Server MCP
kubehz gestisce un server remoto Model Context Protocol (MCP). Un’app di IA come Claude o ChatGPT può usarlo per lavorare con i tuoi cluster e spazi:
https://mcp.kubehz.cloud/mcpOgni chiamata a uno strumento passa dall’API di kubehz, con gli stessi controlli della dashboard. L’app non può mai fare più della persona o della chiave agente per cui agisce.
Ci sono due modi per collegarsi:
- A tuo nome. L’app ti fa accedere e tu la consenti una volta. Poi l’app agisce a tuo nome, entro i permessi che hai consentito.
- Con una chiave agente. Nessuna persona accede. Gli strumenti agiscono entro il ruolo, la portata e il tetto di spesa della chiave.
Attiva le app IA
Le app IA sono disattivate per impostazione predefinita. Finché sono disattivate, nessuna app può agire per un membro del tenant. Le chiavi agente non dipendono da questa impostazione.
Ti serve il ruolo Owner o Admin.
- Nella dashboard, apri Impostazioni → App IA.
- Attiva Consenti app IA (MCP).
- Conferma con il tuo secondo fattore.
Per disattivare le app IA non serve il secondo fattore. Tutte le app collegate si fermano allora subito, per ogni membro. Le app restano negli elenchi. Quando un owner o un admin riattiva le app IA, le app funzionano di nuovo.
Collega un’app a tuo nome
kubehz accetta queste app:
- Claude su claude.ai o claude.com.
- ChatGPT su chatgpt.com.
- Un’app sul tuo computer che riceve l’accesso su un indirizzo loopback, per esempio Claude Code, Claude Desktop o un IDE.
kubehz rifiuta le altre app ospitate.
Claude
- In Claude, aggiungi un connettore personalizzato.
- Come URL, incolla
https://mcp.kubehz.cloud/mcp. - Collega il connettore.
- Accedi a kubehz.
ChatGPT
- In ChatGPT, crea un connettore.
- Come URL, incolla
https://mcp.kubehz.cloud/mcp. - Come autenticazione, seleziona OAuth.
- Collega il connettore.
- Accedi a kubehz.
Claude Code e altre app locali
claude mcp add --transport http kubehz https://mcp.kubehz.cloud/mcpUn’altra app locale ha bisogno solo dell’URL, se supporta i server MCP remoti con OAuth.
La prima volta, l’app si registra presso id.kubehz.cloud e apre la pagina di accesso di kubehz. Dopo l’accesso, kubehz mostra la pagina Consentire questa app?.
La pagina “Consentire questa app?”
La pagina mostra:
- il nome dell’app. Questo nome l’ha scelto l’app stessa.
- che cosa l’app può fare a tuo nome.
- l’indirizzo a cui torni.
Non fidarti del nome. Controlla invece l’indirizzo a cui torni. Aspettati:
- claude.ai o claude.com per Claude.
- chatgpt.com per ChatGPT.
127.0.0.1,localhosto[::1], con un numero di porta, per un’app sul tuo computer.
Fai clic su Rifiuta se non hai appena avviato tu l’app, o se l’indirizzo non appartiene all’app che hai avviato. L’app allora non riceve alcun accesso. Fai clic su Consenti solo se entrambe le cose sono corrette.
kubehz chiede una volta per app. Un accesso successivo salta la pagina. Se l’app chiede in seguito un nuovo permesso, la pagina chiede solo il nuovo permesso.
Il tuo ruolo è il limite. L’app non può mai fare più di te.
Per impostazione predefinita, l’app agisce nel tenant a cui ti sei unito per primo. L’app può scegliere un altro dei tuoi tenant. Lì funziona solo se quel tenant ha le app IA attive. Lo strumento whoami mostra il tenant.
Permessi
Un’app non riceve nulla oltre a whoami finché non chiede un permesso. La pagina mostra i permessi che l’app chiede. La dashboard mostra ciascuno con un nome breve.
| Nella pagina | Nella dashboard | Strumenti |
|---|---|---|
| Vedere chi sei. | Solo l’identità | whoami |
| Vedere i tuoi spazi e cluster e scaricare i loro file kubeconfig. I file non contengono segreti. | Vedere spazi e cluster | list_spaces, get_space, space_kubeconfig, list_clusters, get_cluster, cluster_kubeconfig |
| Creare ed eliminare spazi e stabilirne la durata (quando scadono). | Creare ed eliminare spazi | create_space, delete_space, set_space_lease |
| Stabilire la durata dei tuoi cluster (quando scadono). | Stabilire la durata dei cluster | set_cluster_lease |
Quando un’app chiama uno strumento senza il permesso necessario, kubehz rifiuta la chiamata e indica il permesso. L’app può allora farti accedere di nuovo e chiederlo.
Strumenti
| Strumento | Permesso | Che cosa fa |
|---|---|---|
whoami | Nessuno | Mostra il chiamante: la chiave agente (ruolo, portata, scadenza, spesa di questo mese, risorse raggiunte) o la persona (tenant e ruolo) |
list_spaces | Vedere spazi e cluster | Elenca gli spazi che il chiamante raggiunge, con stato, limiti e durata |
get_space | Vedere spazi e cluster | Mostra uno spazio: stato, endpoint, nodi, limiti e durata |
space_kubeconfig | Vedere spazi e cluster | Dà la kubeconfig di uno spazio, per una chiave agente (il valore predefinito) o per una persona |
list_clusters | Vedere spazi e cluster | Elenca i cluster che il chiamante raggiunge, ospitati e self-hosted |
get_cluster | Vedere spazi e cluster | Mostra un cluster: stato, versione, worker e salute |
cluster_kubeconfig | Vedere spazi e cluster | Dà la kubeconfig per agenti di un cluster ospitato |
create_space | Creare ed eliminare spazi | Crea uno spazio. È pronto in pochi secondi e si paga a ore |
delete_space | Creare ed eliminare spazi | Elimina uno spazio con tutto ciò che contiene. Non è reversibile. A tuo nome la chiamata fallisce (vedi sotto) |
set_space_lease | Creare ed eliminare spazi | Stabilisce quando kubehz elimina uno spazio: tra 1 e 720 ore da adesso. A tuo nome funziona solo una fine più lontana |
set_cluster_lease | Stabilire la durata dei cluster | Stabilisce quando kubehz elimina un cluster ospitato: tra 1 e 720 ore da adesso. A tuo nome funziona solo una fine più lontana |
A tuo nome, un’app non può eliminare uno spazio né avvicinare la fine di una durata. Anche una prima durata per uno spazio o un cluster che non ne ha una avvicina la fine. Ognuna di queste azioni richiede il tuo secondo fattore, e l’app non può fornirlo. Elimina lo spazio, o accorcia la durata di uno spazio, nella dashboard. Uno spazio che l’app crea senza durata resta finché non lo elimini.
Una chiave agente non richiede il secondo fattore. Con il ruolo Editor o Admin può eliminare uno spazio e impostare qualsiasi fine di durata tra 1 e 720 ore da adesso.
Nessuna kubeconfig contiene secret. La kubeconfig per agenti esegue lo kubehz token con la chiave presa dall’ambiente. La kubeconfig per una persona fa accedere la persona nel browser.
Una chiave agente non usa questi permessi. Decide il suo ruolo. Una chiave con il ruolo Visualizzatore può usare solo whoami e gli strumenti che leggono.
Collega un agente con una chiave
Un agente senza persona usa una chiave agente. L’agente ottiene un token con la chiave e lo invia come Authorization: Bearer. Nessuna pagina chiede il consenso, e l’impostazione delle app IA non vale. Ciò che l’agente crea riceve una durata.
TOKEN=$(lo kubehz token --format token)
curl -s https://mcp.kubehz.cloud/mcp \
-H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' \
-d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"whoami","arguments":{}}}'Un token scade. Quando il server risponde 401, ottieni un nuovo token con la chiave.
A tuo nome o con una chiave agente
| A tuo nome | Con una chiave agente | |
|---|---|---|
| Chi agisce | Tu, attraverso l’app | Un’identità di macchina |
| Limite | Il tuo ruolo e i permessi che hai consentito | Il ruolo, la portata e il tetto di spesa della chiave |
| Impostazione delle app IA | Deve essere attiva | Non vale |
| Ciò che crea | Ha una durata solo se l’app ne imposta una | Ha sempre una durata |
| Eliminare uno spazio o avvicinare la fine di una durata | Non tramite l’app: richiede il tuo secondo fattore | Con il ruolo Editor o Admin |
| Dove lo vedi | Impostazioni → App IA | Accesso → Chiavi agente |
| Come finisce | La revochi, o kubehz elimina l’app inutilizzata | Revochi la chiave, o scade |
Vedi e revoca le app collegate
In Impostazioni → App IA, ogni membro vede Le tue app collegate. Un Owner o un Admin vede anche Tutte le app collegate in questo tenant. Un’app compare nell’elenco dopo la sua prima chiamata a uno strumento. Ogni riga mostra il nome dell’app, i suoi Permessi, quando la persona l’ha consentita (Consentita) e quando l’app è stata usata la prima e l’ultima volta (Primo uso, Ultimo uso).
Per revocare un’app:
- Apri Impostazioni → App IA.
- Nella riga dell’app, fai clic su Revoca.
- Nella finestra di dialogo, fai clic su Revoca.
- La tua app si ferma subito, in tutti i tenant. Per usarla di nuovo, accedi di nuovo a kubehz dall’app e consentila di nuovo.
- Un Owner o un Admin può revocare un’app per un membro. L’app si ferma subito per questo membro in questo tenant. Al prossimo accesso, kubehz chiede al membro di consentire di nuovo l’app.
Dopo una revoca funziona solo un nuovo accesso. Un token di un accesso precedente non funziona mai più.
kubehz elimina le app registrate che nessuno usa:
- un’app che nessuno ha consentito e usato nei 7 giorni dopo la sua registrazione.
- un’app che nessuno ha usato per 90 giorni.
Per usare di nuovo un’app eliminata, collegala di nuovo.
MCP locale con lo
lo mcp è un altro server. Gira sul tuo computer e offre i comandi lo di un progetto lok8s come strumenti al tuo editor o agente. Per impostazione predefinita offre solo i comandi che leggono. Non offre mai un comando il cui output è una credenziale. I suoi strumenti lo kubehz space e lo kubehz cluster chiamano l’API di kubehz con una chiave agente. I comandi fuori da lo kubehz non richiedono un account kubehz. Vedi la guida MCP di lok8s e il riferimento di lo mcp.