Пропустите установку. Заработает меньше чем за 2 минуты.
Начните бесплатный период на cloud.anythingmcp.com, добавьте WorkOS одним кликом и направьте свой ИИ-клиент (Claude, ChatGPT, Copilot или Cursor) на сгенерированный MCP-эндпоинт. Без Docker, без git clone, без опыта разработки.
Кратко
WorkOS API для B2B-идентификации в одном окружении: организации и их домены, пользователи AuthKit, членства, приглашения и сессии, SSO-подключения, каталоги, пользователи и группы Directory Sync, экспорт Audit Logs, поток событий, роли и права RBAC. Создаёт и обновляет организации, пользователей, членства и приглашения; удаление и отзыв при установке отключены.
Попробуй спросить
Примеры промптов для WorkOS
Кликни по промпту — он скопируется. Вставь в Claude, ChatGPT, Cursor, Gemini, Copilot или OpenClaw и запусти через этот коннектор.
Claude — это AI, он может ошибаться. Проверяйте ответы.
💡 Без установки? Используйте cloud.anythingmcp.com напрямую. Войдите, нажмите Connectors → WorkOS, вставьте учётные данные, создайте MCP API key, и готово. Без Docker, без
git clone, без локального сервера.
WorkOS + Microsoft Copilot
WorkOS API для B2B-идентификации в одном окружении: организации и их домены, пользователи AuthKit, членства, приглашения и сессии, SSO-подключения, каталоги, пользователи и группы Directory Sync, экспорт Audit Logs, поток событий, роли и права RBAC. Создаёт и обновляет организации, пользователей, членства и приглашения; удаление и отзыв при установке отключены.
Предварительные требования
Полные инструкции по настройке встроены в коннектор (видны в магазине при выборе коннектора). Требуемые переменные окружения:
WORKOS_API_KEY
Шаг 1 — Получите учётные данные
Настройка занимает около 2 минут.
- Откройте https://dashboard.workos.com, выберите окружение (Sandbox или Production) в верхней панели и откройте API Keys.
- Создайте секретный ключ (
sk_..., показывается один раз) и вставьте его вWORKOS_API_KEYбез пробелов и без префиксаBearer. - Установите коннектор и запустите
workos_list_organizations: он покажет организации окружения и подтвердит ключ.
Ключ принадлежит одному окружению и даёт полный доступ к его API: у ключей WorkOS нет scopes. Начните с ключа Sandbox и используйте ключ Production, только когда ИИ должен работать с реальными данными.
Персональные и чувствительные данные: ключ открывает данные идентификации всех организаций окружения, а ИИ читает всё, что возвращает инструмент: имена и адреса email, идентичности входа, IP-адреса и user agent сессий, пользователей каталогов с должностями, метаданные и id клиентов Stripe у организаций, содержимое журналов аудита. workos_get_directory_user и workos_get_directory_group возвращают сырые атрибуты провайдера полностью, а в них могут быть телефоны, руководитель, отдел и табельные номера; инструменты списков их опускают. ИИ передаёт только то, что нужно для задачи.
Секретные значения: коннектор никогда не возвращает API-ключ. Из ответов о приглашениях удалены token и accept_invitation_url, потому что по этой ссылке в организацию может войти любой, у кого она есть. workos_get_audit_log_export возвращает короткоживущую ссылку на скачивание CSV (url); ИИ обращается с ней как с паролем и никуда больше её не вставляет.
Организации и домены: workos_list_organizations (фильтр по тексту имени или домену), workos_get_organization, workos_get_organization_by_external_id, workos_create_organization и workos_update_organization. workos_create_organization_domain добавляет домен в статусе ожидания с DNS-записью TXT (verification_prefix, verification_token), которую публикует владелец домена; затем workos_verify_organization_domain запускает проверку, а workos_get_organization_domain показывает её состояние.
Пользователи, членства и роли: workos_list_users (по email или organization_id), workos_get_user, workos_get_user_by_external_id, workos_create_user (без пароля; человек входит через Magic Auth, вход через соцсети, SSO или приглашение) и workos_update_user; провайдеры входа через workos_list_user_identities, сессии через workos_list_user_sessions. Членства: workos_list_organization_memberships, workos_get_organization_membership, workos_create_organization_membership, workos_update_organization_membership для смены роли, а также workos_deactivate_organization_membership и workos_reactivate_organization_membership, чтобы заблокировать и вернуть доступ. Slug ролей берутся из workos_list_roles, workos_get_role и workos_list_organization_roles (свои роли начинаются с org-), права из workos_list_permissions.
Приглашения: workos_list_invitations, workos_get_invitation, workos_send_invitation (письмо отправляет сам WorkOS) и workos_resend_invitation.
SSO и Directory Sync: workos_list_connections и workos_get_connection показывают тип подключения и state (active означает, что пользователи могут входить). workos_list_directories, workos_get_directory, workos_list_directory_users (нужен directory или group), workos_get_directory_user, workos_list_directory_groups (нужен directory или user) и workos_get_directory_group читают синхронизированных пользователей и группы; workos_sync_directory сразу ставит синхронизацию в очередь.
Audit Logs и события: workos_list_audit_log_actions и workos_list_audit_log_schemas показывают, что записывается. workos_create_audit_log_export запускает экспорт в CSV за период (событий он не пишет), а workos_get_audit_log_export сообщает о его ходе, пока state не станет ready; workos_get_audit_log_retention говорит, сколько дней хранятся события. workos_list_events читает поток событий по типам (user.created, organization_membership.updated, dsync.user.created, connection.activated и другие) с range_start и range_end; order: asc проигрывает их по порядку. API хранит события за 90 дней, один вызов охватывает не больше 30 дней.
Обновления: workos_update_organization и workos_update_user меняют только переданные поля, но domain_data и metadata заменяют сохранённое значение, поэтому ИИ отправляет полный список или объект. Смена email пользователя сбрасывает email_verified в false. Новая роль членства заменяет текущую.
Отключены при установке: workos_delete_organization, workos_delete_organization_domain, workos_delete_user, workos_delete_organization_membership, workos_revoke_invitation, workos_revoke_session и workos_create_audit_log_event. Их нельзя отменить (события журнала аудита нельзя удалить после записи), поэтому администратор рабочего пространства включает их, когда это нужно команде.
Форматы данных: id имеют префикс типа (org_, org_domain_, user_, om_, invitation_, session_, conn_, directory_, directory_user_, directory_group_, audit_log_export_, event_). Отметки времени в ISO 8601, UTC. Списки приходят в виде {"object": "list", "data": [...], "list_metadata": {...}}. Значения metadata это строки.
Постраничный вывод: списки по умолчанию возвращают 10 элементов, с limit до 100, начиная с новых. Для следующей страницы ИИ передаёт list_metadata.after как after и останавливается, когда оно равно null; workos_list_events листается так же.
Ограничения: 6 000 запросов в минуту на ключ; AuthKit 1 000 чтений и 500 записей за 10 секунд; пользователи каталогов 4 запроса в секунду на каталог; удаление организаций 50 в минуту. Письма-приглашения учитываются в лимитах отправки email у WorkOS.
Частые ошибки: 401 означает неверный или отозванный ключ. 403 означает, что ключу это не разрешено или функция не включена для окружения. 404 означает неизвестный id или id из другого окружения. 400 или 422 означает неверное поле, которое названо в теле ответа. 429 означает ограничение частоты: подождите и повторите один раз.
Коннектор не настраивает SSO-подключения, брендинг AuthKit, redirect URI, Vault, Pipes и API-ключи, не задаёт пароли и никогда ни за кого не входит.
Шаг 2 — Установите адаптер
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
Шаг 3 — Добавьте коннектор в Microsoft Copilot
URL вашего сервера: в AnythingMCP откройте MCP Servers → сервер, на котором находится этот коннектор, и скопируйте его URL (
https://cloud.anythingmcp.com/mcp/…). Используйте его везде, где в этом руководстве указаноYOUR_SERVER_ID.
Microsoft Copilot использует MCP-серверы через агентов, созданных в Copilot Studio: ты добавляешь AnythingMCP в агента как инструмент, а затем публикуешь агента в Microsoft 365 Copilot и Teams. Copilot Studio подключается из облака Microsoft по Streamable HTTP, который AnythingMCP поддерживает.
- В Copilot Studio открой своего агента (или создай нового), перейди в Tools и выбери Add a tool → New tool → Model Context Protocol.
- Укажи Server name (например,
AnythingMCP), Server description, которое объясняет, что делает коннектор, и Server URLhttps://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. По описанию Copilot Studio решает, когда вызывать сервер. - В аутентификации выбери API key, установи Type в Header, укажи имя заголовка
X-API-Keyи нажми Create. - В окне Add tool выбери Create a new connection, вставь MCP API-ключ из AnythingMCP (MCP Servers → твой сервер → API keys) и нажми Add to agent.
- Проверь в панели Test агента: попроси о том, для чего нужны инструменты
WorkOS. - Нажми Publish, затем Channels → Microsoft 365 and Microsoft Teams, оставь включённым Make agent available in Microsoft Copilot и нажми Add channel. See agent in Teams установит агента для тебя; в Microsoft 365 Copilot введи @ и выбери агента.
Хочешь, чтобы каждый входил под своей учётной записью? Вместо API-ключа выбери OAuth 2.0 → Dynamic discovery: каждый пользователь войдёт в AnythingMCP при первом вызове агентом.
Размещаешь сам? Используй публичный HTTPS-адрес своего экземпляра вместо https://cloud.anythingmcp.com. Copilot Studio подключается из облака Microsoft, поэтому localhost не подойдёт.
Доступные инструменты
| Tool | What it does |
|---|---|
workos_list_organizations | List organizations (the customer companies of this WorkOS environment), newest first: id, name, external_id, domains with their… |
workos_get_organization | One organization by id: name, domains (each with id, state and verification strategy), external_id, stripe_customer_id, metadata and… |
workos_get_organization_by_external_id | One organization by the external_id your own application stored on it |
workos_create_organization | Create an organization |
workos_update_organization | Update an organization: name, domains (domain_data replaces the whole list), external_id, Stripe customer id, metadata or the… |
workos_delete_organization | Permanently delete an organization together with its SSO connections and directories |
workos_get_organization_domain | One organization domain: domain name, state (pending, verified, failed, legacy_verified), verification strategy (dns or manual), the DNS… |
workos_create_organization_domain | Add a domain to an organization |
workos_verify_organization_domain | Start DNS verification of a pending organization domain after its TXT record was published |
workos_delete_organization_domain | Remove a domain from its organization |
workos_list_users | List AuthKit users of the environment, newest first: id, email, email_verified, first and last name, profile picture URL, external_id… |
workos_get_user | One AuthKit user by id: email, verification state, names, external_id, metadata, locale and last sign-in time |
workos_get_user_by_external_id | One AuthKit user by the external_id your own application stored on it |
workos_create_user | Create an AuthKit user without a password; the person signs in with a method enabled in the environment (Magic Auth, social or SSO) or… |
workos_update_user | Update an AuthKit user: name, email (resets email_verified to false), email_verified, external_id, metadata or locale |
workos_delete_user | Permanently delete an AuthKit user with their memberships, identities and sessions |
workos_list_user_identities | The sign-in identities linked to a user: provider (e.g |
workos_list_user_sessions | A user's AuthKit sessions, newest first: id, status, auth_method, organization_id, ip_address, user_agent, impersonator, expires_at and… |
workos_revoke_session | End one AuthKit session (sign the user out of that device) |
workos_list_organization_memberships | List organization memberships (which user belongs to which organization, with role(s) and status active, inactive or pending) |
workos_get_organization_membership | One organization membership: user, organization, role(s), status, whether a directory manages it, and IdP custom attributes |
workos_create_organization_membership | Add an existing AuthKit user to an organization with one role (role_slug) or several (role_slugs) |
workos_update_organization_membership | Change the role(s) of an organization membership; the new role replaces the current one |
workos_deactivate_organization_membership | Deactivate a membership: the user keeps the account and the membership record but can no longer sign in to that organization |
workos_reactivate_organization_membership | Reactivate an inactive membership, with its previous role(s) |
workos_delete_organization_membership | Permanently remove a user from an organization |
workos_list_invitations | List invitations, newest first: email, state (pending, accepted, expired, revoked), organization, role, inviter, expires_at |
workos_get_invitation | One invitation by id with its state and expiry, without the token and accept link |
workos_send_invitation | Invite someone by email, optionally into an organization with a role |
workos_resend_invitation | Send the email of a pending invitation again, optionally in another language |
workos_revoke_invitation | Revoke a pending invitation so its link stops working |
workos_list_connections | List SSO connections, newest first: id, name, organization_id, connection_type (OktaSAML, AzureSAML, GoogleOAuth, GenericOIDC, ...), state… |
workos_get_connection | One SSO connection by id: connection type, state, organization and domains |
workos_list_directories | List Directory Sync directories (SCIM, Entra ID, Google Workspace, Okta, BambooHR, ...), newest first: id, name, type, state (linked… |
workos_get_directory | One directory: type, state, organization, domain and user and group counts |
workos_sync_directory | Ask WorkOS to sync a directory from its provider now |
workos_list_directory_users | List users synced from a directory or a directory group: name, emails, username, job title, state (active, suspended, inactive), role(s)… |
workos_get_directory_user | One directory user with everything the provider sent, including raw_attributes (can hold phone numbers, manager, department, employee ids) |
workos_list_directory_groups | List groups synced from a directory, or the groups of one directory user: id, name, idp_id. raw_attributes are left out |
workos_get_directory_group | One directory group by id: name, idp_id, directory, organization and the provider's raw_attributes |
workos_list_audit_log_actions | List the Audit Logs actions configured in the environment (e.g. user.signed_in, document.updated) with their latest schema |
workos_list_audit_log_schemas | List the schema versions of one Audit Logs action: allowed target types and the actor, target and metadata JSON schemas |
workos_create_audit_log_event | Write an event into an organization's audit log |
workos_create_audit_log_export | Start a CSV export of an organization's audit log events for a time range, optionally filtered by actions, actors and target types |
workos_get_audit_log_export | State of an audit log export (pending, ready, error) |
workos_get_audit_log_retention | How many days an organization's audit log events are kept (retention_period_in_days) |
workos_list_events | Read the environment's event stream (what happened in WorkOS and at the connected identity and directory providers): id, event type… |
workos_list_roles | List the environment roles (RBAC) with slug, name, description, permissions and type, the roles every organization starts with |
workos_get_role | One environment role by slug: name, description, type and its permission slugs |
workos_list_organization_roles | All roles available in one organization: the environment roles plus its own custom roles (slugs starting with org-), with permissions |
workos_list_permissions | List the RBAC permissions defined in the environment: slug, name, description |
Примеры запросов
- «У каких организаций SSO-подключение ещё не активно?»
- «Перечисли участников организации Acme Corp с ролями и статусом.»
- «Пригласи [email protected] в организацию Acme Corp с ролью admin.»
- «Какие каталоги находятся в состоянии invalid_credentials и к каким организациям они относятся?»
- «Экспортируй журнал аудита Acme Corp за октябрь в файл CSV.»
FAQ
Для какого Copilot это руководство? Для Microsoft 365 Copilot на работе — через агентов Copilot Studio. В приложении Microsoft Copilot для личных аккаунтов добавить свой MCP-сервер нельзя.
Что нужно? Рабочий аккаунт с доступом к Copilot Studio (лицензия или пробная версия), чтобы создать агента. Тем, кто будет пользоваться им в Microsoft 365 Copilot или Teams, нужен доступ к агенту: поделись им или попроси администратора опубликовать его для организации. Если в организации действуют политики данных для коннекторов Power Platform, они распространяются и на MCP-серверы.
Агент не вызывает инструменты. Проверь, что имя заголовка — ровно X-API-Key, а ключ относится к тому же MCP-серверу, что и URL, и сделай Server description конкретным: по нему Copilot Studio решает, когда вызывать сервер. После каждого изменения опубликуй агента заново; в открытом чате введи «start over», чтобы перейти на новую версию.
Следующие шаги
- Страница коннектора
- Подключить к Claude
- Подключить к ChatGPT
- Подключить к Cursor
- Подключить к Gemini
- Подключить к Meta Muse
Это руководство помогло?