Clientes OAuth do espaço de trabalho

Settings → Developers → MCP OAuth Clients, crie e gerencie clientes OAuth do espaço de trabalho para o gateway MCP público do Entergram.

Acesso de admin do espaço de trabalho obrigatório. Apenas proprietários e admins do espaço de trabalho podem gerenciar clientes OAuth de MCP compartilhados.

Espaço de trabalho versus pessoal

Os clientes de espaço de trabalho aceitam tanto clientes públicos com PKCE quanto clientes confidenciais com client_secret_post ou client_secret_basic. Mantenha aqui as integrações compartilhadas e use a seção de clientes pessoais para os seus agentes limitados ao assento.

Os membros não veem os clientes de espaço de trabalho diretamente; eles existem para automações de toda a equipe.

Criando um cliente

Create client, registre um cliente OAuth do espaço de trabalho que possa se autorizar no gateway MCP do Entergram.

Campo	Observações
Client name	Por exemplo, Entergram Workspace Agent
Platform	Escolha uma ou Custom
Token endpoint auth	Público (`none`) ou confidencial (`client_secret_post` / `client_secret_basic`)
Require PKCE	Obrigatório para clientes públicos; recomendado para os confidenciais como proteção extra
Description	Explicação curta mostrada na tela de consentimento
Redirect URIs	Um por linha. HTTPS obrigatório fora do localhost
Allowed scopes	Estes escopos limitam o que o cliente de espaço de trabalho pode solicitar durante a autorização

Use none para clientes locais com PKCE. Use client_secret_* para integrações hospedadas ou no servidor.

Clientes de espaço de trabalho podem solicitar o conjunto completo de escopos. Veja a tabela de escopos em Conectores MCP.

O segredo do cliente

Clientes confidenciais recebem um segredo mostrado uma única vez:

Exibição única: o Entergram armazena apenas um hash deste segredo. Depois de fechar este diálogo, você só poderá rotacioná-lo, não revelá-lo de novo.

Clientes públicos não recebem segredo e devem se autenticar com PKCE.

Gerenciando clientes

A lista mostra Active clients e Total clients, e por cliente:

Public client / Confidential client, PKCE on / PKCE off
Created, Created by, Last used, Last used by
Active grants
Client details expansível: Client ID, método de autenticação, prévia do segredo, exigência de PKCE e um Ban reason quando aplicável

Ação	Efeito
Edit	Alterar nome, escopos, redirect URIs
Disable	Interrompe novas autorizações e atualizações de token até ser reativado
Enable	Volta a permitir autorização e atualização
Rotate secret	Emite um novo segredo, mostrado uma vez; o antigo deixa de funcionar
Archive	”Arquivar desativa o cliente e revoga as concessões ativas e os tokens de atualização deste cliente de espaço de trabalho.”

Estado vazio: “Crie o primeiro cliente OAuth de MCP compartilhado deste espaço de trabalho.”

Escolhendo entre desativar, rotacionar e arquivar

Situação	Ação
Pausar uma integração temporariamente	Disable
O segredo pode ter vazado	Rotate secret (imediatamente)
A integração foi descontinuada	Archive
Você está no meio de um incidente e sem certeza	Archive, porque também revoga concessões e tokens de atualização

Notas operacionais

Nomeie os clientes pelo sistema, não pela pessoa. Zapier CRM bridge sobrevive à saída de quem o configurou.
Conceda o conjunto de escopos mais estreito que faça a integração funcionar. Você sempre pode ampliá-lo.
Revise o Last used trimestralmente. Um cliente sem uso recente e com concessões ativas é exatamente o tipo de coisa que é explorada em silêncio.
Os eventos do ciclo de vida do cliente são registrados no log de atividades.
Excluir o espaço de trabalho remove junto os conectores e as chaves de API dele.