Mimecast

Mimecast MCP サーバー

Mimecast のメールセキュリティ向け Model Context Protocol（MCP）サーバーです。AI アシスタントがメッセージの追跡、脅威の調査、メールキューの管理、脅威インテリジェンスデータへのアクセスを行えるようにします。

これは、Claude（または MCP 互換の AI）を Mimecast 環境に接続する Model Context Protocol（MCP） サーバーです。

MSP Claude Plugins エコシステムの一部です — MSP スタック向けの AI 統合機能を拡充するスイートです。MSP によって、MSP のために構築されています。

インストール

npm install @wyre-ai/mimecast-mcp

設定

.env.example をコピーし、以下の変数を設定してください。

変数	必須	説明
MIMECAST_CLIENT_ID	stdio および AUTH_MODE=env の場合	Mimecast API 2.0 のクライアント ID
MIMECAST_CLIENT_SECRET	stdio および AUTH_MODE=env の場合	Mimecast API 2.0 のクライアントシークレット
MIMECAST_REGION	いいえ	テナントのグリッドラベル：us（デフォルト）、eu、de、au、za、ca、offshore、または je。API 2.0 のクライアント認証情報による呼び出しはすべて https://api.services.mimecast.com を使用します。eu-api.mimecast.com などのリージョン別ホストは API 1.0 専用であり、このサーバーの OAuth フローには対応していません。
MCP_TRANSPORT	いいえ	stdio（デフォルト）または http
AUTH_MODE	いいえ	gateway（Docker イメージと Compose のデフォルト）または env。ゲートウェイモードでは各 /mcp リクエストに X-Mimecast-Client-ID と X-Mimecast-Client-Secret が必要で、MIMECAST_* へのフォールバックは行いません。env は S2S 認証が成功した後にのみ、これらの変数を使用します。
CONDUIT_S2S_SECRET	HTTP では必須	サービス間シークレット。HTTP サーバーはこの値が空の場合にエラーを記録し、ゼロ以外の終了コードで終了します。この値がないと Compose は起動しません。実際の値をコミットしないでください。
MCP_ALLOW_INSECURE_DEV	いいえ	CONDUIT_S2S_SECRET なしで HTTP を起動する場合に限り、ローカル開発用として 1 に設定します。プロセスは警告を記録し、X-Gateway-S2S を強制しません。MCP_HTTP_HOST がループバック（127.0.0.1、localhost、または ::1）でない場合、起動は拒否されます。
MCP_HTTP_HOST	いいえ	MCP_TRANSPORT=http の場合のバインドアドレス。デフォルトは 127.0.0.1 です。コンテナイメージでは 0.0.0.0 が設定されています。
MCP_HTTP_PORT	いいえ	HTTP ポート。デフォルトは 8080 です。

/health と /healthz は認証不要のままで、認証情報を読み取りません。stdio トランスポートでは CONDUIT_S2S_SECRET を使用しません。

HTTP 認証

MCP_TRANSPORT=http で CONDUIT_S2S_SECRET が設定されている場合、すべての /mcp リクエストに X-Gateway-S2S（t=<unix seconds>,v1=<hex hmac-sha256 of t=...>）を含める必要があります。ヘッダーがない場合、または無効な場合は 401 を返します。

AUTH_MODE=gateway では、/mcp に X-Mimecast-Client-ID と X-Mimecast-Client-Secret も必要です（X-Mimecast-Region は任意です）。リクエストの認証情報は、これらのヘッダーからのみ取得されます。

使用方法

Claude Desktop での実行

Claude Desktop の claude_desktop_config.json に追加します。

{
  "mcpServers": {
    "mimecast-mcp": {
      "command": "npx",
      "args": ["@wyre-ai/mimecast-mcp"],
      "env": {
        "MIMECAST_CLIENT_ID": "your-mimecast-client-id",
        "MIMECAST_CLIENT_SECRET": "your-mimecast-client-secret",
        "MIMECAST_REGION": "us"
      }
    }
  }
}

Claude Code での実行（CLI）

claude mcp add mimecast-mcp \
  -e MIMECAST_CLIENT_ID=your-value \
  -e MIMECAST_CLIENT_SECRET=your-value \
  -e MIMECAST_REGION=your-value \
  -- npx -y @wyre-ai/mimecast-mcp

Docker

イメージはコンテナ内で 0.0.0.0（MCP_HTTP_HOST）をリッスンし、デフォルトで AUTH_MODE=gateway を使用します。ポートをループバックに公開し、S2S シークレットを渡してください。ゲートウェイモードでは、Mimecast の認証情報はリクエストごとにヘッダーとして渡され、環境変数からは読み取られません。

docker build -t mimecast-mcp .
docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -p 127.0.0.1:8080:8080 \
  mimecast-mcp

Compose は CONDUIT_S2S_SECRET が未設定の場合は起動を拒否し、AUTH_MODE のデフォルトを gateway に設定し、127.0.0.1:8080:8080 を公開します。

CONDUIT_S2S_SECRET=your-s2s-secret docker compose up

単一テナントの HTTP（AUTH_MODE=env）でも S2S シークレットが必要です。その後、MIMECAST_CLIENT_ID と MIMECAST_CLIENT_SECRET を使用します。

docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -e AUTH_MODE=env \
  -e MIMECAST_CLIENT_ID=your-value \
  -e MIMECAST_CLIENT_SECRET=your-value \
  -e MIMECAST_REGION=us \
  -p 127.0.0.1:8080:8080 \
  mimecast-mcp

シークレットを使用しないローカル HTTP は、開発用途に限られます。ループバックにバインドし（MCP_HTTP_HOST が localhost または ::1 の場合を除き、127.0.0.1）、警告を記録します。MCP_HTTP_HOST がループバック以外の場合、起動は終了します。

MCP_TRANSPORT=http MCP_ALLOW_INSECURE_DEV=1 npm run start:http

API アプリケーションの権限

Mimecast Administration Console（Services → API and Platform Integrations）で API 2.0 アプリケーションを作成し、カスタム管理者ロールを割り当てます。このアプリケーションのクライアント ID とクライアントシークレットが、それぞれ MIMECAST_CLIENT_ID と MIMECAST_CLIENT_SECRET です。API 1.0 アプリケーション（HMAC 署名を使用するアプリケーション ID、アプリケーションキー、アクセスキー、シークレットキー）は受け付けません。

各ツールが呼び出す権限のみを付与してください。mimecast_get_queue_status または mimecast_get_threat_incidents で権限エラーが発生する場合は、ロールに以下の行が含まれていません。監査ログまたは TTP ログが空のリストを返す場合は、呼び出しは許可されており、指定期間内に一致するものがありません。

ツール	アプリケーションロールに必要な権限
mimecast_find_message, mimecast_get_message_info	Gateway | Tracking | Read
mimecast_hold_message, mimecast_release_message	Account | Monitoring | Held | Edit
mimecast_get_queue_status	Account | Dashboard | Read
mimecast_get_threat_incidents	Services | Threat Remediation | Read
mimecast_get_ttp_logs (type=url)	Monitoring | URL Protection | Read
mimecast_get_ttp_logs (type=attachment)	Monitoring | Attachment Protection | Read
mimecast_get_ttp_logs (type=impersonation)	Monitoring | Impersonation Protection | Read
mimecast_get_audit_events	Account | Logs | Read

mimecast_get_audit_events には開始時刻と終了時刻も必要です。呼び出し元がこれらを省略した場合、サーバーは過去 7 日間を検索します。Mimecast が監査履歴を保持する期間は 60 日間のみです。また、カテゴリフィルターには account_logs や policy_logs などのコードを指定する必要があります（すべてのログを検索するには categories を省略します）。Basic Administrator には、Mimecast の統合ガイドに記載されている読み取り権限が含まれています。Threat Remediation と Held Edit は別の権限であり、明示的に追加する必要があります。

利用可能なドメイン

メッセージ

メッセージの追跡と調査

キュー

メールキューの管理

脅威

脅威インテリジェンスと検出データ

インタラクティブなメッセージカード（MCP Apps）

mimecast_get_message_info は、MCP Apps ホスト（Claude Desktop/web）でインタラクティブな読み取り専用カードとして表示され、配信状況、送信者／受信者、スパムスコア、拒否の詳細を示します。他のホストでは、通常の JSON 動作は変わりません。カードはデフォルトではニュートラルな外観で、window.__BRAND__ の挿入または MCP_BRAND_* 環境変数（MCP_BRAND_NAME、MCP_BRAND_LOGO_URL、MCP_BRAND_PRIMARY_COLOR、MCP_BRAND_ACCENT_COLOR、MCP_BRAND_BG、MCP_BRAND_TEXT）によってブランド設定が可能です。再ビルドは不要です。

開発

# Clone the repository
git clone https://github.com/WYRE-AI/mimecast-mcp.git
cd mimecast-mcp

# Install dependencies
npm install

# Build
npm run build

# Run tests
npm test

貢献

貢献を歓迎します！CONTRIBUTING.md がある場合はそちらをご覧ください。または、変更について話し合うために issue を作成してください。

ライセンス

Apache License, Version 2.0 の下でライセンスされています。詳細は LICENSE をご覧ください。