当您使用用户委托访问权限将AI客户端连接到Atlas时， AI客户端会使用您自己的Atlas身份代表您进行操作。本页介绍授权的工作原理、 AI客户端可以访问和不能访问权限的内容，以及您的凭证如何受到保护。
要学习；了解组织所有者如何启用访问权限、配置访问权限模式和审核AI客户端活动，请参阅管理AI客户端对组织的访问。
远程 MCP服务器实施模型上下文协议规范的2025 -11 -25 版本。作为协议的一部分，用户委托访问权限使用 OAuth.2 1授权代码流程以及代码交换证明密钥(PKCE)。
身份和权限
AI客户端使用您现有的Atlas角色，以您的Atlas角色运行。 AI客户端不能超出您已拥有的权限。如果您的角色不允许执行某项动作，则AI客户端无法代表您执行该动作。
您不能委派部分权限。当您授权AI客户端时，它会使用您的全部现有权限，并取决于您的组织所有者配置的访问权限模式。要学习；了解访问权限模式，请参阅AI客户端访问模式。
Atlas在Atlas 审核日志中将AI客户端执行的所有操作归因于您。组织Atlas 审核日志事件记录您的用户ID和发出请求的AI客户端的ID 。要学习；了解Atlas如何在Atlas 审核日志中记录AI客户端活动，请参阅管理AI客户端对组织的访问。
凭证隔离
Atlas从不与AI客户端共享您的凭证。在连接流程中，您可以直接在浏览器中向Atlas进行身份验证。 AI客户端永远不会收到您的Atlas密码或长期凭证。
授权连接后， Atlas会管理该连接使用的令牌。令牌刷新是自动进行的。您无需管理连接字符串或密钥。
数据平面连接隔离
为了连接到您的数据， Atlas使用带有您个人身份的短期凭证。 Atlas仅为数据平面连接创建这些凭证。
数据库连接详细信息永远不会透露给AI客户端。 AI客户端仅通过其配置的访问权限模式下可用的工具与数据进行交互。
AI客户端连接集群的能力取决于您自己的Atlas权限。要学习；了解哪些Atlas角色通过AI客户端接收数据库访问权限，请参阅用户角色和数据库访问权限。
撤销访问权限还会在同一时间轴上结束数据平面访问权限。 AI客户端必须提供有效的访问权限令牌才能调用任何工具。当访问权限令牌过期且刷新令牌不再有效时， AI客户端将无法访问您的数据，即使其数据库凭证尚未过期。
访问权限生命周期和撤销
无论活动如何，代表您的AI客户端的访问权限将在 7 天不活动后结束，或者从您授予访问权限之日起 30 天结束。访问权限结束后，您必须再次进行身份验证，才能重新连接AI客户端。组织所有者可以缩短组织的最大令牌生命周期。
您可以随时从Atlas用户界面撤销AI客户端的访问权限。撤销访问权限会使AI客户端的刷新令牌失效，但客户端的当前访问权限令牌仍然有效，直到其过期（最多 10 分钟后）。当组织所有者为组织禁用AI客户端访问权限时，控制平面访问权限会立即终止，因为Atlas在每次管理API调用时检查是否启用了访问权限。