更新：2026年2月27日
ORDS RESTサービスとして作成したリモートMCPサーバーをOkta Integratorで認証します。
以下の記事にそって構築した環境を使用します。
DNSでホスト名の解決ができ、インターネットからアクセス可能なOracle APEXとORDSの実行環境を作成します。Autonomous AI Databaseを使用する場合は、nginxをリバース・プロキシとして実行する環境だけが必要です。
DNSでホスト名の解決ができ、インターネットからアクセス可能なOracle APEXとORDSの実行環境を作成します。Autonomous AI Databaseを使用する場合は、nginxをリバース・プロキシとして実行する環境だけが必要です。
- Oracle APEXの実行環境にnginxによるリバース・プロキシを構成する - Oracle Linux 10編（Ubuntu 24.04 + Dockerでの同等の手順はこちらの記事を参照のこと）
- Oracle APEXの実行環境にnginxによるリバース・プロキシを構成する - 追加手順
カスタムのリモートMCPサーバーをORDSのRESTサービスとして実装します。上記で作成したAPEXの環境に、APEXのワークスペースを作成します。
上記で作成したカスタムのリモートMCPサーバーをOAuth2で認証するために、以下の手順にそってnginxのリバース・プロキシに設定を追加します。
確認にMCP Inspector、Claude Desktop、OpenAI ChatGPTを使用します。
Okta Integratorの設定
OktaのAdmin Consoleよりグループを開き、グループを追加します。
グループの名前はORDSUsers、説明は「ORDS REST APIへのアクセスを許可」と記述します。
保存をクリックします。
グループに再度アクセスし、グループ一覧を更新します。
作成したグループORDSUsersを開き、ユーザーを割り当てます。
ユーザーを割り当てをクリックします。
グループORDSUsersにユーザーを割り当てます。
ユーザーの割り当てを完了します。
アプリケーション・メニューのアプリケーションを開き、アプリ統合を作成します。
サインイン方法としてOIDC - OpenID Connectを選択します。OIDCを選択するとアプリケーションタイプの選択が現れます。アプリケーションタイプはシングルページアプリケーションを選択します。
次へ進みます。
アプリ統合名をORDS MCPとします。付与タイプのリフレッシュトークンにチェックを入れます。
サインインリダイレクトURIにMCP InspectorのRedirect URLを設定します。ポート番号6274が使用されている場合は、ポート番号が異なるかもしれません。
http://localhost:6274/oauth/callback
サインアウトリダイレクトURIは何を設定すべきか不明なので、x をクリックして削除しておきます。
割り当てのアクセス制御として選択されたグループにアクセスを制限を選択し、選択されたグループに先ほど作成したグループORDSUsersを含めます。
以上を設定し保存します。
アプリ統合としてORDS MCPが作成されます。
クライアントIDはMCP InspectorのOAuth 2.0 FlowのClient IDに設定する値です。メモしておきます。
セキュリティのAPIを開き、認証サーバーを追加します。（タブには認可サーバーと書いてあります）
追加する認証サーバーの名前はORDSMCP、オーディエンスはapi://ordsmcp（本来ordsmcpの部分はGUIDなど、世界で一意になる値を割り当てるのが望ましい）とします。説明としてAuthentication Server for ORDS MCPを入力します。
以上で保存します。
追加された認証サーバーの設定タブを開き、メタデータURIを確認します。
このURLで取得できるファイルを、nginxが返す/.well-known/oauth-authorization-serverとして配置します。
URLをブラウザで開き、属性jwks_uriの値をコピーします。
この値はORDS_SECURITY.CREATE_JWT_PROFILEの引数p_jwk_urlの値になります。
また、属性issuerをの値をコピーします。この値はORDS_SECURITY.CREATE_JWT_PROFILEの引数p_issuerの値になります。
メタデータURLの末尾にある.well-known以下を除いた部分が、oauth-protected-resourceのauthorization_serversの値になります。
以上でORDS REST APIの保護に必要な値が集まりました。
クレームタブを開き、クレームを追加します。
追加するクレームの名前はrolesとします。トークンタイプに含めるはアクセス・トークンです。
値タイプにグループを選択し、フィルターは次で始まるでORDSを設定します。このフィルターにより、rolesクレームに先ほど作成したグループORDSUsersが含まれます。
クレームを無効化はチェックせず、含めるはいずれかのスコープを選択します。
以上で作成します。
同様の手順でscopeクレームを追加します。
追加するクレームの名前はscopeとします。トークンタイプに含めるにアクセストークン、値タイプに式を選択し、値として以下を記述します。
String.replace(Arrays.toCsvString(access.scope),","," ")
クレームを無効化はチェックせず、含めるはいずれかのスコープを選択します。
以上で作成します。
rolesクレームとscopeクレームが作成されました。
アクセスポリシーを開き、ポリシーを追加します。
ポリシーの名前はORDS MCPとします。説明に「ORDS MCP」と記述し、次に割り当てるに次のクライアントを選択し、クライアントにORDS MCPを含めます。
以上でポリシーを作成します。
アクセスポリシーとしてORDS MCPが作成されました。
ルールを追加します。
ルール名はDefaultとします。デフォルトの設定は変更せず（最低限コア付与の認証コードがチェックされていれば動くはず）、ルールを作成します。
アクセス・ポリシーORDS MCPとルールDefaultが作成されます。
以上でOktaの設定は完了です。
ORDSおよびnginxの設定
ロール・ベースJWTプロファイルを設定します。
ORDS_SECURITY.CREATE_JWT_PROFILEを実行します。それぞれの引数には、今まで集めた設定値を割り当てます。
begin
ords_security.delete_jwt_profile;
ords_security.create_jwt_profile(
p_issuer => 'https://integrator-********.okta.com/oauth2/******************'
,p_audience => 'api://ordsmcp'
,p_jwk_url => 'https://integrator-********.okta.com/oauth2/******************/v1/keys'
,p_role_claim_name => '/roles'
);
end;
/
ビューUSER_ORDS_JWT_PROFILEを検索し、設定した内容を確認します。
select issuer,audience,jwk_url,role_claim_name from user_ords_jwt_profile
以下のスクリプトを実行し、Oracle REST Data Servicesに権限oracle.example.mcpを作成（すでに存在する場合は再定義）します。ロールとしてORDSUsersを作成し、RESTモジュールsampleserverを保護します。
declare
l_roles owa.vc_arr;
l_modules owa.vc_arr;
l_patterns owa.vc_arr;
begin
ords.create_role(
p_role_name => 'ORDSUsers'
);
l_modules(1) := 'sampleserver';
l_roles(1) := 'ORDSUsers';
ords.define_privilege(
p_privilege_name => 'oracle.example.mcp',
p_label => 'Priviledge for MCP',
p_roles => l_roles,
p_modules => l_modules,
p_patterns => l_patterns -- no assignment
);
end;
/
nginxを実行しているインスタンスに接続し、/.well-known/以下を設定します。
rootユーザーで作業します。
sudo -s
[opc@apex ~]$ sudo -s
[root@apex opc]#
cd /usr/share/nginx/html
[root@apex opc]# cd /usr/share/nginx/html
[root@apex html]#
ディレクトリ.well-knownを作成します。
mkdir .well-known
mkdir .well-known
[root@apex html]# mkdir .well-known
[root@apex html]#
{
"resource": "api://ordsmcp",
"authorization_servers": {
"https://integrator-*******.okta.com/oauth2/********************"
}
}メタデータをダウンロードし、.well-known以下に配置します。
curl -L -o .well-known/oauth-authorization-server https://integrator-******.okta.com/oauth2/*****************/.well-known/oauth-authorization-server
[root@ordsmcp html]# curl -L -o .well-known/oauth-authorization-server https://integrator-********.okta.com/oauth2/***************/.well-known/oauth-authorization-server
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
100 2624 0 2624 0 0 6219 0 --:--:-- --:--:-- --:--:-- 6218
[root@ordsmcp html]#
クライアントからの接続確認
MCP Inspectorを起動します。
npx @modelcontextprotocol/inspector
Transport TypeにStreamable HTTPを選択し、URLにORDSのRESTモジュールとして実装されているサンプルのMCPサーバーのURLを設定します。
https://ホスト名/ords/apexdev/sampleserver/mcp
OAuth 2.0 FlowのClient IDに、Oktaに作成した統合アプリORDS MCPのクライアントIDを設定します。
2026年2月27日追記 - Scopeの指定が必須になったようです。デフォルトで含まれるはずのopenidをScopeに指定します。
Connectをクリックし、認証プロセスを開始します。
Oktaのサインイン画面に遷移します。ユーザー名を入力し、次へ進みます。
Okta Verifyのコードを入力し確認します。
パスワードを入力し確認します。
以上でRole based JWT profileで保護したORDS REST APIを、MCP Inspectorでアクセスできました。
以下より、ブラウザ版のChatGPTで、このMCPサーバーをアプリとして作成してみます。
ChatGPTはMCP Inspectorとは異なり、oauth-protected-resourceのauthorization_serversを正しく認識するため、JSONオブジェクトではなくJSON配列で設定します。
{
"resource": "api://ordsmcp",
"authorization_servers": [
"https://integrator-*******.okta.com/oauth2/********************"
]
}ChatGPTで認証できるように、統合アプリORDS MCPのサインインリダイレクトURIとして、以下を追加します。
ChatGPTのプランに依存すると思いますが（Plusプランで確認しています）ブラウザ版ChatGPTを開発者モードにすると、設定のアプリとコネクターに高度な設定が表示されます。
アプリを作成するをクリックします。
新しいアプリの名前はMy Oracle Appとします。説明として「Oracleデータベースに接続しSELECT文を実行します」を記述します。
MCPサーバーのURLは、MCP Inspectorに設定したURLと同じです。
https://ホスト名/ords/apexdev/sampleserver/mcp
理解したうえで、続行しますをチェックし、作成するをクリックします。
Oktaの認証プロセスが開始します。サインイン手順はMCP Inspectorと同じなので省略します。
サインインが完了すると、作成したアプリMy Oracle Appが接続します。
ChatGPTの新しいチャットを開始し、My Oracle Appのツールget_schemaを呼び出してみます。
「My Oracle Appのget_schemaを呼び出して」
ChatGPTでの接続が確認できました。
Claude Desktopではカスタムコネクタとして追加します。
Claude Desktopで認証できるように、統合アプリORDS MCPのサインインリダイレクトURIとして、以下を追加します。
https://claude.ai/api/mcp/auth_callback
Claude Desktopでも、ChatGPTと同じ設定でカスタムコネクタを追加します。
追加したカスタムコネクタMy Oracle Appを連携させます。
Oktaでの認証プロセスが完了すると、使用できるツールが一覧されます。
新規チャットからカスタムコネクタを呼び出してみます。
「My Oracle Appのget_schemaを呼び出して」
Claude Desktopでも、カスタムコネクタとしてリモートMCPサーバーを呼び出すことができました。
完
