Anthropic 已宣布，Claude 的 Model Context Protocol（MCP）連接器正式提供企業集中授權（Enterprise-Managed Authorization，EMA）。根據 2026 年 8 月 24 日的報道，企業可以將連接器授權交由現有的身份及存取管理系統處理，毋須再由每位員工逐一登入第三方服務、完成 OAuth 同意程序。3943

MCP 是一套開放標準，用來把 AI 助手連接至外部工具、企業應用程式、資料庫及開發環境。12 EMA 的重點，不是取消企業管控，而是將原本分散在每位員工身上的授權步驟，集中返到管理員和企業身份供應商（IdP）的政策之中。

由「管理員批准＋員工逐個授權」變成一次集中設定

以往使用 MCP 連接器，大致要行兩步：

1. 管理員先為公司啟用或批准連接器。
2. 每位員工再自行登入已連接的服務，逐個完成該服務的 OAuth 同意流程。

EMA 推出後，管理員可以直接在公司的身份供應商內設定連接器及存取政策。只要員工所屬的群組或角色符合既有政策，便可沿用現有的單一登入（SSO）工作階段使用已批准的連接器，不用再逐個連接器開瀏覽器跳轉，亦不用逐次按同意。4962

這不代表所有人自動獲得所有權限。身份供應商仍然是企業作出授權決定的核心系統。管理員可以按使用者、群組或既有角色分配權限；當員工轉組或離職，亦可以從中央政策系統撤銷存取權。4142

背後點樣運作？

EMA 建基於 MCP 的 Enterprise-Managed Authorization 擴充功能，以及 Identity Assertion JWT Authorization Grant（ID-JAG）配置。用簡單方式講，流程如下：

1. 員工先透過公司現有的 SSO 系統登入。
2. 身份供應商簽發一份已簽署的身份斷言，即 JSON Web Token（JWT）。
3. Claude 將這份身份斷言交給 MCP 連接器的授權伺服器。
4. 授權伺服器驗證斷言；如果企業政策容許該員工存取，便簽發連接器正常使用的存取權杖。
5. Claude 再使用該權杖連接已批准的 MCP 伺服器。

因此，員工不用再重複完成連接器本身的 OAuth 同意流程。連接器收到的是一份可驗證的企業身份及授權背景資料，並會在確認無誤後發出自己的存取權杖。4963

Okta 以 Cross App Access（XAA）實作這種模式。XAA 是 Okta 對身份供應商中介授權方式的產品化實作；EMA 本身則是 MCP 的開放協議層，並不代表所有企業都必須使用 Okta。3538

Claude、Claude Code、Cowork 都涵蓋

MCP 專案公告指出，Anthropic 已在共用 MCP 層實作這項擴充功能，管理員可以跨 Claude、Claude Code 及 Cowork 為使用者授權 MCP 伺服器。62

換句話說，企業可在不同使用場景採用較一致的授權模式：一般對話使用 Claude、開發工作使用 Claude Code，以及桌面或代理工作使用 Cowork，都可以沿用企業身份政策。

Claude Code 另外已有企業級 MCP 設定控制。Anthropic 表示，管理員可以透過受管理政策設定，統一執行工具權限、檔案存取限制及 MCP 伺服器配置，包括由企業控制可用伺服器清單。13 EMA 處理的是「使用者身份如何交給連接器、並換取授權」；Claude Code 的受管理設定，則可以進一步限制員工一開始可以配置哪些 MCP 伺服器。

Anthropic 平台文件亦提到，企業可使用由身份供應商發出的短期 OIDC 憑證，為工作負載進行身份驗證，避免依賴長期有效的靜態 API key。不過，這是相關的企業身份化方向，並不等同於針對 MCP 連接器的 EMA 流程。18

目前確認支援哪些連接器？

現有資料確認，與 Okta 計劃相關的首批 MCP 供應商包括：

• Asana
• Atlassian
• Canva
• Figma
• Granola
• Linear
• Supabase

3856

不過，目前提供的證據不足以確認 2026 年 8 月 24 日正式全面推出時，所有已支援連接器的完整清單；同樣未能可靠區分哪些是現時可用、哪些只是計劃加入。因此，企業不應假設所有 MCP 連接器都已經支援 EMA，部署前仍需逐一核對連接器可用性及身份供應商相容性。

採用範圍亦不只限於 Okta。身份供應商需要能夠簽發相關身份斷言，而 MCP 連接器開發者則要令自己的授權伺服器可以接收、驗證這些斷言，並在毋須另一次使用者同意的情況下發出存取權杖。49

Ramp 的角色：已列入早期計劃，但細節未明

Okta 曾指出，Ramp、Webflow、HubSpot 及其他共同客戶參與早期計劃，用來管理 Claude 存取參與計劃的 MCP 供應商應用程式。38

但現有來源沒有交代 Ramp 的具體部署方式、推出規模、使用了哪些連接器，或帶來甚麼量化成效。因此，不能單靠公告推斷 Ramp 的實際 rollout 或成績。

對企業部署 AI 工具有咩意義？

EMA 針對的是企業大規模部署 AI 連接工具時一個幾實際的樽頸：逐個員工彈出 OAuth 提示，會增加入門和支援成本，亦令權限標準化變得困難。集中由身份供應商按既有組織架構、群組及角色作決定，就可以令存取政策跟隨企業本身的管理流程。

安全邊界亦更加清晰：身份供應商決定某位員工是否有資格使用連接器，MCP 連接器的授權伺服器則負責驗證身份斷言，確認後才簽發自己的存取權杖。企業仍然需要逐個評估 MCP 伺服器、設定最小權限政策，以及限制員工可以新增哪些伺服器。Anthropic 的 Claude Code 文件亦建議使用可信任的 MCP 伺服器，並指企業可以透過受管理或由原始碼控制的設定，限制伺服器配置。13

所以，今次改變並不是簡單一句「OAuth 消失了」。更準確地講，是將面向員工、逐個連接器的同意流程，換成一套由企業管理的授權交換，將公司現有的 SSO 政策接駁到 MCP 連接器存取權限。4962

對希望在多個團隊部署 Claude 的企業而言，這可以令 Claude、Claude Code 及 Cowork 的連接器配置更加一致，同時保留中央管理員對權限的控制。

Anthropic 已宣布，Claude 的 Model Context Protocol（MCP）連接器正式提供企業集中授權（Enterprise-Managed Authorization，EMA）。根據 2026 年 8 月 24 日的報道，企業可以將連接器授權交由現有的身份及存取管理系統處理，毋須再由每位員工逐一登入第三方服務、完成 OAuth 同意程序。3943

MCP 是一套開放標準，用來把 AI 助手連接至外部工具、企業應用程式、資料庫及開發環境。12 EMA 的重點，不是取消企業管控，而是將原本分散在每位員工身上的授權步驟，集中返到管理員和企業身份供應商（IdP）的政策之中。

由「管理員批准＋員工逐個授權」變成一次集中設定

以往使用 MCP 連接器，大致要行兩步：

1. 管理員先為公司啟用或批准連接器。
2. 每位員工再自行登入已連接的服務，逐個完成該服務的 OAuth 同意流程。

EMA 推出後，管理員可以直接在公司的身份供應商內設定連接器及存取政策。只要員工所屬的群組或角色符合既有政策，便可沿用現有的單一登入（SSO）工作階段使用已批准的連接器，不用再逐個連接器開瀏覽器跳轉，亦不用逐次按同意。4962

這不代表所有人自動獲得所有權限。身份供應商仍然是企業作出授權決定的核心系統。管理員可以按使用者、群組或既有角色分配權限；當員工轉組或離職，亦可以從中央政策系統撤銷存取權。4142

背後點樣運作？

EMA 建基於 MCP 的 Enterprise-Managed Authorization 擴充功能，以及 Identity Assertion JWT Authorization Grant（ID-JAG）配置。用簡單方式講，流程如下：

1. 員工先透過公司現有的 SSO 系統登入。
2. 身份供應商簽發一份已簽署的身份斷言，即 JSON Web Token（JWT）。
3. Claude 將這份身份斷言交給 MCP 連接器的授權伺服器。
4. 授權伺服器驗證斷言；如果企業政策容許該員工存取，便簽發連接器正常使用的存取權杖。
5. Claude 再使用該權杖連接已批准的 MCP 伺服器。

因此，員工不用再重複完成連接器本身的 OAuth 同意流程。連接器收到的是一份可驗證的企業身份及授權背景資料，並會在確認無誤後發出自己的存取權杖。4963

Okta 以 Cross App Access（XAA）實作這種模式。XAA 是 Okta 對身份供應商中介授權方式的產品化實作；EMA 本身則是 MCP 的開放協議層，並不代表所有企業都必須使用 Okta。3538

Claude、Claude Code、Cowork 都涵蓋

MCP 專案公告指出，Anthropic 已在共用 MCP 層實作這項擴充功能，管理員可以跨 Claude、Claude Code 及 Cowork 為使用者授權 MCP 伺服器。62

換句話說，企業可在不同使用場景採用較一致的授權模式：一般對話使用 Claude、開發工作使用 Claude Code，以及桌面或代理工作使用 Cowork，都可以沿用企業身份政策。

Claude Code 另外已有企業級 MCP 設定控制。Anthropic 表示，管理員可以透過受管理政策設定，統一執行工具權限、檔案存取限制及 MCP 伺服器配置，包括由企業控制可用伺服器清單。13 EMA 處理的是「使用者身份如何交給連接器、並換取授權」；Claude Code 的受管理設定，則可以進一步限制員工一開始可以配置哪些 MCP 伺服器。

Anthropic 平台文件亦提到，企業可使用由身份供應商發出的短期 OIDC 憑證，為工作負載進行身份驗證，避免依賴長期有效的靜態 API key。不過，這是相關的企業身份化方向，並不等同於針對 MCP 連接器的 EMA 流程。18

目前確認支援哪些連接器？

現有資料確認，與 Okta 計劃相關的首批 MCP 供應商包括：

• Asana
• Atlassian
• Canva
• Figma
• Granola
• Linear
• Supabase

3856

不過，目前提供的證據不足以確認 2026 年 8 月 24 日正式全面推出時，所有已支援連接器的完整清單；同樣未能可靠區分哪些是現時可用、哪些只是計劃加入。因此，企業不應假設所有 MCP 連接器都已經支援 EMA，部署前仍需逐一核對連接器可用性及身份供應商相容性。

採用範圍亦不只限於 Okta。身份供應商需要能夠簽發相關身份斷言，而 MCP 連接器開發者則要令自己的授權伺服器可以接收、驗證這些斷言，並在毋須另一次使用者同意的情況下發出存取權杖。49

Ramp 的角色：已列入早期計劃，但細節未明

Okta 曾指出，Ramp、Webflow、HubSpot 及其他共同客戶參與早期計劃，用來管理 Claude 存取參與計劃的 MCP 供應商應用程式。38

但現有來源沒有交代 Ramp 的具體部署方式、推出規模、使用了哪些連接器，或帶來甚麼量化成效。因此，不能單靠公告推斷 Ramp 的實際 rollout 或成績。

對企業部署 AI 工具有咩意義？

EMA 針對的是企業大規模部署 AI 連接工具時一個幾實際的樽頸：逐個員工彈出 OAuth 提示，會增加入門和支援成本，亦令權限標準化變得困難。集中由身份供應商按既有組織架構、群組及角色作決定，就可以令存取政策跟隨企業本身的管理流程。

安全邊界亦更加清晰：身份供應商決定某位員工是否有資格使用連接器，MCP 連接器的授權伺服器則負責驗證身份斷言，確認後才簽發自己的存取權杖。企業仍然需要逐個評估 MCP 伺服器、設定最小權限政策，以及限制員工可以新增哪些伺服器。Anthropic 的 Claude Code 文件亦建議使用可信任的 MCP 伺服器，並指企業可以透過受管理或由原始碼控制的設定，限制伺服器配置。13

所以，今次改變並不是簡單一句「OAuth 消失了」。更準確地講，是將面向員工、逐個連接器的同意流程，換成一套由企業管理的授權交換，將公司現有的 SSO 政策接駁到 MCP 連接器存取權限。4962

對希望在多個團隊部署 Claude 的企業而言，這可以令 Claude、Claude Code 及 Cowork 的連接器配置更加一致，同時保留中央管理員對權限的控制。