Identidade e acesso de agentes
Supabase MCP com Claude: SSO, permissões e desligamento
Desde 3 de novembro, Claude pode emitir asserções de identidade para o Supabase MCP. Confira requisitos, permissões e desligamento antes de habilitar.
Neste artigo
A conexão administrada elimina autorizações individuais, mas muda o ponto de controle de identidade. Defina como retirar o acesso nos dois sistemas antes de habilitar.
O que a novidade permite#
Em 3 de novembro de 2026, o Supabase anunciou que Claude pode emitir asserções ID-JAG assinadas quando o provedor de identidade não suporta a extensão MCP correspondente. Supabase exige Team ou Enterprise com SSO; auto-connect do Claude está em beta para Claude Team e Enterprise.
Documentação: Supabase · Claude-issued enterprise-managed auth, 3 November 2026
O que cada sistema valida#
Claude verifica participação na organização e o e-mail da conta. Supabase valida assinatura, identidade SSO correspondente e autorização administrativa, emitindo um token de curta duração com as permissões do membro. Esse fluxo não verifica por si só MFA nem uma sessão ativa no provedor de identidade.
| Situação | O que verificar |
|---|---|
| Entrada de uma pessoa | E-mail e identidade SSO correspondem; o papel está autorizado. |
| Mudança de papel | O acesso efetivo no Supabase corresponde ao papel esperado. |
| Suspensão no IdP | Não presumir que isso impede novas asserções do Claude. |
| Desligamento | Remover o membro do Claude e do Supabase; considerar tokens já emitidos. |
Documentação: Supabase · Enterprise-Managed Authorization for MCP
Decidir se vale mudar o emissor#
Supabase aceita um emissor por provedor SSO. Registrar o emissor do Claude substitui o do IdP e pode afetar outras ferramentas que o utilizam. Se o emissor atual funciona, identifique seus consumidores antes de mudar e preserve a configuração necessária para restaurar o fluxo anterior.
Documentação: Supabase · Enterprise-Managed Authorization for MCP
Uma verificação de acesso em staging#
- Use membros de teste identificáveis e recursos de staging para separar conexão bem-sucedida de permissões corretas.
- Teste uma pessoa autorizada e outra sem participação ou identidade correspondente; confirme que a segunda não acessa recursos.
- Verifique a remoção nos dois sistemas e a validade de tokens já emitidos. Documente quem executa cada etapa do desligamento.
- Revise o emissor e os aplicativos autorizados após a mudança e registre como restaurar o emissor anterior ou revogar o cliente.
Antes de habilitar o conector, defina quem autoriza mudanças e quem retira acessos; o procedimento deve abranger toda a organização.