Identidad y acceso para agentes
Supabase MCP con Claude: SSO, permisos y baja de usuarios
Desde el 3 de noviembre, Claude puede emitir la aserción de identidad para Supabase MCP. Revisa requisitos, alcance de permisos y baja de usuarios antes de activarlo.
En este artículo
La conexión administrada evita autorizaciones individuales, pero cambia el punto de control de identidad. Define cómo retirar acceso en ambos sistemas antes de habilitarla.
Qué permite la novedad#
Supabase anunció el 3 de noviembre de 2026 que Claude puede emitir la aserción firmada ID-JAG cuando el proveedor de identidad no soporta la extensión MCP correspondiente. Supabase exige una organización Team o Enterprise con SSO; auto-connect de Claude está en beta para Claude Team y Enterprise.
Documentación: Supabase · Claude-issued enterprise-managed auth, 3 November 2026
Qué valida cada sistema#
Claude comprueba pertenencia a su organización y correo de la cuenta. Supabase valida firma, identidad SSO coincidente y autorización del administrador, y emite un token de corta duración con los permisos del miembro. Esta vía no añade por sí sola una comprobación de MFA ni una sesión vigente en el proveedor de identidad.
| Situación | Qué debes comprobar |
|---|---|
| Alta de una persona | Correo e identidad SSO coinciden; el rol es el autorizado. |
| Cambio de rol | El acceso efectivo coincide con el rol esperado en Supabase. |
| Suspensión en el IdP | No asumir que por sí sola corta nuevas aserciones de Claude. |
| Baja definitiva | Retirar a la persona de Claude y Supabase; considerar tokens ya emitidos. |
Documentación: Supabase · Enterprise-Managed Authorization for MCP
Decidir si conviene cambiar de emisor#
Supabase admite un emisor por proveedor SSO. Registrar el de Claude sustituye al del IdP y puede afectar a otras herramientas que lo utilizaban. Si el emisor actual funciona, inventaría sus consumidores antes de cambiarlo; conserva la configuración necesaria para volver al flujo anterior.
Documentación: Supabase · Enterprise-Managed Authorization for MCP
Una comprobación de acceso en staging#
- Usa miembros de prueba identificables y recursos de staging para separar conexión correcta de permisos correctos.
- Prueba una persona con acceso permitido y otra sin pertenencia o identidad coincidente; verifica que la segunda no acceda.
- Comprueba la retirada en los dos sistemas y la vida de los tokens ya emitidos. Documenta quién ejecuta cada paso de la baja.
- Revisa el emisor y las aplicaciones autorizadas después del cambio, y registra cómo restaurar el emisor anterior o revocar al cliente.
Antes de activar el conector, acuerda quién autoriza los cambios y quién retira los accesos; el procedimiento debe cubrir toda la organización.