3
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@nakasato310
in

Oracle IntegrationのMCP Gatewayで専用ゲートウェイ認可を使ってみた

3
Last updated at Posted at 2026-10-28

はじめに

Oracle Integration（OIC）は、Oracle Cloud Infrastructure（OCI）が提供するiPaaS（Integration Platform as a Service）です。Oracle SaaSやOCIサービス、オンプレミスのシステムなど、さまざまなアプリケーションやサービスを統合できます。

Oracle Integration 26.10では、MCP（Model Context Protocol）サーバーへのアクセスを一元的に管理・統制するMCP Gatewayが利用可能になりました。

以前の記事では、MCP Gatewayを使用してMCPサーバーへのアクセスを制御し、ツール・フィルタ、ビジネス・ポリシー、監査ログなどのガバナンス機能を試しました。

今回は、MCP Gatewayのアクティブ化時に選択できる専用ゲートウェイ認可（Dedicated Gateway Authorization） を使用して、MCPクライアントからMCP GatewayにOAuth 2.0を使用して接続する方法を試します。

MCPクライアントにはPostmanデスクトップアプリ（以降Postman）を使用し、アクセス・トークンの取得からMCPツールの実行までを確認します。

MCP Gatewayの認可モードについて

MCP Gatewayをアクティブ化する際には、以下の2つの認可モードから選択できます。

項目 専用ゲートウェイ認可 OIC統合認可
認可の単位 MCP Gateway単位 OICインスタンス単位
リソース・サーバー Gateway専用に自動作成 OICの既存設定を共用
Audience / Scope Gateway固有 OICインスタンス共通
アクセス権限の分離 Gatewayごとに分離可能 Gatewayごとの分離なし
主な用途 本番環境、機密性の高いツール 開発・テスト環境

専用ゲートウェイ認可（Use dedicated gateway authorization） では、Gateway専用のOAuth認可設定を利用するため、MCP Gatewayごとにアクセス権限を分離できます。

一方、OIC統合認可（Use OIC integration authorization） では、OICインスタンスの既存の認可設定を共用します。

本記事では専用ゲートウェイ認可を使用し、MCPクライアントがOAuth 2.0のアクセス・トークンを取得してMCP Gatewayに接続する方法を紹介します。

image.png

チュートリアル全体像

image.png

※概念図です。実際のトークン発行はIdentity Domainが行い、Gatewayへのリクエストには取得したアクセス・トークンを付与します。

この記事は、2026年10月28日時点のOCIコンソールおよびOracle Integration環境（バージョン26.10）で作成しました。記事内の画面ショットについては、現在のユーザーインタフェースの画面と異なっている場合があります。

作業ステップ

1. 事前準備
2. 機密アプリケーションの作成
3. MCPクライアントからMCP Gatewayへ接続
4. MCPクライアントからMCPツールを実行

1. 事前準備

本記事では、以下のリソースが作成済みであることを前提とします。

  • Oracle Integrationインスタンス
  • MCPツールとして公開するIntegration
  • MCP Server
  • MCP Gateway
  • Postman

MCP ServerおよびMCP Gatewayの基本的な作成手順については、以下の記事を参照してください。

今回は、Oracle Integrationインスタンスに作成した既存のMCP ServerとMCP Gatewayを再利用します。

1.1 MCP Gatewayを専用ゲートウェイ認可でアクティブ化

MCP Gatewayの認可モードの選択で、専用ゲートウェイ認可の使用を選択し、アクティブ化します。
image.png

すでに、OIC統合認可の使用でアクティブ化されている場合は、非アクティブ化を実行し、その後、専用ゲートウェイ認可の使用を選択した上でアクティブ化を実行してください。

1.2 MCP Gatewayの接続・認可情報の取得

  1. OICインスタンスを開き、アクティブ化を実行したMCP Gateway（ここではOIC MCP Gateway）のメニューをクリックし、実行を選択します。
    image.png

  2. MCPゲートウェイの実行詳細が開きます。認可モードが専用ゲートウェイ認可であることを確認し、以下の情報をコピーし、メモします。

    • MCPゲートウェイURL
    • 認可URL
    • トークンURL
    • プライマリ・オーディエンス
      image.png

2. 機密アプリケーションの作成

続いて、MCP Gatewayへのアクセスに使用するOAuth 2.0の設定を行います。

  1. OCIコンソールから、対象のOracle Integrationインスタンスに紐付けられているアイデンティティ・ドメインを開きます。

  2. 統合アプリケーションタブをクリックします。

  3. アプリケーションの追加をクリックします。
    image.png

  4. 機密アプリケーションを選択し、ワークフローの起動をクリックします。
    image.png

  5. 名前（ここではOIC_MCP_Gateway_Client）を入力し、送信をクリックします。
    image.png

2.1 リソース・サーバーの構成

続けて、MCP Gatewayで使用するリソース・サーバー構成を定義します。
特に重要なのがプライマリ・オーディエンスです。プライマリ・オーディエンスは、アクセス・トークンがどのリソース・サーバーを対象としているかを識別するために使用されます。

  1. OAuth構成タブをクリックします。

  2. リソース・サーバー構成のOAuth構成の編集をクリックします。
    image.png

  3. リソース・サーバー構成で、このアプリケーションをリソース・サーバーとして今すぐ構成しますを選択します。

  4. プライマリ・オーディエンスに、事前準備でメモしたプライマリ・オーディエンスの値をコピー&ペーストで入力します。
    image.png

2.2 クライアント構成の設定

続けて、MCPクライアント（今回はPostman）がアクセス・トークンを取得できるように、OAuthクライアントの設定を行います。

  1. クライアント構成で、このアプリケーションをクライアントとして今すぐ構成しますを選択します。

  2. 認可セクションの許可される権限付与タイプで、リフレッシュ・トークン（Refresh token） と認可コード（Authorization code） の2つを選択します。
    image.png

  3. リダイレクトURLに、MCPクライアント（ここではPostman）のCallback URLを入力します。
    image.png

    PostmanのCallback URLは、以下のPostmanのドキュメントおよびQiita記事をご確認の上、適切なURLを設定してください。
    https://learning.postman.com/docs/use/send-requests/authorization/oauth-20#requesting-an-oauth-20-token
    https://qiita.com/yokawasa/items/10aead2d013efa22b44e

  4. 下にスクロールし、クライアント・タイプで機密（Confidential） を選択します。

  5. 許可された操作で代理（On behalf of） を選択します。
    image.png

  6. 下にスクロールし、トークン発行ポリシーの認可されたリソースで**特定（Specific）**を選択します。
    image.png

  7. リソースの追加のスイッチをON（有効） に切り替えます。

  8. リソースの追加メニューが表示されます。スコープの追加をクリックします。
    image.png

  9. スコープの追加の画面で、OICインスタンス作成時に指定した名前（ここではsnakaoic1）を探します。もしくは、検索ボックスにOICインスタンス名を入力し、検索を実行します。

  10. 現在使用しているOICインスタンス名|プロジェクト名|MCP Gateway名|バージョンの名前のものを開きます（ここではsnakaoic1-xxxxxx|SIMPLE_EXPENSE_APPROVAL_PROJECT|OIC_MCP_GATEWAY|1.0）。

  11. 範囲の選択に表示される2つのスコープ（URL）を選択します。

  12. 追加をクリックします。
    image.png

  13. リソースのスコープに選択した2つのURL（URLの最後が/tools:listと/tools:call）が追加されていることを確認します。送信をクリックします。
    image.png

2.3 機密アプリケーションの有効化

作成した機密アプリケーションをアクティブ化します。

  1. 作成した機密アプリケーション（ここではOIC_MCP_Gateway_Client）を選択し、右端のアクション→アクティブ化をクリックします。
    image.png

  2. 確認ダイアログが表示されます。アプリケーションのアクティブ化をクリックします。

  3. ステータスがアクティブであることを確認します。
    image.png

2.4 OAuthクライアント情報の取得

MCPクライアント（Postman）からMCP Gatewayに接続する時に利用する情報をコピーし、メモします。

  1. OAuth構成タブを選択します。
  2. クライアントIDとクライアント・シークレットをコピーし、メモしておきます。
    image.png
  3. 下にスクロールし、リソースセクションに登録された2つのリソースのスコープ列のURLをコピーし、メモしておきます。
    image.png

クライアントIDやクライアント・シークレットは認証情報のため、外部に公開しないよう注意してください。

3. MCPクライアントからMCP Gatewayへ接続

MCPクライアント（Postman）から専用ゲートウェイ認可を利用して、MCP Gatewayへ接続します。接続時には、1.2 MCP Gatewayの接続・認可情報の取得および2.4 OAuthクライアント情報の取得で取得した情報を利用します。

おおまかな操作は、以下のQiita記事にあるOIC MCP Serverへの接続手順と同じですので、あわせてご確認ください。

  1. Postmanを起動します。

  2. 追加（＋）アイコンをクリックし、MCPを選択します。

  3. Transport LayerをHTTPに切り替えます。

  4. URLに、事前準備で取得したMCPゲートウェイURLを入力します。

  5. Authorizationタブをクリックします。

  6. Auth typeでOAuth 2.0を選択します。

  7. Add authorization data toでRequest Headersを選択します。
    image.png

  8. Configure New TokenのToken nameに任意の名前（ここではoicmcpgatewaytoken）を入力します。

  9. Grant typeで、Authorization Code (With PKCE) を選択します。

    今回は、セキュリティを強化するため、Authorization Code (With PKCE) を使用します。
    PKCE（Proof Key for Code Exchange）は、認可コードの横取りによる不正なアクセス・トークン取得を防ぐための仕組みです。
    Code Challenge MethodはデフォルトのSHA-256を使用し、Code Verifierは空欄のままとします。Code VerifierはPostmanによって自動生成されるため、手動で設定する必要はありません。

  10. Callback URLのAuthorize using browserを選択します。Callback URLが自動設定されます。

  11. Auth URLに、事前準備でメモしたMCP Gatewayの認可URLをコピー&ペーストで入力します。

  12. Access Token URLに、事前準備でメモしたMCP GatewayのトークンURLをコピー&ペーストで入力します。
    image.png

  13. Client IDとClient Secretに前の手順でメモしたクライアントIDとクライアント・シークレットをそれぞれコピー&ペーストで入力します。

  14. Scopeに、前の手順でメモした2つのスコープのURLを入力します。入力する2つのスコープのURLの間には半角スペース（ ） を入力します。以下は入力例です。

    Scopeの入力例
    https://<host>:<port>/PROJECT_NAME/OIC_MCP_GATEWAY/1.0/tools:list https://<host>:<port>/PROJECT_NAME/OIC_MCP_GATEWAY/1.0/tools:call

    image.png

  15. Get new access tokenをクリックします。
    image.png

  16. ブラウザが開き、認証処理が実行されます（ここでは、OICインスタンスの管理ユーザーでサイン・イン）。Postmanで開くことを許可しますか？が表示されるので、リンクを開くをクリックします。
    image.png

  17. Postmanに戻り、アクセス・トークンが取得されたことを確認します。Use Tokenをクリックします。
    image.png

  18. 取得したアクセス・トークンがTokenに設定されます。

  19. 右上のConnectをクリックします。
    image.png

  20. 接続に成功すると、ResponseタブにConnectedと表示されます。
    image.png

4. MCPクライアントからMCPツールを実行

最後に、取得したアクセス・トークンを利用してMCPクライアント（Postman）からMCPツールを実行します。

  1. Messageタブをクリックします。

  2. Toolsタブに利用可能なツールが表示されます（ここでは2つのツールが表示）。

  3. 任意のツールを選択し、必要なパラメータに値を入力します。

  4. 右上のRunをクリックします（ここではOIC_MCP_SERVER__AUTO_APPROVE_EXPENSE_REPORTを選択し、AmountClaimedパラメータに $45 を入力し、実行）。

  5. MCPツールが実行され、応答が返ってくることを確認します。
    image.png

  6. OICインスタンス側に記録されるMCP Gatewayの監査ログ（アクティビティ・ストリーム）を確認します。MCPクライアントからMCP Gatewayに接続する際にサインインしたユーザーが記録されていることを確認します。
    これにより、MCP Gatewayを経由したツールの実行について、どのユーザーがアクセスしたのかを監査ログから確認できることが分かります。
    image.png

おわりに

今回は、Oracle IntegrationのMCP Gatewayで専用ゲートウェイ認可（Dedicated Gateway Authorization） を使用し、PostmanからOAuth 2.0で接続する方法を試しました。

機密アプリケーションでOAuthの設定を行い、MCP Gatewayを専用ゲートウェイ認可でアクティブ化することで、MCPクライアントからアクセス・トークンを使用してMCPツールにアクセスできます。

これにより、MCP Gatewayを経由したツールの利用に、認証・認可の仕組みを適用できることを確認しました。

なお、今回の認可設定はGatewayへのアクセス制御を対象としています。ユーザーやロールごとに利用可能なMCPツールを動的に切り替える機能とは異なるため、その点には注意が必要です。

MCP Gatewayのツール・フィルタやビジネス・ポリシーなどと組み合わせることで、企業環境におけるMCPツールの利用をより適切に管理・統制できます。

参考資料

Oracle Integration関連リンク

3
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
3
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?