Kong AI MCP Proxy 撞上 OpenID Connect
前言 最近在 Kong 3.12 上做一個 PoC，想把公司內部的 RESTful API 透過 ai-mcp-proxy plugin 包成 MCP server，讓 Microsoft Copilot Studio 可以呼叫。同時為了讓呼叫者帶身分過來，在同一個 route 上掛了 openid-connect plugin，搭配 Microsoft Entra ID（原 Azure AD）做驗證。 理論上很單純：Copilot Studio 帶 token，Kong 驗證，通過後轉成對後端 REST API 的呼叫。實際做下去踩了一些雷，趁還沒忘掉趕快記下來。 架構概觀 Copilot Studio │ (Bearer token from Entra ID) ▼ F5 (load balancer) │ ▼ Kong Data Plane (Route /My-MCP) │ ┌─ openid-connect plugin (驗證 Entra ID token) │ └─ ai-mcp-proxy plugin (mode: conversion-listener) ▼ Backend RESTful API (Azure App Service) 401 Invalid Token OpenID Connect plugin 一掛上去，設定大致是這樣： ...