施行はするが、発行はしない — 認可サーバーにならずに OAuth 付き remote MCP を出す設計This article explains why Kozou chose to act as an OAuth resource server rather…
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
KozouがOAuth対応のremote MCPを実装する際、自前の認可サーバーを持たずに既存のIdPへ委譲する設計を選んだ理由と、リソースサーバーとして振る舞う具体的なアーキテクチャをv1.13.0の実装を通じて解説している。
This article explains why Kozou chose to act as an OAuth resource server rather than an authorization server when adding OAuth to its remote MCP, delegating token issuance to existing IdPs while still enforcing access control, as shipped in v1.13.0.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (zenn.dev) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (zenn.dev).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
Kozouの役割
Kozouは、PostgreSQLデータベースの構造化されたコンテキストを、MCPとREST APIの両方でAIエージェントへ公開するオープンソースツールだ。記事では、MCPをリモートに配置し、OAuth対応を加える際の設計判断を取り上げている。
OAuthの分担
採用されたのは、Kozou自身が認可サーバーとしてトークンを発行せず、既存のIdPへ発行を委譲する構成だ。KozouはOAuthのリソースサーバーとして振る舞い、アクセス制御を施行する。トークンの「発行」と、アクセス制御の「施行」を分担する設計となっている。
v1.13.0
このOAuth対応はv1.13.0に含まれる。ただし中心となるのはリリース内容ではなく、自前の認可サーバーを持たずにremote MCPを提供する理由と、リソースサーバーとして振る舞う具体的なアーキテクチャの解説である。
OAuth resource server
Kozou chose to act as an OAuth resource server rather than run its own authorization server when adding OAuth to its remote MCP. This matters because the design separates token issuance from the enforcement of access control.
Under this architecture, Kozou delegates token issuance to existing IdPs while enforcing access control itself as the resource server. The article records this design decision and explains why Kozou avoided becoming an authorization server.
MCP and REST API
Kozou is an open-source tool that exposes structured context from PostgreSQL databases to AI agents through both MCP and a REST API. The OAuth design discussed here applies to placing its MCP remotely and adding authorization to that deployment.
v1.13.0
The functionality shipped in v1.13.0. However, the article’s main focus is not the release contents themselves, but the reasoning behind the division of responsibilities: existing IdPs issue tokens, while Kozou serves the protected resource and enforces access control.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPokoKozouはOAuthを付けても、自分で認可サーバーにはならないの？ それって何？Kozou adds OAuth but doesn’t become its own authorization server? What does that mean?
- TECHガイドTECH Guideそうじゃ。この記事では、トークンの発行は既存のIdPに任せ、Kozouは受け取ったトークンでアクセスを施行する役目じゃよ。That’s right. The article says existing IdPs issue the tokens, while Kozou checks those tokens and enforces access.
- ポコPokoじゃあ、入館証を作る受付は別にあって、Kozouは入ってよい人を確認する門番みたいな感じ？So it’s like another desk makes the visitor badge, and Kozou is the gatekeeper checking who may enter?
- TECHガイドTECH Guideよい例えじゃのう。この記事の設計では、既存のIdPを使いつつ、Kozouがリソースサーバーとしてアクセス制御を担うのじゃ。That’s a good analogy. In this design, existing IdPs are used while Kozou acts as the resource server that handles access control.
- ポコPokoつまり、発行は任せても、KozouはリモートMCPへのアクセスをちゃんと管理するんだね。So token issuance is delegated, but Kozou still manages access to the remote MCP.
- TECHガイドTECH Guideその通りじゃ。v1.13.0では、その役割分担でOAuth対応を実装した点が要点で、Kozou自身は認可サーバーにならないのじゃよ。Exactly. In v1.13.0, OAuth support is built around that split: Kozou does not become the authorization server itself.
