Mastra Studio erhält eigenes SSO, getrennt von der Server-Authentifizierung

Studio-Zugriff und Server-Zugriff trennen

Laut Mastra wollen Teams die Authentifizierung für den Mastra-Server und für Studio oft unterschiedlich behandeln. Externe Nutzer eines Agenten brauchen in der Regel Zugriff auf den Server, Teammitglieder dagegen auf Studio. Die neue Funktion soll diese Trennung einfacher einrichtbar machen.

Bisher ließ sich SSO auf dem Server konfigurieren, und Studio übernahm diese Einstellung. Eine eigene SSO-Rechteverwaltung für Studio gab es nach Angaben des Unternehmens nicht.

So funktioniert die Konfiguration

Um den standardmäßigen Plattform-Login durch einen eigenen Provider zu ersetzen, setzen Nutzer MASTRA_PLATFORM_STUDIO_AUTH=disabled. Studio verwendet dann den in studio.auth definierten Provider.

Mastra hat eine Auth-Matrix veröffentlicht, die beschreibt, wie jede Kombination der Einstellungen Studio auf der Mastra-Plattform schützt:

• Ist MASTRA_PLATFORM_STUDIO_AUTH nicht gesetzt, wird der Plattform-Login verwendet, unabhängig von den anderen Einstellungen.
• Ist der Wert disabled und studio.auth gesetzt, nutzt der Studio-Login studio.auth.
• Ist der Wert disabled, studio.auth nicht gesetzt und server.auth gesetzt, nutzt der Studio-Login server.auth.
• Ist der Wert disabled und weder studio.auth noch server.auth gesetzt, ist Studio öffentlich zugänglich.

Mastra warnt: Wer den Plattform-Login deaktiviert, ohne studio.auth oder server.auth zu konfigurieren, macht Studio öffentlich zugänglich.

Einstieg mit WorkOS

Die Ankündigung erklärt die Einrichtung am Beispiel von WorkOS. Zuerst wird das Provider-Paket mit npm install @mastra/auth-workos@latest installiert. Die Funktion setzt @mastra/[email protected] oder neuer voraus, die Unterstützung wurde mit PR #17722 ergänzt.

Anschließend wird der Provider in der Mastra-Konfiguration unter studio.auth eingetragen, zum Beispiel studio: { auth: new MastraAuthWorkos() }. Die Einstellung server.auth bleibt davon getrennt und schützt weiterhin die Server-Endpunkte.

Zuletzt kommen die Zugangsdaten in die .env-Datei: WORKOS_API_KEY, WORKOS_CLIENT_ID, WORKOS_REDIRECT_URI und WORKOS_COOKIE_PASSWORD, dazu MASTRA_PLATFORM_STUDIO_AUTH mit dem Wert disabled. Für alle Konfigurationsoptionen verweist Mastra auf die Dokumentationsseiten zu Bring your own Auth, Studio Auth, zur Auth-Übersicht und zu WorkOS.

Was das für Teams bedeutet

Für Teams, die Agenten auf Mastra betreiben, ermöglicht die Änderung, dass interne Mitarbeiter sich mit einem bereits genutzten Identity-Provider bei Studio anmelden, während der Server für externe Nutzer eine andere Authentifizierung beibehalten kann. Teams, die den Plattform-Login deaktivieren, sollten sicherstellen, dass mindestens studio.auth oder server.auth konfiguriert ist, da andernfalls Studio offen zugänglich ist.