MCP gjennom cplt

Hva det er

Nais MCP leser innloggingen din fra nøkkelringen. cplt kjører serveren på maskinen din, utenfor sandkassen, så Nais-innloggingen aldri kommer inn i sandkassen. Det virker likt i Copilot CLI og OpenCode. GitHub-serveren i OpenCode går gjennom en proxy i cplt som holder gh-tokenet utenfor MCP-trafikken. Tokenet er likevel tilgjengelig i sandkassen på andre måter, for eksempel gjennom gh, se SECURITY.md i cplt. Som standard når agenten bare de lesende verktøyene.

Nais MCP

Du trenger cplt fra 23. oktober 2026 eller nyere på macOS og cplt fra 24. oktober 2026 på Linux (se Plattformer), og Nais CLI 7.0.2 eller nyere. Har du ikke Nais CLI, installerer du den først:

brew install nais/tap/nais

Slå på serveren:

nav-pilot mcp enable io.github.nais/nais-mcp

Er du ikke logget inn, spør nav-pilot om den skal kjøre nais login -n. Trykker du bare Enter, betyr det ja. Har du en eldre Nais CLI, ber nav-pilot deg oppgradere, men slår på serveren likevel.

Sjekk at det virker:

nav-pilot mcp list

Kolonnen LOGIN viser nais: ok når du er logget inn. Andre verdier er nais: logged out, nais: not installed og nais: unknown (timed out), som betyr at sjekken tok for lang tid, ikke at du er logget ut. Står det cplt broker under PATH, kjører cplt serveren. Står det cplt (off here), kan ikke cplt kjøre den på denne maskinen, og linja under tabellen sier hvorfor. Med cplt fra 24. oktober 2026 virker kommandoen fra hvilken som helst mappe. Start en ny økt etter at du har slått serveren på.

Slå den av igjen:

nav-pilot mcp disable io.github.nais/nais-mcp

GitHub i OpenCode

Proxyen krever OpenCode 2. Slå på GitHub-serveren for OpenCode først:

nav-pilot mcp enable io.github.navikt/github-mcp --client opencode

Da kobler cplt serveren gjennom sin egen proxy, med gh-innloggingen din. Du trenger ikke mcp auth. Sjekk at du er logget inn med gh auth status, og start en ny økt. Proxyen slipper bare gjennom lesende verktøy. Detaljene står i Feilsøking.

Figma

Figma går ikke gjennom cplt. Du logger inn i klienten. I OpenCode gjør du det én gang:

opencode mcp auth com.figma/figma-mcp

Begrensninger

• Bare lesende verktøy er slått på som standard. Verktøy som skriver, slår du på selv med --tools eller --all-tools. Det valget er samtykket ditt, og nav-pilot spør ikke i tillegg. Alle verktøyene i Nais MCP leser i dag.
• GraphQL-verktøyet i Nais MCP sender bare spørringer. cplt avviser mutasjoner og dokumenter med mer enn én operasjon.
• cplt avbryter et kall som ikke har fått svar etter 120 sekunder.
• I OpenCode feiler schema_list_queries. Følges opp i nais/cli#817.
• Kjører du Nais MCP i flere økter samtidig, kan flere prosesser fornye en utløpt Nais-innlogging på en gang og i sjeldne tilfeller logge deg ut. Kjør da nais login -n på nytt. Risikoen er teoretisk: vi fant den ved å lese koden til Nais CLI og har ikke sett den skje. Den følges opp i nais/cli#816.
• Ikke alle plattformer er støttet, se Plattformer.

Plattformer

På Linux og WSL2 kjører cplt serveren bare når bubblewrap (bwrap) pakker inn økten, fordi det er bubblewrap som skjuler nøkkelringen for agenten. Uten bubblewrap kjører ikke cplt serveren. Det krever cplt fra 24. oktober 2026 eller nyere. Mangler bubblewrap, installerer cplt doctor --fix det med apt-get (Debian og Ubuntu) eller dnf (Fedora). Starter du cplt med --allow-gpg-signing eller --allow-rootless-docker, er serveren av, fordi begge trenger socketer som cplt skjuler.

Ubuntu 24.04 og nyere

Endringen gir bwrap, og bare den, lov til å lage user namespaces. cplt kan gjøre det for deg:

cplt doctor --fix

cplt viser kommandoene og innholdet i fila og spør Fix now? sudo will ask for your password. [Y/n]. Svarer du ja, kjører den kommandoene med sudo og sjekker på nytt. Den spør bare i en terminal. Uten terminal, med cplt --yes doctor --fix, med CI satt, inne i sandkassen eller med --print-profile kjører den ingenting selv. Da skriver den kommandoene og Not offering to run it (…) med grunnen, og du kjører dem selv. Det samme tilbudet får du når du starter cplt og bubblewrap ikke virker.

Vil du gjøre det for hånd og /etc/apparmor.d/bwrap-userns-restrict finnes, laster du profilen Ubuntu har lagt med:

sudo apparmor_parser -r /etc/apparmor.d/bwrap-userns-restrict

Finnes den ikke, skriver du en egen profil og laster den:

sudo tee /etc/apparmor.d/bwrap >/dev/null <<'EOF'
abi <abi/4.0>,
include <tunables/global>

profile bwrap /usr/bin/bwrap flags=(unconfined) {
  userns,
  include if exists <local/bwrap>
}
EOF
sudo apparmor_parser -r /etc/apparmor.d/bwrap

Nais-innlogging i WSL2

Nais CLI lagrer innloggingen gjennom Secret Service. WSL2 uten skrivebord har ingen slik tjeneste, så du må sette opp en nøkkelring, for eksempel gnome-keyring, før du kjører nais login -n. Gi nøkkelringen et passord. Låser du den opp med tomt passord, lagres nøkkelen til Nais-innloggingen ukryptert på disken. Vi har ikke en testet oppskrift som ber om passordet uten å sende det gjennom et rør eller skrive det i historikken, så følg dokumentasjonen til GNOME Keyring.

nais/cli#815 ber om at Nais CLI kan lagre innloggingen i en fil i stedet.

Feilsøking

Meldingene kommer fra nav-pilot mcp enable, nav-pilot mcp list eller cplt ved oppstart.