个人代理

Settings → Developers → Personal Agents，创建并管理用于你自己 Entergram MCP 访问的个人 OAuth 客户端。

个人客户端只在你自己的席位上生效。可以用它连接 Claude Desktop 或 Codex 这类本地代理，也可以用于 n8n 这类应当限制在你自己数据范围内的托管工具。

个人客户端仅限你自己的席位。 共享的工作区客户端和风险更高的权限范围在工作区 OAuth 客户端中。

创建客户端

Create client：

字段	说明
Client name	例如 Entergram Personal Agent
Platform	选择你的应用，或选 Custom
Token endpoint auth	`none`（public + PKCE）、`client_secret_post` 或 `client_secret_basic`
Require PKCE	公开客户端必须启用；机密客户端也建议保持开启
Description	显示在授权同意页面上
Redirect URIs	每行一个。localhost 之外必须使用 HTTPS
Allowed scopes	见下文

本地 PKCE 客户端请使用 none。仍然只在你自己席位上操作的托管或服务端集成，请使用 client_secret_*。

个人客户端可用的权限范围

个人客户端只能申请：

席位安全的读取范围，
按操作者限定的聊天自定义字段访问，
可选的离线访问（保持连接）。

成员受到进一步限制：“成员客户端只能申请安全的读取范围、按操作者限定的聊天自定义字段访问，以及离线访问。” 管理员可用的范围更广。

至少要选择一个范围，否则客户端无法保存。

客户端密钥

机密客户端会收到一个只显示一次的密钥：

一次性展示，Entergram 只存储该密钥的哈希。关闭此对话框后，你只能轮换它，无法再次查看。

请在关闭之前把它复制到你的密钥管理工具中。如果丢失，Rotate secret 会签发一个新密钥（并使旧密钥失效）。

管理客户端

每个客户端会显示 Public client / Confidential client、PKCE on / PKCE off、Created、Last used、Owner 和 Active grants。展开可查看 Client details，包括客户端 ID、认证方式、密钥预览、PKCE 要求、最后使用者和重定向 URI。

操作	效果
Edit	修改名称、权限范围、重定向 URI
Disable	“该客户端将停止接收新的授权和令牌刷新，直到你再次启用它。”
Enable	重新允许授权和刷新
Rotate secret	新密钥，只显示一次
Archive	“归档会停用该客户端，并撤销你的活跃授权和刷新令牌。”

状态包括：Active、Disabled、Archived、Banned。

已授权的应用

Authorized apps，查看并撤销由你的席位签发的 MCP OAuth 授权。

每条授权会显示授权时间（Granted）、存在多少个Refresh tokens、是否要求 PKCE，以及Granted scopes。

Revoke access 会立即终止它：

撤销授权会立即移除该应用已存储的刷新令牌。该客户端必须重新完成 OAuth 才能再次连接。

空状态提示：“当你把本地或托管的 MCP 客户端连接到 Entergram 后，OAuth 授权会显示在这里。”

最佳实践

一个工具一个客户端。 撤销 Claude Desktop 不应该弄坏你的 n8n 工作流。
对于只在交互时使用的工具，不要授予 offline_access，正是它让客户端在你不在场时仍保持连接。
每季度检查 Last used。 几个月没用过的客户端应当归档。
不要给还在试验阶段的代理授予 messages.write。 它会以你的身份发送 Telegram 消息。