# Für Administratoren Schalten Sie MCP und die REST-API für Ihre Organisation ein oder aus, und legen Sie fest, wer API-Tokens erstellen und Apps verbinden darf. Diese Seite richtet sich an alle, die Ihre plnnrly-Organisation verwalten. Wer nur einen KI-Assistenten verbinden oder die API aufrufen möchte, ist unter Umständen darauf angewiesen, dass Sie das vorher einschalten. ## Die Seite MCP & API Die Schalter finden Sie in plnnrly unter **Einstellungen › Verwaltung › MCP & API**. Zwei Rechte legen fest, wer die Seite nutzen kann: - Mit **MCP & API ansehen** kann jemand die Seite öffnen und sehen, welche Schalter eingeschaltet sind. - Mit **MCP & API verwalten** kann jemand die Schalter umlegen. Solange Ihre Organisation gesperrt ist, lässt sich auf der Seite nichts ändern. ## Die drei Schalter | Schalter | Standard | Was er bewirkt | | --------------------------------- | --------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **REST-API aktivieren** | Ein | Personen können die REST-API mit ihren eigenen API-Tokens aufrufen, und Apps können Personen per OAuth anmelden. | | **MCP aktivieren** | In neuen Organisationen aus | Personen können einen KI-Assistenten wie Claude oder ChatGPT per Anmeldung verbinden. Der Assistent arbeitet über die REST-API, im Namen der Person, die ihn verbunden hat. | | **Destruktive Aktionen erlauben** | Aus | Ein verbundener KI-Assistent kann alles löschen, was die REST-API löschen kann, im Rahmen der Rechte der Person und erst nach ihrer Bestätigung. Solange der Schalter aus ist, kann ein Assistent lesen, anlegen und ändern, aber nicht löschen. | So hängen die Schalter voneinander ab: - **MCP aktivieren** lässt sich nur einschalten, solange **REST-API aktivieren** eingeschaltet ist, denn KI-Assistenten arbeiten über die REST-API. - Wenn Sie MCP ausschalten, wird auch **Destruktive Aktionen erlauben** ausgeschaltet. Schalten Sie MCP später wieder ein, bleibt es aus. - **Destruktive Aktionen erlauben** gilt nur für KI-Assistenten. Ein persönliches API-Token mit der Berechtigung **Löschen** kann alles löschen, was die Person, der es gehört, löschen darf, unabhängig davon, wie dieser Schalter steht. Apps, die die REST-API mit einer OAuth-Anmeldung aufrufen, können darüber nie löschen. Um einen KI-Assistenten zu verbinden, ist kein zusätzliches Recht nötig. Solange MCP eingeschaltet ist, sieht jede Person in der Organisation den **KI**-Bereich (das Funkel-Symbol in der oberen Leiste) und kann einen Assistenten verbinden. Der Assistent kann nur, was das Konto dieser Person kann. ## Was passiert, wenn ein Schalter aus ist ### REST-API aus - Die REST-API beantwortet jede Anfrage an `/api/v2` mit `404` [endpoint-not-found](https://developers.plnnrly.com/en/docs/api/v2/guides/errors/#endpoint-not-found) und dem Detail „The REST API is not enabled for this organisation.“, auch Anfragen mit einem bereits bestehenden Token. - Apps können Personen nicht mehr per OAuth anmelden. - **API-Zugang** verschwindet aus dem Benutzermenü, sodass niemand Tokens erstellen, erneuern oder widerrufen kann. - MCP wird ebenfalls ausgeschaltet. Schalten Sie die REST-API wieder ein, bleibt MCP aus. - Bestehende Tokens bleiben erhalten und funktionieren wieder, sobald die REST-API eingeschaltet ist, es sei denn, sie sind inzwischen abgelaufen. ### MCP aus - Verbundene KI-Assistenten bekommen `404` mit der Meldung „The MCP server is not enabled for this organisation.“ - Kein KI-Assistent kann sich anmelden, um sich zu verbinden. - Der **KI**-Bereich verschwindet aus der oberen Leiste. ## Wer Tokens erstellen und Apps verbinden darf Das Recht heißt **API-Tokens verwalten**. Wer es hat, kann: - im Benutzermenü **API-Zugang** öffnen und eigene API-Tokens erstellen, erneuern und widerrufen - eine App per OAuth-Anmeldung mit der REST-API verbinden In einer neuen Organisation hat die Rolle **Admin** dieses Recht von Anfang an. Um es einer anderen Rolle zu geben, öffnen Sie die Rolle unter **HRM › Benutzerverwaltung › Rollen**, wechseln zum Tab **Einstellungen** und wählen in der Gruppe **API-Tokens** das Recht **API-Tokens verwalten**. Wenn Sie das Recht entziehen: - Apps, die die Person per OAuth mit der REST-API verbunden hat, werden sofort mit `403` [insufficient-permission](https://developers.plnnrly.com/en/docs/api/v2/guides/errors/#insufficient-permission) abgewiesen. - Die persönlichen API-Tokens der Person funktionieren weiter, bis sie ablaufen. Die Person kann **API-Zugang** nicht mehr öffnen und diese Tokens deshalb weder sehen noch erneuern oder widerrufen. ## Bereiche, die Ihre Organisation nicht nutzt Abrechnung und Iterationen sind optionale Teile von plnnrly. Ohne Abrechnung antwortet jede Operation der Abrechnung mit `404` [endpoint-not-found](https://developers.plnnrly.com/en/docs/api/v2/guides/errors/#endpoint-not-found). Ohne Iterationen antworten auch die Operationen für Abläufe, Ablaufstatus, Ablaufübergänge, Arbeitstypen und Kennzeichnungen mit `404`. Iterationen und Arbeitselemente selbst sind immer verfügbar. Die [Discovery-Anfrage (Englisch)](https://developers.plnnrly.com/en/docs/api/v2/discovery/) lässt weg, was Ihre Organisation nicht hat. [Wie die Daten zusammenhängen (Englisch)](https://developers.plnnrly.com/en/docs/api/v2/guides/data-model/#optional-areas) listet die Ressourcen jedes Bereichs auf. ## Ihre eigene Domain Nutzt Ihre Organisation eine eigene Domain, verwenden Sie genau diese Domain für die REST-API und für MCP. Unter jeder anderen Adresse antwortet die REST-API mit `404`. In plnnrly zeigt der **KI**-Bereich die MCP-Server-URL auf Ihrer Domain, und **API-Zugang** im Benutzermenü zeigt die Basis-URL der REST-API. ## Wenn plnnrly nicht verfügbar ist Während eine Organisation eingerichtet wird, gesperrt oder archiviert ist, antwortet die REST-API mit `503` [tenant-unavailable](https://developers.plnnrly.com/en/docs/api/v2/guides/errors/#tenant-unavailable), und auch der MCP-Server antwortet mit `503`. Beide funktionieren wieder, sobald die Organisation aktiv ist. Hält der Zustand an, wenden Sie sich an den [plnnrly-Support](https://www.plnnrly.com/de/support). ## Siehe auch - [MCP-Übersicht](https://developers.plnnrly.com/de/docs/mcp/) - [Rechte und Sicherheit](https://developers.plnnrly.com/de/docs/mcp/permissions-and-safety/) - [API-Tokens (Englisch)](https://developers.plnnrly.com/en/docs/api/v2/guides/tokens/) - [Authentifizierung (Englisch)](https://developers.plnnrly.com/en/docs/api/v2/guides/authentication/)