Exposer une API à des agents
Exposer vos API à des agents, sans second contrôle d'accès.
Une extension dans le contrat, et l'opération devient un outil MCP : même autorisation, même quota, même ligne d'audit qu'un appel REST. Pas de serveur MCP à écrire, pas de second contrôle d'accès à maintenir.
Le trajet
- Déclarerx-flexway-tool sur l'opération, dans le contrat que vous avez déjà
- AutoriserServeur de ressources OAuth 2.1 : l'agent obtient un jeton comme toute application
- DéléguerLe jeton de l'utilisateur n'est jamais relayé ; il est échangé quand l'amont vérifie les jetons ; la délégation est bornée
- AuditerChaque appel d'outil dans la même trace et le même journal qu'un appel REST
Un agent ne contourne rien : il passe par la décision qui protège déjà vos API, et ses appels se lisent au même endroit.
Configuration
L'exemple mcp-tools, tel qu'il est livré avec Flexway v1.6.3.
# Agent tools from the contract: one line per host declares the MCP surface, then x-flexway-tool
# per operation. A token must be issued for that URL (RFC 8707); it is never relayed upstream.
version: 1
contracts:
openapi: ./openapi.yaml
upstreams:
default:
url: http://orders.internal:8080
auth:
tenant_header: X-Tenant
issuers:
- name: customers
discovery: https://login.example.net/.well-known/openid-configuration
audience: api # REST tokens; MCP tokens carry the resource below
tenant_claim: org
agents:
mcp:
resources:
api.example.com: https://api.example.com/mcpFonctionnalités
Ce qui est livré dans la version publiée v1.6.3, et ce qui vient ; une fonctionnalité n'est jamais présentée comme livrée avant sa version.
| Fonctionnalité | Statut |
|---|---|
| Surface MCP : les opérations du contrat offertes en outils | Livré · v0.1.0 |
| Serveur de ressources OAuth 2.1, métadonnées RFC 9728 | Livré · v0.1.0 |
| Échange de jeton RFC 8693 : sujet humain, acteur agent | Livré · v0.1.0 |
| Délégation bornée en durée et en profondeur, révocation en cascade | Livré · v0.1.0 |
| Fédération MCP : des serveurs MCP existants sous la même autorisation, le même quota, le même audit | Livré · v0.1.0 |
| Gouvernance A2A : cartes d'agent signées, trafic sous quota et audit | En cours |
Pour aller plus loin
Parlons de votre passerelle
Flexwiz est une jeune entreprise : vous parlez directement avec la personne qui la fonde. Dites-nous ce que vous voulez faire passer par Flexway. Nous parlons de votre infrastructure et de vos exigences de souveraineté numérique.
La prise de rendez-vous en ligne arrive bientôt ; d'ici là, un e-mail suffit.