Enterprise-Managed Authorization (EMA) für Miro MCP einrichten – Miro-Miro-Hilfecenter

Wer kann das tun: Unternehmens-Admins
Welche Preispläne: Enterprise
Welche Plattformen: Browser, Desktop

Enterprise-managed authorization (EMA) ermöglicht deinem Identitätsanbieter, Miro MCP Zugriff zu gewähren, sodass sich Nutzer nicht zusätzlich zu ihrem MCP-Client separat bei Miro anmelden müssen. In der ersten Version gilt EMA für Claude. Andere MCP-Clients melden sich weiterhin mit OAuth.

Bevor du beginnst

Aktiviere Miro MCP für deine Organisation. Siehe Miro MCP-Server (Admin‑Leitfaden).
Erstelle oder wähle ein Standard-Team für EMA. Bevorzuge ein eingeschränktes Team, das nur die Nutzer enthält, die auf diese Weise MCP-Zugriff benötigen, und füge diese Nutzer dem Team hinzu.
Stelle sicher, dass du Admin-Zugriff auf deinen Identitätsanbieter hast. Okta ist der für diese Veröffentlichung unterstützte Identitätsanbieter. Siehe Token-Austausch für KI-Agenten einrichten in der Okta-Dokumentation.
Stelle sicher, dass du Admin-Zugriff auf die Anthropic-Admin-Konsole hast, damit du Enterprise-Managed Authorization (EMA) für den Miro-Connector aktivieren kannst.

Nutzer, die EMA verwenden, benötigen an zwei Stellen Zugriff: Mitgliedschaft im Miro-Standardteam und die Rollen bzw. Zugriffsrechte, die du in Okta gewährst. Wenn du nur einen der Schritte ausführst, reicht das nicht aus.

Wie Enterprise-Managed Authorization (EMA) funktioniert

Wenn EMA aktiviert ist:

Dein Identitätsanbieter legt fest, wer Zugriff auf Miro MCP anfragen kann.
Claude kann sich mit Miro MCP verbinden, ohne dass jeder Nutzer einen separaten Miro-OAuth-Zustimmungsprozess durchlaufen muss.
Miro öffnet Boards im Miro-Standardteam, das du für EMA auswählst.
Andere MCP-Clients (z. B. Cursor oder ChatGPT) verwenden weiterhin das Standard-OAuth und die üblichen Teams und Benutzergruppen-Kontrollen.

EMA ist vom Miro-SSO getrennt. Das Hinzufügen einer SAML-Verbindung für den Miro-Weblogin vertraut diesem Issuer nicht automatisch für MCP. Du musst den Issuer speziell unter Trusted issuers auf der MCP-Seite hinzufügen.

Hintergrund zur Industry Extension findest du im Beitrag Enterprise-Managed Authorization on the Model Context Protocol blog.

Enterprise-Managed Authorization (EMA) einrichten

Wenn du die Funktion zum ersten Mal aktivierst, öffnet Miro ein geführtes Setup-Feld. Schließe alle drei Schritte ab und klicke dann auf Finish setup. EMA ist erst aktiviert, nachdem du die Einrichtung abgeschlossen hast.

Gehe zu Admin-Konsole > Apps und Integrationen > MCP.
Unter Enterprise-Managed Authorization aktiviere EMA-Autorisierung für Claude aktivieren.
Das Enterprise-Managed Authorization (EMA) einrichten-Feld öffnet sich.
Schließe die drei Schritte im Feld ab (unten beschrieben).
Klicke auf Einrichtung abschließen.
Die MCP-Seite zeigt dein Standardteam und die vertrauenswürdigen Aussteller.

Schritt 1: Standardteam auswählen

Alle, die sich über EMA anmelden, erhalten in diesem Team Zugriff. Füge die Nutzer hinzu, die Zugriff darauf brauchen, entweder bevor oder nachdem du die Einrichtung abschließt.

Suche im Einrichtungsfeld nach einem Team.
Wähle das Team aus, das du als Standard festlegen möchtest.
Klicke auf Weiter.

Verwende nach Möglichkeit ein dediziertes, eingeschränktes Team für EMA. So bleibt der Board-Zugriff über EMA auf eine klar definierte Gruppe von Mitgliedern beschränkt.

Wenn das Team, das du auswählst, noch nicht für MCP aktiviert ist, fordert Miro dich auf, MCP für dieses Team zu aktivieren. Klicke auf MCP aktivieren, damit EMA-Sitzungen dort Boards öffnen können. Miro fügt das Team zu den unter Teams und Benutzergruppen ausgewählten Teams hinzu.

Schritt 2: Vertrauenswürdigen Aussteller hinzufügen

Kopiere die von Miro bereitgestellten Werte in deinen Identitätsanbieter und bestätige anschließend die Issuer-URL in Miro.

Dieser Schritt zeigt zwei Felder mit der Bezeichnung Issuer-URL. Das erste, unter Kopiere diese Werte in deinen Identitätsanbieter, ist der Miro-Wert: du kopierst ihn in Okta. Das zweite, unter Aussteller bestätigen, ist das Feld, in das du die Issuer-URL deines Identitätsanbieters eingibst.

Unter Kopiere diese Werte in deinen Identitätsanbieter kopiere jeden von Miro angezeigten Wert:
- Aussteller-URL (zum Beispiel https://mcp.miro.com/)
- Zielgruppen- oder Mandanten-ID (einzigartig für deine Organisation)
- Ressourcenindikator (zum Beispiel https://mcp.miro.com/)
Richte in Okta die Konfiguration des KI‑Agenten für Miro ein und füge diese Werte genau wie gezeigt ein. Weise dann in Okta den Nutzern, die Zugriff benötigen, Rollen zu. Für ausführliche Okta‑Schritte siehe KI‑Agent‑Token‑Austausch einrichten.
Zurück in Miro gib unter Aussteller bestätigen die Aussteller-URL deines Identitätsanbieters ein.
Die URL wird für die von Miro für deine Organisation angezeigte Zielgruppen-ID registriert.
Klicke auf Aussteller hinzufügen.
Miro prüft Discovery und die Schlüssel. Du solltest Discovery aufgelöst und Schlüssel erreichbar sehen.
Klicke auf Weiter.

Wenn Discovery fehlschlägt oder die Schlüssel nicht erreichbar sind, überprüfe, ob dein Identitätsanbieter jwks_uri unter /.well-known/openid-configuration oder /.well-known/oauth-authorization-server veröffentlicht. Klicke nach der Behebung der Konfiguration auf Erneut prüfen. Wenn es weiterhin fehlschlägt, kontaktiere den Miro-Support.

Du kannst mehr als einen vertrauenswürdigen Aussteller hinzufügen. Entferne einen Aussteller mit dem Papierkorb-Symbol, wenn du ihn versehentlich hinzugefügt hast.

Schritt 3: In Claude aktivieren

Öffne die Anthropic-Admin-Konsole (verwende Anthropic-Admin-Konsole öffnen im Einrichtungsfeld).
Aktiviere die EMA-Autorisierung für den Miro-Connector.
Kehre zu Miro zurück und klicke auf Setup abschließen.

Andere MCP-Clients melden sich weiterhin mit OAuth an.

Einstellungen für Enterprise-Managed Authorization verwalten

Nach der ersten erfolgreichen Einrichtung öffnet das erneute Aus- und Einschalten der Funktion das geführte Feld nicht wieder. Du verwaltest die Einstellungen stattdessen auf der MCP-Seite.

Standardteam ändern

Gehe zu Admin Console > Apps and integrations > MCP.
Unter Enterprise-Managed Authorization, öffne Default team.
Wähle ein anderes Team.
Wenn dieses Team MCP nicht aktiviert hat, bestätige Enable MCP, wenn du dazu aufgefordert wirst. Miro fügt das Team zu den unter Teams and user groups ausgewählten Teams hinzu.

Vertrauenswürdige Aussteller hinzufügen oder verwalten

Gehe zu Admin Console > Apps and integrations > MCP.
Unter Trusted issuers überprüfe den Status und die Details für jeden Issuer:
- Aktiviert oder deaktiviert
- Discovery geklärt / Discovery fehlgeschlagen
- Schlüssel erreichbar / Schlüssel nicht erreichbar
Um einen weiteren Issuer hinzuzufügen, klicke auf + Add trusted issuer, gib die Issuer-URL ein und bestätige, dass die Discovery erfolgreich ist.
Nutze den Umschalter in der Zeile, um einen Issuer zu aktivieren oder zu deaktivieren, ohne ihn zu löschen.
Verwende das Papierkorb-Symbol, um einen Issuer zu entfernen, dem du nicht mehr vertraust.

Nur die hier aufgeführten Issuer können über EMA MCP-Zugriff anfordern. Deine bestehende Miro-SAML- oder OIDC-SSO-Verbindung reicht allein nicht aus.

Enterprise-Managed Authorization deaktivieren

Gehe zu Admin Console > Apps and integrations > MCP.
Unter Enterprise-Managed Authorization schalte EMA-Autorisierung für Claude aktivieren aus.

Claude fällt auf den üblichen OAuth-Ablauf zurück. Dein gespeichertes Standardteam und die vertrauenswürdigen Issuer bleiben verfügbar, wenn du die Funktion später wieder aktivierst.

Einschränkungen

EMA gilt derzeit für Claude. Andere MCP-Clients nutzen weiterhin OAuth.
EMA-Sitzungen verwenden ein einzelnes Standardteam. Nutzer, die Boards in anderen Teams benötigen, verwenden weiterhin OAuth-Clients für diese Teams.
In dieser Version gewährst du Zugriff sowohl in Miro (Mitgliedschaft im Standardteam) als auch in Okta (Rollen oder Zugriffsrechte für die Miro-Agent-Konfiguration).
Die Discovery für vertrauenswürdige Issuer hängt davon ab, dass dein Identitätsanbieter einen erreichbaren JWKS-Endpunkt veröffentlicht.