Workspace-OAuth-Clients

Settings → Developers → MCP OAuth Clients, Workspace-OAuth-Clients für das öffentliche Entergram-MCP-Gateway erstellen und verwalten.

Workspace-Admin-Zugriff erforderlich. Nur Workspace-Owner und -Admins können gemeinsame MCP-OAuth-Clients verwalten.

Workspace im Vergleich zu persönlich

Workspace-Clients unterstützen sowohl Public-PKCE-Clients als auch vertrauliche Clients mit client_secret_post oder client_secret_basic. Legen Sie gemeinsame Integrationen hier ab und nutzen Sie den Bereich für persönliche Clients für Ihre eigenen sitzbezogenen Agenten.

Mitglieder sehen Workspace-Clients nicht direkt, denn diese existieren für teamweite Automatisierung.

Einen Client erstellen

Create client, einen Workspace-OAuth-Client registrieren, der sich gegenüber dem Entergram-MCP-Gateway autorisieren kann.

Feld	Hinweise
Client name	z. B. Entergram Workspace Agent
Platform	Wählen Sie eine aus oder Custom
Token endpoint auth	Public (`none`) oder vertraulich (`client_secret_post` / `client_secret_basic`)
Require PKCE	Für Public Clients zwingend; für vertrauliche Clients als zusätzlicher Schutz empfohlen
Description	Kurze Erläuterung, die auf dem Zustimmungsbildschirm angezeigt wird
Redirect URIs	Eine pro Zeile. HTTPS außerhalb von localhost erforderlich
Allowed scopes	Diese Scopes begrenzen, was der Workspace-Client während der Autorisierung anfordern kann

Nutzen Sie none für lokale PKCE-Clients. Nutzen Sie client_secret_* für gehostete oder serverseitige Integrationen.

Workspace-Clients können den vollständigen Scope-Satz anfordern, siehe die Scope-Tabelle in MCP-Connectors.

Das Client-Secret

Vertrauliche Clients erhalten ein Secret, das einmal angezeigt wird:

Einmalige Anzeige. Entergram speichert nur einen Hash dieses Secrets. Nach dem Schließen dieses Dialogs können Sie es nur noch rotieren, nicht erneut anzeigen.

Public Clients erhalten kein Secret und müssen sich mit PKCE authentifizieren.

Clients verwalten

Die Liste zeigt Active clients und Total clients und pro Client:

Public client / Confidential client, PKCE on / PKCE off
Created, Created by, Last used, Last used by
Active grants
Aufklappbare Client details mit Client-ID, Auth-Methode, Secret-Vorschau, PKCE-Anforderung und, wo zutreffend, einem Ban reason

Aktion	Wirkung
Edit	Name, Scopes und Redirect-URIs ändern
Disable	Stoppt neue Autorisierungen und Token-Erneuerungen bis zur Reaktivierung
Enable	Erlaubt Autorisierung und Erneuerung wieder
Rotate secret	Stellt ein neues Secret aus, einmal angezeigt; das alte funktioniert nicht mehr
Archive	”Das Archivieren deaktiviert den Client und widerruft aktive Freigaben und Refresh-Tokens für diesen Workspace-Client.”

Leerer Zustand: “Erstellen Sie den ersten gemeinsamen MCP-OAuth-Client für diesen Workspace.”

Die Wahl zwischen Disable, Rotate und Archive

Situation	Aktion
Eine Integration vorübergehend pausieren	Disable
Das Secret könnte geleakt sein	Rotate secret (sofort)
Die Integration ist ausgemustert	Archive
Sie stecken mitten in einem Vorfall und sind unsicher	Archive, denn das widerruft auch Freigaben und Refresh-Tokens

Betriebshinweise

Benennen Sie Clients nach dem System, nicht nach der Person. Zapier CRM bridge überlebt den Weggang der Person, die es eingerichtet hat.
Gewähren Sie den engsten Scope-Satz, mit dem die Integration funktioniert. Sie können ihn jederzeit erweitern.
Prüfen Sie Last used vierteljährlich. Ein Client ohne kürzliche Nutzung, aber mit aktiven Freigaben, ist genau die Art von Sache, die still ausgenutzt wird.
Ereignisse im Lebenszyklus eines Clients werden im Aktivitätslog erfasst.
Wenn Sie den Workspace löschen, verschwinden seine Connectors und API-Schlüssel mit ihm.