托管 OAuth

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Applications（应用程序）。
2. 找到您要配置的应用程序，然后选择右侧的三个点 > Edit（编辑）。
3. 转到 **Advanced settings（高级设置）**选项卡并开启 Managed OAuth（托管 OAuth）。
4. （可选）配置托管 OAuth 设置。
5. 选择 Save（保存）。

1. 获取您现有的 Access 应用程序配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发起一个 PUT 请求，并将 oauth_configuration.enabled 设置为 true。为了避免覆盖您现有的配置，请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"oauth_configuration": {
   				"enabled": true
   		}
   	}'

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> Applications（应用程序）。
2. 找到您要配置的 MCP 服务器应用程序，然后选择右侧的三个点 > Edit（编辑）。
3. 转到 **Advanced settings（高级设置）**选项卡并开启 Managed OAuth（托管 OAuth）。
4. （可选）配置托管 OAuth 设置。
5. 选择 Save（保存）。

1. 获取您现有的 Access 应用程序配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发起一个 PUT 请求，并将 oauth_configuration.enabled 设置为 true。为了避免覆盖您现有的配置，请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"oauth_configuration": {
   				"enabled": true
   		}
   	}'

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Access controls（访问控制）> AI controls（AI 控制）。
2. 找到您要配置的门户，然后选择右侧的三个点 > Edit（编辑）。
3. 转到 **Advanced settings（高级设置）**选项卡并开启 Managed OAuth（托管 OAuth）。
4. （可选）配置托管 OAuth 设置。
5. 选择 Save（保存）。

1. 获取您门户底层 Access 应用程序的现有配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发起一个 PUT 请求，并将 oauth_configuration.enabled 设置为 true。为了避免覆盖您现有的配置，请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"oauth_configuration": {
   				"enabled": true
   		}
   	}'

在您的自托管应用、MCP 服务器应用程序或MCP 服务器门户的 **Advanced settings（高级设置）**选项卡中配置这些设置。

• Allow localhost clients（允许 localhost 客户端）：允许在 localhost 上具有重定向 URI 的任何客户端。
• Allow loopback clients（允许环回客户端）：允许在 127.0.0.1 上具有重定向 URI 的任何客户端。
• Allowed redirect URIs（允许的重定向 URI）：允许用于动态注册客户端的重定向 URI（例如，https://playground.ai.cloudflare.com/*）。URL 必须使用 https。路径可以以 /* 结尾以匹配所有子路径。
• Grant session duration（授权会话时长）：OAuth 刷新令牌保持有效的时长。
• Access token lifetime（Access 令牌生命周期）：OIDC Access 令牌可用于向您的应用程序进行身份验证的时长。Cloudflare 建议在配置较短的 **Access token lifetime（Access 令牌生命周期）（默认 15 分钟）**的同时，配置较长的 Grant session duration（授权会话时长）。当访问令牌过期时，Cloudflare 在根据您的 Access 策略重新评估用户后，使用刷新令牌签发一个新令牌。当刷新令牌过期时，用户必须向身份提供商重新进行身份验证。

通过 Access 应用程序端点上的 oauth_configuration 对象配置这些设置。

1. 获取您现有的 Access 应用程序配置：

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write
   • Access: Apps and Policies Read

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request GET \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

2. 发送带有您的托管 OAuth 设置的 PUT 请求。为了避免覆盖您现有的配置，PUT 请求体应包含上一个 GET 请求返回的所有字段。

   Required API token permissions

   At least one of the following token permissions is required:

   • Access: Apps and Policies Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/$APP_ID" \
   	--request PUT \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"oauth_configuration": {
   				"enabled": true,
   				"dynamic_client_registration": {
   						"enabled": true,
   						"allow_any_on_localhost": true,
   						"allow_any_on_loopback": true,
   						"allowed_uris": [
   								"https://playground.ai.cloudflare.com/*"
   						]
   				},
   				"grant": {
   						"access_token_lifetime": "5m",
   						"session_duration": "24h"
   				}
   		}
   	}'