Archestra (MCP server) — 사용 사례, 설치 & 라이브 데모

왜 쓰나요

핵심 기능

비공개 MCP 레지스트리 — 조직이 허용하는 서버 선별
게이트웨이: SSO + 토큰 인증으로 단일 URL이 많은 MCP를 전면 처리
도구별 가드레일 (예: 서버가 노출해도 github.delete_repo는 절대 금지)
모든 도구 호출, 프롬프트, 결과의 감사 로그
Docker / Kubernetes에서 자체 호스팅
운영용 웹 관리 UI

라이브 데모

실제 사용 모습

archestra-mcp.replay ▶ 준비됨

0/0

설치

클라이언트 선택

~/Library/Application Support/Claude/claude_desktop_config.json · Windows: %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "archestra-mcp": {
      "command": "npx",
      "args": [
        "-y",
        "archestra"
      ]
    }
  }
}

Claude Desktop → Settings → Developer → Edit Config 열기. 저장 후 앱 재시작.

~/.cursor/mcp.json · .cursor/mcp.json

{
  "mcpServers": {
    "archestra-mcp": {
      "command": "npx",
      "args": [
        "-y",
        "archestra"
      ]
    }
  }
}

Cursor는 Claude Desktop과 동일한 mcpServers 스키마 사용. 프로젝트 설정이 전역보다 우선.

VS Code → Cline → MCP Servers → Edit

{
  "mcpServers": {
    "archestra-mcp": {
      "command": "npx",
      "args": [
        "-y",
        "archestra"
      ]
    }
  }
}

Cline 사이드바의 MCP Servers 아이콘 클릭 후 "Edit Configuration" 선택.

~/.codeium/windsurf/mcp_config.json

{
  "mcpServers": {
    "archestra-mcp": {
      "command": "npx",
      "args": [
        "-y",
        "archestra"
      ]
    }
  }
}

Claude Desktop과 같은 형식. Windsurf 재시작 후 적용.

~/.continue/config.json

{
  "mcpServers": [
    {
      "name": "archestra-mcp",
      "command": "npx",
      "args": [
        "-y",
        "archestra"
      ]
    }
  ]
}

Continue는 맵이 아닌 서버 오브젝트 배열 사용.

~/.config/zed/settings.json

{
  "context_servers": {
    "archestra-mcp": {
      "command": {
        "path": "npx",
        "args": [
          "-y",
          "archestra"
        ]
      }
    }
  }
}

context_servers에 추가. 저장 시 Zed가 핫 리로드.

claude mcp add archestra-mcp -- npx -y archestra

한 줄 명령. claude mcp list로 확인, claude mcp remove로 제거.

사용 사례

실전 활용법: Archestra

모든 개발자에게 API 키를 나눠주지 않고 조직에 MCP 도입

👤 플랫폼 / IT / 보안 팀 ⏱ ~90 min advanced

언제 쓸까: 개발자들이 MCP를 원하지만 200개의 PAT이 노트북에 떠다닐 수 없을 때.

사전 조건

호스트 (VM 또는 k8s)와 SSO 제공자 (Okta/Entra/Google) — 표준 인프라 — Archestra가 자체 postgres + redis 포함

흐름

게이트웨이 배포

Walk me through deploying Archestra via Docker Compose. Bind to https://mcp.example.com and configure Okta OIDC.✓ 복사됨

→ Compose 파일 작성됨; 게이트웨이가 URL에서 로그인 리다이렉트로 응답
서버 추가

Add github, postgres, and slack MCPs to the registry. Store creds in Archestra vault, not env vars.✓ 복사됨

→ 세 서버 목록; 서버별 자격증명 암호화 저장
사용자 프로비저닝

Give engineering group access to github (read-only) and postgres (read-only). No slack.✓ 복사됨

→ 접근 정책 적용됨; 개발자 claude config에서 스모크 테스트 통과

결과: 전체 조직이 하나의 MCP URL에 접속; 각 역할이 호출할 수 있는 도구를 제어.

함정

SSO 토큰 만료로 활성 Claude 세션 중단 — OIDC에서 refresh-token 모드를 설정하세요; Archestra가 투명하게 갱신합니다

클라이언트 설정이 아닌 게이트웨이에서 위험한 도구 차단

👤 보안/컴플라이언스 팀 ⏱ ~30 min intermediate

언제 쓸까: 일부 MCP가 절대 노출하고 싶지 않은 파괴적 도구(저장소 삭제, 테이블 삭제)를 제공할 때.

흐름

도구 인벤토리

List every tool exposed across registered MCPs.✓ 복사됨

→ 수백 개 항목의 도구 평면 목록
정책 정의

Block: github.delete_repo, postgres.execute_ddl, slack.delete_message. Allow everything else.✓ 복사됨

→ 정책 생성됨; 영향받는 도구가 차단으로 표시
검증

Have a Claude session try github.delete_repo. Should fail at the gateway with a clear message.✓ 복사됨

→ 호출 거부됨; 감사 로그 항목

결과: CISO에게 '이 도구들은 경계에서 호출될 수 없다'고 보여줄 수 있는 정책.

함정

업그레이드 시 MCP 서버가 새 도구 추가 — Archestra가 레지스트리 갱신 시 '새 도구 감지'를 표시합니다 — 허용 전 검토

모든 MCP 호출에 대한 사용자별 감사 추적 확보

👤 운영팀, 감사팀, 사후 분석 ⏱ ~15 min intermediate

언제 쓸까: 프로덕션에서 이상한 일이 발생했고 어떤 에이전트가 어떤 도구를 실행했는지 알아야 할 때.

흐름

시간대 찾기

Pull all calls between 14:00 and 15:30 today. Group by user.✓ 복사됨

→ 사용자별 표; 각 도구 + 인수 + 결과 미리보기
이상 징후 드릴다운

Anything that looks unusual — delete operations, off-hour activity?✓ 복사됨

→ 의심스러운 항목 강조 표시
내보내기

Export the slice as CSV for compliance.✓ 복사됨

→ CSV 작성됨

결과: 재발명 없이 방어 가능한 감사 추적.

함정

기본 보존 기간은 30일 — 설정으로 보존 기간을 늘리거나 SIEM으로 스트리밍하세요

함께 쓰기: filesystem

조합

다른 MCP와 조합해 10배 효율

archestra-mcp + filesystem

컴플라이언스 아카이브용 감사 슬라이스 내보내기

archestra-mcp + github

인프라 설정 추적 (Archestra 설정-코드화)

도구

이 MCP가 노출하는 것

도구	입력	언제 호출	비용
list_servers	(none)	사용 가능한 항목 확인	free
list_tools	server?	모든 서버의 도구를 표시	free
audit_query	from, to, user?, server?, tool?	포렌식 / 컴플라이언스	1 DB query
policy_set	scope, allow[], deny[]	역할별/도구별 정책 조정	free

비용 및 제한

운영 비용

API 쿼터: 자체 호스팅; 인프라에 따라 결정
호출당 토큰: 호출당 소량의 오버헤드 추가
금액: 무료 OSS; 상업적 지원 있음
팁: 감사 보존 기간을 30~90일로 제한하고 오래된 것은 저렴한 장기 저장을 위해 S3로 스트리밍하세요

보안

권한, 시크릿, 파급범위

최소 스코프: 설정을 위한 관리자 최종 사용자는 SSO 스코프만 사용

자격 증명 저장: Archestra Vault (저장 시 암호화); 사용자 클라이언트에 원시 env 절대 금지

데이터 외부 송신: 인프라 내에 유지; 등록한 MCP 서버로만 아웃바운드

절대 부여 금지: 일반 개발자에게 관리자 권한

관리자 권한이 있으면 vault 비밀을 읽을 수 있습니다 — 해당 역할을 프로덕션 DB 접근처럼 취급하세요

문제 해결

자주 발생하는 오류와 해결

OIDC 리다이렉트 루프

redirect_uri에 후행 슬래시가 포함되어 있는지 확인하세요; 일부 IdP가 엄격합니다

확인: IdP 시작 SSO로 테스트 — 작동하면 redirect URI가 문제

예상치 못하게 도구 차단

정책 우선순위 확인 — deny 규칙이 allow보다 우선합니다

확인: `policy_test`를 역할 + 도구로 사용하여 해결된 결정 확인

서버에 연결할 수 없음

등록된 MCP의 stdio/http 전송 확인 — Archestra가 기본 오류를 로그에 기록합니다

확인: 동일한 자격증명으로 MCP를 단독으로 실행

대안

Archestra 다른 것과 비교

대안	언제 쓰나	단점/장점
MCPJungle	엔터프라이즈 기능 없이 더 가벼운 '단일 엔드포인트 뒤 모든 서버'를 원할 때	MCPJungle이 더 단순하지만 Archestra는 정책 + 감사 + SSO를 추가합니다
samanhappy/mcphub	좋은 UI가 있는 자체 호스팅 OSS 허브로 충분할 때	MCPHub는 개발자 중심이지만 Archestra는 엔터프라이즈 거버넌스를 목표로 합니다

Archestra