Cloudflare One の MCP server portal は、Access サービストークンで接続できるようになった。ブラウザを介さない自律エージェントやボットが、ポータル URL からリンク先の MCP サーバーへ到達したい運用に効く。
- 接続時は
CF-Access-Client-IdとCF-Access-Client-Secretヘッダーを MCP クライアントに付与する - ポータルの Access アプリケーションと、到達させたい各リンク先 MCP サーバーの Access アプリケーションの両方に、同じサービストークンを含む Service Auth ポリシーが必要である
- サービストークンセッションはポータル URL と各アップストリーム MCP サーバーで二重に認可される
- リンク先サーバーごとに Require user auth をオフ（API では
on_behalf: false）にし、ポータルが管理者資格情報でリクエストする設定にする - 認可されたリンク先サーバーのツールがボットに公開される。Service Auth が一致しないサーバーはツール一覧から除外される
- ユーザーごとの OAuth が必要なサーバー（Require user auth がオンのサーバー）は、サービストークンでは per-user OAuth を完了できないためセッションから除外される
設定手順は、Zero Trust でサービストークンを作成し、ポータルと各サーバーに Service Auth を追加したうえで、MCP クライアントから上記ヘッダー付きで接続する。