i-doit MCP#

Das i-doit MCP Add-on verbindet deine IT-Dokumentation mit KI-Clients, die das Model Context Protocol (MCP) unterstützen. Ein KI-Assistent beantwortet dann Fragen zu deiner CMDB in normaler Sprache, zum Beispiel "Welche Server haben wir in Hamburg?" oder "Wo steht LAPTOP-42?".

Der Assistent arbeitet immer mit den Rechten der Person, zu der sein Zugriffstoken gehört. Er sieht und ändert nie mehr, als diese Person in i-doit selbst dürfte. Im Auslieferungszustand ist der Zugriff nur lesend. Schreiben muss ausdrücklich eingeschaltet werden, siehe Schreibzugriff.

Voraussetzungen#

1
2
3

<FilesMatch "^(jsonrpc\.php|mcp\.php)$">
    Require all granted
</FilesMatch>

1
2
3

RewriteEngine On
RewriteCond %{HTTP:Authorization} .+
RewriteRule ^ - [E=HTTP_AUTHORIZATION:%0]

Installation#

Das Add-on wird wie jedes andere Add-on installiert, siehe Add-ons. Nach der Installation findest du es im Hauptmenü unter Add-ons → i-doit MCP mit drei Seiten:

• Anleitung zum Verbinden
• Zugriffstoken
• Anfrage-Protokoll

Rechtevergabe#

Unter Verwaltung → Berechtigungen → i-doit MCP können Rechte für Personen und Personengruppen angepasst werden:

Ein Zugriffstoken ist das, was einem Client Zugang zum MCP-Server gibt. Ein eigenes Recht dafür gibt es nicht. Um den Zugang zu entziehen, deaktivierst oder löschst du das Token.

KI-Client verbinden#

Öffne Add-ons → i-doit MCP → Anleitung zum Verbinden. Die Seite zeigt den Abschnitt Ihren KI-Assistenten in 3 Schritten verbinden, den Einrichtungsstatus und die Client-Konfiguration.

Der Einrichtungsstatus zeigt vier Punkte:

• i-doit API Add-on: ob das API Add-on installiert und geladen ist. Ohne das Add-on können keine Kategoriedaten gelesen werden.
• JSON-RPC API aktiviert: ob die JSON-RPC API für den Mandanten eingeschaltet ist. Solange sie aus ist, wird jeder Tool-Aufruf abgewiesen.
• Berechtigungen pro Person: Ein Client liest immer als die Person, zu der sein Token gehört. Dafür muss nichts konfiguriert werden.
• Schreibzugriff: ob KI-Clients Daten ändern dürfen, siehe Schreibzugriff. Das ist keine Voraussetzung, Lesen funktioniert in jedem Fall.

Nur wenn die ersten beiden Punkte erfüllt sind, können Tool-Aufrufe Daten lesen.

1. Zugriffstoken besorgen#

Lege auf der Seite Zugriffstoken mit Neu ein Token an:

1. Wähle das Personenobjekt, zu dem das Token gehört. Es lassen sich nur Personenobjekte auswählen.
2. Gib optional eine Bezeichnung ein, zum Beispiel das Gerät oder den Client, auf dem das Token verwendet wird.
3. Speichere.

Das neue Token wird nur einmal angezeigt. Kopiere es sofort. i-doit speichert nur einen Fingerabdruck, daher lässt sich das Token später nicht mehr anzeigen. Geht es verloren, löschst du das Token und legst ein neues an.

Ein Token gehört immer zu dem Mandanten, in dem es angelegt wurde, und funktioniert nur dort. Die Person eines Tokens lässt sich nachträglich nicht ändern. Lege stattdessen für die andere Person ein neues Token an.

2. Konfiguration erzeugen#

Füge das Token im Abschnitt Client-Konfiguration ein und klicke auf Konfiguration erzeugen. Du erhältst zwei Blöcke zum Kopieren:

• eine Konfigurationsdatei für Clients, die über eine Datei konfiguriert werden
• eine Kommandozeile für Clients, die über die Kommandozeile konfiguriert werden

Beide Blöcke enthalten bereits die Adresse deiner i-doit Installation und dein Token. Das Token-Feld ist optional. Lässt du es leer, steht in den Blöcken ein Platzhalter anstelle des Tokens.

Die Seite speichert das Token nicht. Das Feld ist bei jedem Öffnen der Seite leer.

Die Konfigurationsdatei hat diese Form:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

{
  "mcpServers": {
    "i-doit": {
      "type": "http",
      "url": "https://idoit.example.com/src/mcp.php",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "Content-Type": "application/json",
        "Accept": "application/json"
      }
    }
  }
}

Die Kommandozeile, hier für Claude Code:

1
2
3
4

claude mcp add --transport http i-doit https://idoit.example.com/src/mcp.php \
  --header "Authorization: Bearer <your-token>" \
  --header "Content-Type: application/json" \
  --header "Accept: application/json"

3. In den KI-Client einfügen#

Füge die Konfiguration in deinen KI-Client ein. Der Client erkennt die verfügbaren Funktionen selbst. In i-doit gibt es kein Eingabefeld für Fragen: Du stellst deine Fragen in deinem KI-Client.

Zugriffstoken verwalten#

Die Seite Zugriffstoken listet alle Token des Mandanten. Markiere ein oder mehrere Token und nutze die Schaltflächen in der Werkzeugleiste:

• Aktivieren und Deaktivieren schalten ein Token ein oder aus. Ein Client mit einem deaktivierten Token funktioniert sofort nicht mehr.
• Bereinigen entfernt ein Token endgültig. Das lässt sich nicht rückgängig machen.
• Schreiben erlauben und Nur lesen legen fest, ob ein Token Daten ändern darf. Die Spalte Zugriff zeigt nur lesen oder lesen und schreiben.

Neue Token sind immer nur lesen.

Schreibzugriff#

Lesen funktioniert ohne weitere Einstellung. Schreiben braucht alles Folgende zugleich:

1. Das Rechtesystem von i-doit ist aktiv: Rechtesystem im Abschnitt Sicherheit der Mandanten-Einstellungen. Es ist standardmäßig aktiv.
2. Schreibzugriff über MCP erlauben ist unter Verwaltung → Add-ons → i-doit MCP eingeschaltet. Standardmäßig ist die Option aus.
3. Das Token ist für das Schreiben freigegeben (lesen und schreiben).

Zusätzlich wird jede einzelne Änderung gegen die CMDB-Rechte der Person geprüft, zu der das Token gehört, und sie durchläuft die Validierung und das Logbuch von i-doit.

Endgültiges Löschen (Purge) braucht zusätzlich Endgültiges Löschen (Purge) über MCP erlauben. Diese Option wirkt nur, solange auch Schreibzugriff über MCP erlauben eingeschaltet ist.

Passwörter werden nie an den KI-Client zurückgegeben und lassen sich über MCP nicht schreiben.

Einstellungen#

Die Einstellungen findest du unter Verwaltung → Add-ons → i-doit MCP. Zum Ansehen und Ändern brauchst du das Recht für die Systemeinstellungen.

Anfrage-Protokoll#

Die Seite Anfrage-Protokoll listet jede Anfrage der KI-Clients mit Zeitpunkt, Person, Methode und Tool. Details anzeigen öffnet die Argumente und gegebenenfalls den Fehler einer Anfrage.

• Als CSV exportieren lädt das vollständige Protokoll herunter. Der Filter auf der Seite gilt nicht für den Export.
• Log leeren löscht alle Einträge. Das lässt sich nicht rückgängig machen.

Releases#