Installation überspringen. In unter 2 Minuten einsatzbereit.
Starte eine kostenlose Testphase auf cloud.anythingmcp.com, füge WorkOS mit einem Klick hinzu und richte deinen KI-Client (Claude, ChatGPT, Copilot oder Cursor) auf den erzeugten MCP-Endpoint. Kein Docker, kein git clone, keinerlei Entwicklungserfahrung nötig.
Zusammenfassung
Die WorkOS API für B2B-Identität in einer Umgebung: Organisationen und ihre Domains, AuthKit-Nutzer, Mitgliedschaften, Einladungen und Sitzungen, SSO-Verbindungen, Directory-Sync-Verzeichnisse, -Nutzer und -Gruppen, Audit-Log-Exporte, der Event-Stream sowie RBAC-Rollen und -Berechtigungen. Legt Organisationen, Nutzer, Mitgliedschaften und Einladungen an und ändert sie; Löschen und Widerrufen sind bei der Installation deaktiviert.
Frag einfach
Beispiel-Prompts für WorkOS
Klick auf einen Prompt, um ihn zu kopieren. In Claude, ChatGPT, Cursor, Gemini, Copilot oder OpenClaw einfügen — und gegen diesen Connector laufen lassen.
Claude ist KI und kann Fehler machen. Bitte Antworten gegenprüfen.
💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → WorkOS klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein
git clone, kein lokaler Server.
WorkOS + Microsoft Copilot
Die WorkOS API für B2B-Identität in einer Umgebung: Organisationen und ihre Domains, AuthKit-Nutzer, Mitgliedschaften, Einladungen und Sitzungen, SSO-Verbindungen, Directory-Sync-Verzeichnisse, -Nutzer und -Gruppen, Audit-Log-Exporte, der Event-Stream sowie RBAC-Rollen und -Berechtigungen. Legt Organisationen, Nutzer, Mitgliedschaften und Einladungen an und ändert sie; Löschen und Widerrufen sind bei der Installation deaktiviert.
Voraussetzungen
Die vollständige Setup-Anleitung ist in den Connector eingebaut (im Store sichtbar, wenn du den Connector auswählst). Benötigte Umgebungsvariablen für diesen Connector:
WORKOS_API_KEY
Schritt 1 — Zugangsdaten holen
Die Einrichtung dauert etwa 2 Minuten.
- Öffne https://dashboard.workos.com, wähle oben die Umgebung (Sandbox oder Production) und öffne API Keys.
- Erstelle einen Secret Key (
sk_..., nur einmal angezeigt) und füge ihn ohne Leerzeichen und ohneBearerdavor inWORKOS_API_KEYein. - Installiere den Connector und führe
workos_list_organizationsaus: Es listet die Organisationen der Umgebung und bestätigt den Key.
Ein Key gehört zu einer Umgebung und hat vollen Zugriff auf deren API: WorkOS-Keys haben keine Scopes. Fang mit einem Sandbox-Key an und nimm einen Production-Key erst, wenn die KI mit echten Daten arbeiten soll.
Personenbezogene und sensible Daten: Der Key erreicht die Identitätsdaten jeder Organisation der Umgebung, und die KI liest alles, was ein Tool zurückgibt: Namen und E-Mail-Adressen, Anmeldeidentitäten, IP-Adressen und User Agents von Sitzungen, Verzeichnisnutzer mit Jobtitel, Metadaten und Stripe-Kunden-IDs von Organisationen sowie Inhalte des Audit-Logs. workos_get_directory_user und workos_get_directory_group liefern die Rohattribute des Anbieters vollständig, darunter können Telefonnummern, Vorgesetzte, Abteilung und Personalnummern sein; die Listen-Tools lassen sie weg. Die KI gibt nur weiter, was die Aufgabe braucht.
Geheime Werte: Der Connector gibt nie den API-Key zurück. Bei Einladungen sind token und accept_invitation_url entfernt, denn mit diesem Link kann jeder, der ihn hat, der Organisation beitreten. workos_get_audit_log_export liefert einen kurzlebigen Download-Link (url) zur CSV-Datei; die KI behandelt ihn wie ein Passwort und fügt ihn nirgendwo anders ein.
Organisationen und Domains: workos_list_organizations (Filter nach Namenstext oder Domain), workos_get_organization, workos_get_organization_by_external_id, workos_create_organization und workos_update_organization. workos_create_organization_domain legt eine Domain als ausstehend an, mit einem DNS-TXT-Eintrag (verification_prefix, verification_token), den der Domaininhaber veröffentlicht; danach startet workos_verify_organization_domain die Prüfung, und workos_get_organization_domain zeigt den Stand.
Nutzer, Mitgliedschaften und Rollen: workos_list_users (nach email oder organization_id), workos_get_user, workos_get_user_by_external_id, workos_create_user (ohne Passwort; die Person meldet sich mit Magic Auth, Social Login, SSO oder über eine Einladung an) und workos_update_user; Anmeldeanbieter mit workos_list_user_identities, Sitzungen mit workos_list_user_sessions. Mitgliedschaften: workos_list_organization_memberships, workos_get_organization_membership, workos_create_organization_membership, workos_update_organization_membership zum Ändern der Rolle sowie workos_deactivate_organization_membership und workos_reactivate_organization_membership, um den Zugang zu sperren und wiederherzustellen. Rollen-Slugs kommen aus workos_list_roles, workos_get_role und workos_list_organization_roles (eigene Rollen beginnen mit org-), Berechtigungen aus workos_list_permissions.
Einladungen: workos_list_invitations, workos_get_invitation, workos_send_invitation (WorkOS verschickt die E-Mail selbst) und workos_resend_invitation.
SSO und Directory Sync: workos_list_connections und workos_get_connection zeigen den Verbindungstyp und state (active heißt, Nutzer können sich anmelden). workos_list_directories, workos_get_directory, workos_list_directory_users (braucht directory oder group), workos_get_directory_user, workos_list_directory_groups (braucht directory oder user) und workos_get_directory_group lesen die synchronisierten Nutzer und Gruppen; workos_sync_directory stößt sofort eine Synchronisierung an.
Audit Logs und Events: workos_list_audit_log_actions und workos_list_audit_log_schemas zeigen, was protokolliert wird. workos_create_audit_log_export startet einen CSV-Export für einen Zeitraum (es schreibt keine Events), und workos_get_audit_log_export meldet den Stand, bis state ready ist; workos_get_audit_log_retention sagt, wie viele Tage Events aufbewahrt werden. workos_list_events liest den Event-Stream nach Typ (user.created, organization_membership.updated, dsync.user.created, connection.activated und andere) mit range_start und range_end; order: asc spielt sie in der richtigen Reihenfolge ab. Die API hält 90 Tage an Events vor, ein Aufruf deckt höchstens 30 Tage ab.
Änderungen: workos_update_organization und workos_update_user ändern nur die übergebenen Felder, aber domain_data und metadata ersetzen den gespeicherten Wert, deshalb schickt die KI die vollständige Liste bzw. das ganze Objekt. Eine neue E-Mail-Adresse setzt email_verified auf false zurück. Eine neue Rolle einer Mitgliedschaft ersetzt die bisherige.
Bei der Installation deaktiviert: workos_delete_organization, workos_delete_organization_domain, workos_delete_user, workos_delete_organization_membership, workos_revoke_invitation, workos_revoke_session und workos_create_audit_log_event. Sie lassen sich nicht rückgängig machen (einmal geschriebene Audit-Log-Events lassen sich nicht entfernen), deshalb schaltet ein Workspace-Admin sie ein, wenn das Team sie braucht.
Datenformate: IDs tragen ein Typpräfix (org_, org_domain_, user_, om_, invitation_, session_, conn_, directory_, directory_user_, directory_group_, audit_log_export_, event_). Zeitstempel sind ISO 8601 in UTC. Listen kommen als {"object": "list", "data": [...], "list_metadata": {...}}. Werte in metadata sind Strings.
Blättern: Listen liefern standardmäßig 10 Einträge, mit limit bis 100, die neuesten zuerst. Für die nächste Seite übergibt die KI list_metadata.after als after und hört auf, wenn es null ist; workos_list_events blättert genauso.
Limits: 6.000 Anfragen pro Minute je Key; AuthKit 1.000 Lese- und 500 Schreibzugriffe pro 10 Sekunden; Verzeichnisnutzer 4 Anfragen pro Sekunde je Verzeichnis; Löschen von Organisationen 50 pro Minute. Einladungs-E-Mails zählen zu den E-Mail-Versandlimits von WorkOS.
Häufige Fehler: 401 heißt falscher oder widerrufener Key. 403 heißt, der Key darf das nicht oder die Funktion ist für die Umgebung nicht aktiviert. 404 heißt unbekannte ID oder eine ID aus einer anderen Umgebung. 400 oder 422 heißt ein ungültiges Feld, der Body nennt es. 429 heißt Rate Limit: warten und einmal erneut versuchen.
Der Connector konfiguriert keine SSO-Verbindungen, kein AuthKit-Branding, keine Redirect-URIs, kein Vault, keine Pipes und keine API-Keys, setzt keine Passwörter und meldet niemanden an.
Schritt 2 — Adapter installieren
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
Schritt 3 — Connector in Microsoft Copilot hinzufügen
Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (
https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese AnleitungYOUR_SERVER_IDzeigt.
Microsoft Copilot nutzt MCP-Server über Agents, die du in Copilot Studio baust: Du fügst AnythingMCP einem Agent als Tool hinzu und veröffentlichst den Agent dann in Microsoft 365 Copilot und Teams. Copilot Studio verbindet sich aus der Cloud von Microsoft per Streamable HTTP, das AnythingMCP unterstützt.
- Öffne in Copilot Studio deinen Agent (oder leg einen an), geh zu Tools und wähle Add a tool → New tool → Model Context Protocol.
- Trag einen Server name ein (zum Beispiel
AnythingMCP), eine Server description, die sagt, was der Connector kann, und die Server URLhttps://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Anhand der Beschreibung entscheidet Copilot Studio, wann es den Server aufruft. - Wähle bei der Authentifizierung API key, setze Type auf Header und den Header-Namen auf
X-API-Keyund klicke auf Create. - Wähle in Add tool die Option Create a new connection, füge einen MCP-API-Key aus AnythingMCP ein (MCP Servers → dein Server → API keys) und klicke auf Add to agent.
- Probier es im Test-Bereich des Agents aus: Bitte um etwas, wofür er die
WorkOS-Tools braucht. - Klicke auf Publish, dann auf Channels → Microsoft 365 and Microsoft Teams, lass Make agent available in Microsoft Copilot aktiviert und wähle Add channel. See agent in Teams installiert den Agent für dich; in Microsoft 365 Copilot tippst du @ und wählst den Agent aus.
Lieber eine Anmeldung pro Person? Wähle statt API key OAuth 2.0 → Dynamic discovery: Dann meldet sich jede Person beim ersten Aufruf des Agents bei AnythingMCP an.
Du hostest selbst? Nimm statt https://cloud.anythingmcp.com die öffentliche HTTPS-Adresse deiner Instanz. Copilot Studio verbindet sich aus der Cloud von Microsoft, localhost funktioniert deshalb nicht.
Verfügbare Tools
| Tool | What it does |
|---|---|
workos_list_organizations | List organizations (the customer companies of this WorkOS environment), newest first: id, name, external_id, domains with their… |
workos_get_organization | One organization by id: name, domains (each with id, state and verification strategy), external_id, stripe_customer_id, metadata and… |
workos_get_organization_by_external_id | One organization by the external_id your own application stored on it |
workos_create_organization | Create an organization |
workos_update_organization | Update an organization: name, domains (domain_data replaces the whole list), external_id, Stripe customer id, metadata or the… |
workos_delete_organization | Permanently delete an organization together with its SSO connections and directories |
workos_get_organization_domain | One organization domain: domain name, state (pending, verified, failed, legacy_verified), verification strategy (dns or manual), the DNS… |
workos_create_organization_domain | Add a domain to an organization |
workos_verify_organization_domain | Start DNS verification of a pending organization domain after its TXT record was published |
workos_delete_organization_domain | Remove a domain from its organization |
workos_list_users | List AuthKit users of the environment, newest first: id, email, email_verified, first and last name, profile picture URL, external_id… |
workos_get_user | One AuthKit user by id: email, verification state, names, external_id, metadata, locale and last sign-in time |
workos_get_user_by_external_id | One AuthKit user by the external_id your own application stored on it |
workos_create_user | Create an AuthKit user without a password; the person signs in with a method enabled in the environment (Magic Auth, social or SSO) or… |
workos_update_user | Update an AuthKit user: name, email (resets email_verified to false), email_verified, external_id, metadata or locale |
workos_delete_user | Permanently delete an AuthKit user with their memberships, identities and sessions |
workos_list_user_identities | The sign-in identities linked to a user: provider (e.g |
workos_list_user_sessions | A user's AuthKit sessions, newest first: id, status, auth_method, organization_id, ip_address, user_agent, impersonator, expires_at and… |
workos_revoke_session | End one AuthKit session (sign the user out of that device) |
workos_list_organization_memberships | List organization memberships (which user belongs to which organization, with role(s) and status active, inactive or pending) |
workos_get_organization_membership | One organization membership: user, organization, role(s), status, whether a directory manages it, and IdP custom attributes |
workos_create_organization_membership | Add an existing AuthKit user to an organization with one role (role_slug) or several (role_slugs) |
workos_update_organization_membership | Change the role(s) of an organization membership; the new role replaces the current one |
workos_deactivate_organization_membership | Deactivate a membership: the user keeps the account and the membership record but can no longer sign in to that organization |
workos_reactivate_organization_membership | Reactivate an inactive membership, with its previous role(s) |
workos_delete_organization_membership | Permanently remove a user from an organization |
workos_list_invitations | List invitations, newest first: email, state (pending, accepted, expired, revoked), organization, role, inviter, expires_at |
workos_get_invitation | One invitation by id with its state and expiry, without the token and accept link |
workos_send_invitation | Invite someone by email, optionally into an organization with a role |
workos_resend_invitation | Send the email of a pending invitation again, optionally in another language |
workos_revoke_invitation | Revoke a pending invitation so its link stops working |
workos_list_connections | List SSO connections, newest first: id, name, organization_id, connection_type (OktaSAML, AzureSAML, GoogleOAuth, GenericOIDC, ...), state… |
workos_get_connection | One SSO connection by id: connection type, state, organization and domains |
workos_list_directories | List Directory Sync directories (SCIM, Entra ID, Google Workspace, Okta, BambooHR, ...), newest first: id, name, type, state (linked… |
workos_get_directory | One directory: type, state, organization, domain and user and group counts |
workos_sync_directory | Ask WorkOS to sync a directory from its provider now |
workos_list_directory_users | List users synced from a directory or a directory group: name, emails, username, job title, state (active, suspended, inactive), role(s)… |
workos_get_directory_user | One directory user with everything the provider sent, including raw_attributes (can hold phone numbers, manager, department, employee ids) |
workos_list_directory_groups | List groups synced from a directory, or the groups of one directory user: id, name, idp_id. raw_attributes are left out |
workos_get_directory_group | One directory group by id: name, idp_id, directory, organization and the provider's raw_attributes |
workos_list_audit_log_actions | List the Audit Logs actions configured in the environment (e.g. user.signed_in, document.updated) with their latest schema |
workos_list_audit_log_schemas | List the schema versions of one Audit Logs action: allowed target types and the actor, target and metadata JSON schemas |
workos_create_audit_log_event | Write an event into an organization's audit log |
workos_create_audit_log_export | Start a CSV export of an organization's audit log events for a time range, optionally filtered by actions, actors and target types |
workos_get_audit_log_export | State of an audit log export (pending, ready, error) |
workos_get_audit_log_retention | How many days an organization's audit log events are kept (retention_period_in_days) |
workos_list_events | Read the environment's event stream (what happened in WorkOS and at the connected identity and directory providers): id, event type… |
workos_list_roles | List the environment roles (RBAC) with slug, name, description, permissions and type, the roles every organization starts with |
workos_get_role | One environment role by slug: name, description, type and its permission slugs |
workos_list_organization_roles | All roles available in one organization: the environment roles plus its own custom roles (slugs starting with org-), with permissions |
workos_list_permissions | List the RBAC permissions defined in the environment: slug, name, description |
Beispiel-Prompts
- „Welche Organisationen haben eine SSO-Verbindung, die noch nicht aktiv ist?“
- „Liste die Mitglieder der Organisation Acme Corp mit Rolle und Status auf.“
- „Lade [email protected] mit der Rolle admin in die Organisation Acme Corp ein.“
- „Welche Verzeichnisse stehen auf invalid_credentials, und zu welchen Organisationen gehören sie?“
- „Exportiere das Audit-Log von Acme Corp für Oktober als CSV-Datei.“
FAQ
Für welchen Copilot gilt das? Für Microsoft 365 Copilot im Unternehmen, über Agents aus Copilot Studio. Die Microsoft-Copilot-App für private Konten bietet keine Möglichkeit, einen eigenen MCP-Server hinzuzufügen.
Was brauche ich? Ein Arbeitskonto mit Zugang zu Copilot Studio (Lizenz oder Testversion), um den Agent zu bauen. Wer ihn in Microsoft 365 Copilot oder Teams nutzen soll, braucht Zugriff auf den Agent: Teile ihn oder lass ihn von einem Admin für die Organisation veröffentlichen. Wendet deine Organisation Datenrichtlinien auf Power-Platform-Connectors an, gelten sie auch für MCP-Server.
Der Agent ruft die Tools nicht auf. Prüfe, dass der Header-Name genau X-API-Key lautet und der Schlüssel zum selben MCP-Server gehört wie die URL, und formuliere die Server description konkret: Copilot Studio entscheidet anhand der Beschreibung, wann es den Server aufruft. Veröffentliche den Agent nach jeder Änderung erneut; in einem offenen Chat holst du die neue Version mit „start over“.
Nächste Schritte
- Connector-Startseite
- Mit Claude verbinden
- Mit ChatGPT verbinden
- Mit Cursor verbinden
- Mit Gemini verbinden
- Mit Meta Muse verbinden
War dieser Guide hilfreich?