Anthropic 为 Claude MCP 连接器开放企业托管授权，告别逐人 OAuth 同意流程

Anthropic 已让 Claude 的企业托管授权（Enterprise-Managed Authorization，EMA）面向 MCP 连接器正式开放使用。根据 2026 年 8 月 24 日的相关报道，这项变化把连接器授权从“每名员工分别完成 OAuth 授权”，转移到企业现有的身份与访问管理系统中。 3943

MCP（Model Context Protocol，模型上下文协议）是一项开放标准，用于将 AI 助手连接到外部工具、企业应用、数据仓库和开发环境。 12 EMA 的目标，是让企业管理员更容易批量开通、管理和撤销这些连接，同时继续沿用组织现有的集中式访问策略。

员工和管理员的体验有什么不同？

过去，企业通常需要完成两步操作：

1. 管理员为整个组织启用或批准某个连接器。
2. 每名员工再单独登录相关服务，并完成该服务自己的 OAuth 同意流程。

在 EMA 模式下，管理员通过公司的身份提供商配置连接器和访问政策。只要员工已经被现有的用户组或权限政策授予访问资格，就可以利用已有的单点登录（SSO）会话使用获批连接器，不必再次跳转浏览器，也不必为每个连接器单独点击同意。 4962

这并不意味着访问权限失去控制。身份提供商仍然是企业作出授权决定的核心系统。管理员可以通过集中式策略决定哪些用户或群组能够访问连接器，也可以在同一套系统中撤销权限。 4142

背后的身份提供商授权流程

EMA 基于 MCP 的企业托管授权扩展，以及“身份断言 JWT 授权授予”（Identity Assertion JWT Authorization Grant）机制。

简化来看，流程如下：

1. 员工通过企业现有的 SSO 系统登录。
2. 身份提供商签发一份经过签名的身份断言，即 JSON Web Token（JWT）。
3. Claude 将这份断言提交给 MCP 连接器的授权服务器。
4. 授权服务器验证断言；如果企业政策允许访问，就签发该连接器原本使用的访问令牌。
5. Claude 使用访问令牌访问获批的 MCP 服务器。

由于连接器能够验证用户的企业身份及其授权背景，员工不必重复完成连接器自身的 OAuth 同意流程。 4963

Okta 通过 Cross App Access（XAA，跨应用访问）实现这一模式。XAA 是 Okta 对这类“由身份提供商介导授权”方案的具体实现，而 MCP 的企业托管授权扩展则试图提供开放的协议层，并不要求所有企业都使用某一种专有连接器机制。 3538

覆盖哪些 Claude 产品？

MCP 项目的公告称，Anthropic 已在共享 MCP 层实现该扩展，因此管理员可以在 Claude、Claude Code 和 Cowork 中为用户授权 MCP 服务器。 62 对企业而言，这意味着互动式 Claude 使用、开发者工作流，以及桌面或代理式工作场景，有望采用一致的授权模型。

Claude Code 还提供独立的企业级 MCP 配置控制。Anthropic 表示，管理员可以通过托管策略设置强制执行工具权限、文件访问限制和 MCP 服务器配置，包括由组织控制的服务器列表。 13 因此，EMA 主要解决的是身份与授权的衔接问题；而 Claude Code 的托管设置，则可以进一步限制用户能够配置哪些 MCP 服务器。

Anthropic 的平台文档还介绍了使用企业身份提供商签发的短期 OIDC 凭据来验证工作负载，从而减少对长期静态 API 密钥的依赖。这属于相关的企业身份管理方向，但不要将它与连接器专用的 EMA 流程混为一谈。 18

目前支持哪些连接器和身份提供商？

现有资料明确提到，Okta 项目首批涉及的 MCP 提供商包括：

• Asana
• Atlassian
• Canva
• Figma
• Granola
• Linear
• Supabase

3856

不过，现有证据无法确认 2026 年 8 月 24 日正式商用版本中所有连接器的完整清单，也无法可靠区分哪些连接器已经支持、哪些仍在计划中。同样，除 Okta 已记录的 XAA 实现外，资料也没有提供一份完整且确定的身份提供商名单。企业在部署前，仍应逐一确认连接器的可用性以及与自身身份提供商的兼容性。

这套机制的采用范围并不局限于 Okta。身份提供商需要能够签发相关身份断言，MCP 连接器开发者则需要让授权服务器接受并验证这些断言。Anthropic 面向连接器开发者的文档，具体说明了如何让 MCP 服务器接受企业身份断言，并在不要求用户再次同意的情况下返回访问令牌。 49

Ramp 在其中扮演什么角色？

Okta 曾将 Ramp、Webflow、HubSpot 等共同客户列为早期项目参与者，用于管理 Claude 对参与 MCP 提供商所提供应用的访问。 38

但现有资料没有披露 Ramp 的具体部署方式、推广规模、连接器组合或量化结果。因此，不能仅凭公告推断 Ramp 已经取得了某些具体成效，也不能据此描述其内部实施细节。

为什么这对企业部署 Claude 很重要？

EMA 针对的是企业大规模部署 AI 连接工具时常见的实际瓶颈。逐人弹出的 OAuth 授权页面会增加入职和配置工作，也会让权限标准化变得困难；管理员还可能需要依赖员工自行完成每一步设置。

集中式身份提供商流程则可以让连接器访问权限直接沿用企业现有的岗位、群组和角色政策。新员工只要符合权限条件，登录 Claude 后即可获得相应连接；员工转岗或离职时，管理员也能从中心系统调整或撤销权限。

安全边界也更加清晰：身份提供商负责判断用户是否有权访问某个连接器，MCP 连接器的授权服务器负责验证身份断言，并在验证通过后签发自身的访问令牌。企业仍然需要逐一评估 MCP 服务器、实施最小权限策略，并控制用户可以添加哪些服务器。Anthropic 的 Claude Code 文档建议企业使用可信的 MCP 服务器，并通过托管或纳入源代码管理的设置限制服务器配置。 13

因此，EMA 的核心变化并不是“OAuth 消失了”，而是把面向员工的重复同意环节，替换成连接企业 SSO 策略与 MCP 连接器访问权限的企业级授权交换。对于计划在多个团队推广 Claude 的企业，这有望让 Claude、Claude Code 和 Cowork 中的连接器开通更加一致，同时保留集中式的管理控制。 4962