MCP導入後の変更review: 配布物・権限・接続先の再確認
MCPの承認は、確認したartifact、導入経路、権限、credential、network接続先に結び付きます。いずれかの変更後は、影響する証拠を限定的に再確認してから利用を継続します。
Read in EnglishMCPの導入承認はserver名だけでなく、特定の配備状態に結び付きます。publisher、配布artifact、導入・接続経路、有効権限、credential scope、network接続先を一組の証拠として残します。どれかが変われば、以前の承認だけでは現在の状態を説明できません。影響する境界を限定して再確認した後に利用を継続します。
Key Findings
- Registry名は発見metadataであり、実行中artifactの証明ではありません。 公式MCP Registryはpackageやremote URLを指し、version別metadataを記録します。
- version変更はtool、依存関係、権限、接続先を変え得ます。 過去判定の再利用には、境界が変わっていない証拠が必要です。
- package更新がなくても設定driftは影響します。 mount、scope、credential、endpoint redirectの拡張は配備権限を変えます。
- tool annotationはrisk記述に役立ちますが、強制手段ではありません。 MCP仕様は、信頼できないserverのannotationを信頼できないhintとして扱います。
承認へ結び付ける証拠
| 項目 | 初回証拠 | 再確認を始める変更 | 範囲を限定した受入操作 |
|---|---|---|---|
| publisher / source | 公式namespace、repository、maintainer関係 | namespace、repository owner、source URL | publisherとartifactの出所を再確認 |
| 配布artifact | 正確なpackage/image version、registry、利用可能なintegrity情報 | 新version、tag移動、image・lockfile変更 | 実配備artifactと正確なversionを確認 |
| 導入・endpoint | 起動command、引数、transport、remote URL | wrapper、transport、redirect、host変更 | 接続経路と接続先を再test |
| 権限 | mount、filesystem/repository境界、API scope、user role | path、role、tool集合、scope拡張 | 必要操作の成功と範囲外操作の拒否を確認 |
| credential | issuer、audience、scope、保存、rotation owner | token、issuer、audience、scope、保存先 | audience、最小権限、拒否、失効を確認 |
| network接続先 | DNS名、upstream API、proxy、egress rule | host、redirect chain、proxy、telemetry、upload先 | 実接続先を記録し、未承認egressの拒否を確認 |
公式Registryはmetadataとpackage hostingを分けています。package registryはcodeやbinaryを保持し、Registry metadataはその配布先を指します。schemaは範囲指定ではなく特定package versionを要求し、一部package typeではintegrity情報も保持できます。追跡性は高まりますが、実配備環境がそのartifactを使っていることは運用者が確認する必要があります。
影響する境界だけを再確認
変更reviewで、有効な証拠を無条件に捨てる必要はありません。access tokenだけをrotateし、issuer、audience、scope、保存controlが同じなら、その性質と失効を確認し、無関係なfilesystem testは再実行しません。imageが変われば、変化し得る依存関係、tool、起動挙動、接続先を確認します。mountが広がれば、package versionが同じでも包含testを繰り返します。
各境界には無害なpositive testとnegative testを用意します。変更系serverは承認targetだけで成功し、範囲外targetでは失敗させます。remote serverは自分向けtokenを受理し、別resource向けtokenを拒否させます。egress controlは文書化済みupstreamだけを許可し、未承認接続先を遮断します。artifact識別子、有効設定、test時刻、結果を一緒に保持します。
確認範囲と限界
導入reviewの方法であり、すべての更新が危険、またはversion文字列が同じなら挙動も不変という主張ではありません。公開metadataは不足する場合があり、tagは移動し、remote serviceは同じURLの背後で変わり、annotationも不正確になり得ます。変更された権限と想定結果に応じてreview範囲を決めます。MCP Guardの公開statusは検査範囲と時点における証拠であり、配備固有controlや変更後検証を代替しません。