Cara Membatasi Akses MCP Server: Read-Only dan Toolset

• Menganggap disable_destructive sama dengan read-only

  Setelan ini hanya menyembunyikan tool bertanda destructiveHint. Di v0.0.67 ia menyisakan helm_install dan pods_run, yang bisa memasang chart apa pun atau menjalankan image apa pun yang diizinkan kredensial. Pakai read_only, atau nonaktifkan keduanya berdasarkan nama.

• Salah ketik yang malah membuka akses

  readonly alih-alih read_only dimuat diam-diam di v0.0.67 dan membuka 20 tool. Versi yang lebih baru justru menolak key yang tidak dikenal. Apa pun versinya, audit tools/list setiap kali konfigurasi berubah dan setiap kali upgrade.

• Satu kredensial untuk membaca dan menulis

  Jika server milik agen memegang token yang sama dengan yang Anda pakai untuk deploy, hanya filter yang berdiri di antara sebuah prompt dan perintah delete. Buat identitas read-only terpisah dengan token berumur pendek, dan jauhkan akses tulis dari jangkauan agen.

• Aturan allow yang lebih luas dari tugasnya

  Aturan allow seperti mcp__kubernetes__* menyetujui di muka semua tool yang ditawarkan server itu, termasuk tool tulis yang ditambahkan versi berikutnya. Izinkan tool baca satu per satu berdasarkan nama, dan tolak tool tulis secara eksplisit.

1. 1

   Buat folder latihan yang tidak berisi apa pun yang penting. Hanya folder ini yang boleh disentuh server.

   mkdir -p ~/mcp-practice && echo hello > ~/mcp-practice/note.txt

   Salin
2. 2

   Daftarkan tool milik server dan kelompokkan berdasarkan anotasi readOnlyHint. Catat tool tulisnya: write_file, edit_file, move_file, dan create_directory.

   npx -y @modelcontextprotocol/inspector --cli npx @modelcontextprotocol/server-filesystem ~/mcp-practice --method tools/list

   Salin
3. 3

   Minta sebuah file di luar folder yang diizinkan. Server seharusnya menolak dengan error, karena /etc berada di luar allowed directories-nya.

   npx -y @modelcontextprotocol/inspector --cli npx @modelcontextprotocol/server-filesystem ~/mcp-practice --method tools/call --tool-name read_text_file --tool-arg path=/etc/hosts

   Salin
4. 4

   Daftarkan server itu di Claude Code untuk proyek ini, lalu tolak empat tool tulisnya di .claude/settings.json.

   claude mcp add fs -- npx -y @modelcontextprotocol/server-filesystem ~/mcp-practice
   
   {
     "permissions": {
       "deny": [
         "mcp__fs__write_file",
         "mcp__fs__edit_file",
         "mcp__fs__move_file",
         "mcp__fs__create_directory"
       ]
     }
   }

   Salin
5. 5

   Jalankan Claude Code dan tanyakan tool fs apa saja yang bisa dipanggilnya. Empat tool yang ditolak seharusnya tidak muncul, karena aturan deny menghapus tool dari konteks model.

   claude "List every tool you can call from the fs MCP server."

   Salin

Dari: 1. Apa Itu MCP Server? Begini Perjalanan Satu Tool Call

1. 1.Mengapa memakai kredensial tulis terpisah, bukan satu token ditambah setelan read-only di server?Lihat jawabannya

   Jawaban:Setelan di dalam server hanya sebenar konfigurasi dan label tool-nya. Kredensial yang tidak bisa menulis ditegakkan oleh sistemnya sendiri, jadi salah ketik, upgrade, atau tool yang salah label tidak bisa berubah menjadi delete.

2. 2.Upgrade server menambah tool tulis baru. Lapisan mana yang menangkapnya, dan mana yang meloloskannya?Lihat jawabannya

   Jawaban:Kredensial read-only tetap menolak apa yang dicoba tool itu, dan audit tools/list di CI menandai nama barunya. Aturan allow yang luas seperti mcp__server__* menyetujuinya diam-diam, itulah sebabnya allow per nama dan deny yang eksplisit lebih awet.

3. 3.Mengapa mengatur denied_resources untuk Secret padahal role view sudah tidak bisa membaca Secret?Lihat jawabannya

   Jawaban:Ia tetap aman saat kredensial bergeser. Jika kelak ada yang mengikat role yang lebih luas ke identitas agen, server tetap menolak jenis resource tersebut.

• Kubernetes MCP server: read_only, toolset, dan denied resources
• checklist keamanan MCP server
• least privilege agen AI untuk kredensial dan token
• kontrol tulis MCP: WriteGuard vs prompt persetujuan