”。

3. 输入名称并将应用程序类型保留为“机密” 。

4. 选择“应用程序作用域”选项卡。

5. 添加OR.Execution ，并根据需要添加OR.Jobs用于编码服务器或命令服务器。

6. 选择“添加” ，然后复制新的“客户端 ID”和“客户端密码” 。

7. 使用新凭据重新进行身份验证：

   uipath auth --client-id "<new-client-id>" \
       --client-secret "<new-client-secret>" \
       --base-url "https://cloud.uipath.com/{org}/{tenant}" \
       --scope "OR.Default"
   

MCP 客户端 OAuth 流程失败

回调 URL 未列入白名单

UiPath Identity Server 要求将动态客户端注册 (DCR) 的回调 URL 预列入白名单。如果 MCP 客户端的回调 URL 未列入白名单，则 DCR 步骤将失败。

VS Code 与 GitHub Copilot 目前无需额外配置即可运行。正在逐步添加对其他客户端（Claude Desktop、Cursor、ChatGPT）的支持。

.well-已知发现路由问题

某些 MCP 客户端（例如 Copilot Studio 和 OpenAI 客户端）会在根域中探测/.well-known/openid-configuration而不是遵循WWW-Authenticate标头中的resource_metadata URL。当此探测器点击cloud.uipath.com/.well-known/openid-configuration时，它将返回 HTML 200 页面，而不是正确的 404，这会破坏客户端的发现逻辑。

这是一个已知的路由问题。如果遇到此问题，请联系 UiPath 支持团队获取最新状态。