gitea-actions
64 lines
1.7 KiB
YAML
64 lines
1.7 KiB
YAML
# Ory Hydra v2.3 — OAuth2-AS für den SAP-MCP-Stack (C#-Portierung).
|
|
# URLs/DSN/Secrets kommen aus dem Environment (compose):
|
|
# DSN, SECRETS_SYSTEM, URLS_SELF_ISSUER, URLS_LOGIN, URLS_CONSENT
|
|
serve:
|
|
cookies:
|
|
same_site_mode: Lax
|
|
tls:
|
|
# TLS terminiert der zentrale Reverse Proxy (kas-proxy/Caddy); interne Netze
|
|
# dürfen X-Forwarded-Proto setzen.
|
|
allow_termination_from:
|
|
- 10.0.0.0/8
|
|
- 172.16.0.0/12
|
|
- 192.168.0.0/16
|
|
public:
|
|
cors:
|
|
# claude.ai macht Discovery/DCR/Token-Calls teils aus dem Browser —
|
|
# ohne CORS meldet der Connector "Client-Registrierung nicht unterstützt".
|
|
enabled: true
|
|
allowed_origins:
|
|
- https://claude.ai
|
|
- https://claude.com
|
|
- https://chatgpt.com
|
|
- https://chat.openai.com
|
|
allowed_methods:
|
|
- GET
|
|
- POST
|
|
- OPTIONS
|
|
allowed_headers:
|
|
- Authorization
|
|
- Content-Type
|
|
exposed_headers:
|
|
- Content-Type
|
|
|
|
strategies:
|
|
access_token: jwt
|
|
|
|
oidc:
|
|
dynamic_client_registration:
|
|
# Self-Service-Onboarding: MCP-Clients registrieren sich anonym
|
|
# über POST /oauth2/register (RFC 7591).
|
|
enabled: true
|
|
# Clients, die bei der Registrierung KEINE Scopes angeben (z. B. ChatGPT),
|
|
# bekommen diese Defaults — sonst scheitert ihr Authorize-Request mit
|
|
# invalid_scope. ChatGPT fordert zusätzlich OIDC-Scopes (openid/profile/
|
|
# email) an; die geben wir frei, auch wenn wir keine Profil-Claims führen.
|
|
default_scope:
|
|
- mcp
|
|
- offline_access
|
|
- openid
|
|
- profile
|
|
- email
|
|
|
|
oauth2:
|
|
pkce:
|
|
enforced_for_public_clients: true
|
|
|
|
ttl:
|
|
access_token: 1h
|
|
refresh_token: 720h
|
|
|
|
log:
|
|
level: info
|
|
leak_sensitive_values: false
|