1Password Events su MCP: tentativi di accesso, uso degli elementi ed eventi di audit in qualsiasi agente AI

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → 1Password Events, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

1Password Events

Feed delle attività di un account 1Password Business tramite la 1Password Events API: tentativi di accesso con esito, client e posizione, eventi di uso degli elementi (compilazione, visualizzazione, copia, esportazione, condivisione) ed eventi di audit sulle modifiche a utenti, vault, gruppi e permessi. Solo lettura; non restituisce mai password o altri valori segreti.

Setup

La configurazione richiede circa 5 minuti. Ti servono un account 1Password Business e un proprietario o amministratore che possa configurare un'integrazione Events Reporting.

1. Accedi a 1Password.com e apri Integrations (poi Directory se esistono già altre integrazioni).
2. In Events Reporting scegli il tuo SIEM, oppure Other, dai un nome all'integrazione e seleziona Add Integration.
3. Configura un bearer token: un nome, una scadenza facoltativa (30, 90 o 180 giorni; senza, non scade mai) e gli Events to Report: tentativi di accesso, uso degli elementi, eventi di audit. Seleziona Issue Token e salva il token in 1Password.
4. Incolla il token (un JWT lungo che inizia con eyJ, senza Bearer davanti) in ONEPASSWORD_EVENTS_TOKEN.
5. Imposta ONEPASSWORD_EVENTS_URL sull'host eventi della regione del tuo account: https://events.1password.com (1password.com), https://events.ent.1password.com (ent.1password.com), https://events.1password.ca (1password.ca) o https://events.1password.eu (1password.eu).
6. Installa il connettore ed esegui onepassword_events_introspect: mostra l'uuid del token, quando è stato emesso, l'account e, in features, quali tipi di eventi può leggere.

Solo lettura: i tre strumenti di elenco sono richieste POST solo perché il cursore di paginazione viaggia nel corpo della richiesta; in 1Password non cambia nulla. Non c'è nulla da scrivere, quindi nessuno strumento è disattivato all'installazione.

Nessun valore segreto: gli eventi indicano utenti, vault ed elementi per uuid, con nomi, email, indirizzi IP e posizioni degli utenti, ma non contengono mai password o altri contenuti degli elementi. Per leggere vault ed elementi usa il connettore separato 1Password Connect.

Cosa legge:

• onepassword_events_list_signin_attempts: accessi riusciti e falliti con l'utente (nome, email, uuid), orario, esito (category come success, credentials_failed, mfa_failed, sso_failed, firewall_failed; type come credentials_ok, mfa_ok, password_secret_bad, totp_bad, country_blocked), app client e versione, sistema operativo, indirizzo IP e posizione. Utile per accessi sospetti, MFA fallite o paesi bloccati.
• onepassword_events_list_item_usages: chi ha compilato, visualizzato, copiato, esportato, condiviso o modificato un elemento, o quale integrazione lo ha letto, creato o aggiornato (fill, reveal, secure-copy, export, share, enter-item-edit-mode, select-sso-provider, server-fetch, server-create, server-update), con item_uuid, vault_uuid, used_version, utente, client e posizione. Solo le app 1Password 8.4.0 o successive registrano l'uso degli elementi.
• onepassword_events_list_audit_events: cosa hanno cambiato i membri del team nell'account, per esempio utenti invitati, sospesi o rimossi, accessi ai vault concessi o revocati, gruppi, dispositivi, service account e i loro token, esportazioni. Ogni evento ha action, object_type, l'autore, l'oggetto, la sessione (IP, dispositivo, ora di accesso) e la posizione.

Ogni strumento di elenco richiede la feature corrispondente sul token (signinattempts, itemusages, auditevents); per una feature per cui il token non è stato emesso risponde 401.

Paginazione: la prima chiamata accetta start_time, end_time (RFC 3339, per esempio 2026-10-29T00:00:00Z) e limit (da 1 a 1000, default 100); senza orari restituisce l'ultima ora. Ogni risposta contiene cursor e has_more. Finché has_more è true, l'AI richiama lo stesso strumento solo con cursor. Un cursore resta valido tra una sessione e l'altra, quindi si può conservare per leggere più tardi solo gli eventi nuovi. Per cambiare l'intervallo o la dimensione della pagina, l'AI ricomincia senza cursore.

Formati dei dati: items contiene gli eventi, dal più vecchio. Gli orari sono RFC 3339 in UTC. Gli id sono uuid di 26 caratteri come ETWZJTQCSRFPVOX74KERGHPBTU. country e location.country sono codici paese ISO. action e object_type degli eventi di audit sono codici brevi: grant, revoke, uva (accesso di un utente a un vault), gva (accesso di un gruppo a un vault), sa (service account), satoken (token di un service account).

Limiti: 600 richieste al minuto e 30.000 all'ora per token; un 429 significa attendere che la finestra si azzeri.

Errori comuni: 401 con {"Error":{"Message":"Unauthorized"}} significa token errato, revocato o scaduto, host regionale sbagliato o una feature per cui il token non è stato emesso. 400 significa un orario o un limite non validi. Con 500 riprova dopo una breve attesa e controlla https://status.1password.com.

Il connettore non legge vault, elementi o password, non modifica utenti, vault o permessi e non emette né revoca token Events Reporting.

Prerequisiti: ONEPASSWORD_EVENTS_URL, ONEPASSWORD_EVENTS_TOKEN

Installazione locale del connettore

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Apri http://localhost:3000/connectors/store, scegli 1Password Events e inserisci le variabili elencate nei Prerequisiti.

Tool disponibili

Esempi di prompt

• "Ci sono stati tentativi di accesso falliti al nostro account 1Password nelle ultime 24 ore? Raggruppali per utente e paese."
• "Quali elementi sono stati visualizzati o copiati negli ultimi 7 giorni, e da chi?"
• "Elenca gli eventi di audit di ieri: chi è stato invitato, sospeso o rimosso, e quali permessi sui vault sono cambiati?"
• "Questo mese è stato creato o revocato un token di un service account?"
• "Quali tipi di eventi può leggere il nostro token Events Reporting?"

Prossimi passi

• Collegare a Claude
• Collegare a ChatGPT