一句话看懂：MCP 协议正式推出 Enterprise-Managed Authorization 扩展，允许企业通过 Okta 等身份提供商集中管理所有 MCP 服务器的访问权限，用户只需一次登录即可自动获得授权，彻底消除此前每个服务器都要单独 OAuth 验证的摩擦。
事件核心：发生了什么
MCP 官方于近期宣布 Enterprise-Managed Authorization 扩展进入稳定阶段。该扩展的核心机制是：在企业单点登录流程中，客户端从身份提供商获取一个名为 ID-JAG 的 JWT 身份断言授权，再向 MCP 服务器的授权服务器换取访问令牌。整个过程用户无需跳转任何独立的授权页面。首批采用者包括身份提供商 Okta（通过其 Cross App Access 协议）、客户端端的 Anthropic（在 Claude、Claude Code、Cowork 中统一实现）和 Visual Studio Code，以及服务器端的 Asana、Atlassian、Canva、Figma、Granola、Linear 和 Supabase，Slack 等也在积极接入中。
为什么重要
此前的 MCP 授权模型本质上是“用户范围”的——每个员工需要手动授权每个服务器，安全团队无法执行统一策略，且无法区分企业身份与个人账户。这意味着即使企业内部打通了 MCP 连接，实际使用中员工仍要反复确认授权，安全审计也基本缺失。EMA 将身份提供商变为权限决策中枢，管理员只需在 IdP 控制台中设置一次策略（基于群组、角色或条件访问规则），所有用户自动继承对应权限。这直接降低了 MCP 在企业规模化部署中的“授权税”，并建立了一个可审计、可治理的基线——对于希望将 MCP 作为 AI 连接标准的企业 IT 部门而言，这是一个关键的缺失拼图。
对用户/开发者/创作者的影响
对于企业最终用户：首次登录 MCP 客户端后，所有已被管理员批准的服务器会自动接入，不再遇到“请授权此应用”的弹窗，工作流更加顺畅。对于开发者和 IT 管理员：不再需要为每个 MCP 服务器单独实现授权逻辑或维护自定义的共享认证方案，可以直接沿用企业现有的身份系统；安全团队可以集中审计所有数据连接，防止个人账号泄露导致企业数据外流。对于 MCP 服务器开发者：如果希望服务被企业客户采用，支持 EMA 扩展将成为一项基本要求，否则将因安全合规问题被企业 IT 部门拒绝接入。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
首先，目前只有 Okta 一家身份提供商支持，后续微软 Entra ID 或其他 IdP 是否会快速跟进，将直接影响 EMA 的普及速度。其次，Claude 客户端已经原生支持，但其他主流 MCP 主机（如自定义 IDE 插件、自动化工具链）何时集成 EMA 仍有待观察。最后，EMA 目前主要解决企业内部的“一人授权、全员继承”问题，对于跨组织、多租户场景下的授权模型，目前公开信息显示尚无专有标准，这可能是 MCP 生态下一步需要解决的边界问题。
