`npx managed-mcp-doctor` 로 도는 이 CLI 는 `managed-settings.json` 과 `managed-settings.d/` 안의 조각 설정 파일, 윈도우 레지스트리까지 훑어 허용 목록이 걸러 내지 못하는 회사 배포 MCP 서버를 가장 심각한 등급으로 표시하고, JSON·SARIF 2.1.0 으로 뽑아 CI 검사에 걸 수 있게 해 줘요. 9월 2일 나온 클로드 코드 v2.1.259 가 `allowedMcpServers` 를 사용자가 직접 추가한 서버에만 걸리게 바꾸고 회사가 모든 사용자에게 HTTP·SSE MCP 서버를 내려보내는 `managedMcpServers` 를 새로 넣어서 생긴 일인데, 닷새가 지난 지금도 공식 MCP 접근 통제 문서는 '허용·차단 목록은 관리 서버에도 적용된다'고 적어 두고 있고 `managedMcpServers` 는 공식 설정 참조 목록에 아예 없어요. 저장소는 9월 6일에 만들어져 커밋이 3개, 별과 포크가 0개고 npm 에도 2.0.0 한 판만 올라와 있어요.
- MCP
- Model Context Protocol. 에이전트를 외부 도구·데이터에 붙이는 표준 규약
- CLI
- 터미널에 명령을 입력해 쓰는 프로그램
- SARIF
- 정적 분석 결과를 담는 표준 JSON 형식. 깃허브 코드 스캐닝 같은 검사 화면이 그대로 읽어 들인다
- SSE
- Server-Sent Events. 서버가 연결을 열어 둔 채 클라이언트 쪽으로 데이터를 계속 흘려보내는 방식
사내에 클로드 코드를 깔아 두고 `allowedMcpServers` 로 서버를 걸러 왔다면, 2.1.259 이후로 판올림한 기계에서 막아 뒀던 관리 서버가 다시 붙었는지부터 확인하고 `deniedMcpServers` 로 옮기세요. 도구를 쓰더라도 읽기 전용으로만 돌리는 게 좋아요. `--fix --write` 는 `managed-settings.d/` 에 설정 파일을 직접 쓰는데, 만든 지 하루 된 패키지에 관리 설정 쓰기를 맡기는 셈이거든요.
- 이 도구가 근거로 삼은 변경 (1차 자료) 9월 2일 22시 33분에 올라온 v2.1.259 노트에 "`allowedMcpServers` 를 사용자가 추가한 서버만 관장하도록 바꿨다, 허용 목록이 걸러 내던 `managed-mcp.json` 서버가 판올림하면 로드되니 `deniedMcpServers` 로 막아라"와 "`managedMcpServers` 관리 설정을 추가해 조직이 모든 사용자에게 HTTP·SSE 서버를 줄 수 있게 했다, 명령을 실행하는 항목은 건너뛴다"가 나란히 적혀 있어요. 도구가 내건 주장은 이 두 줄과 맞아요. GitHub
- 공식 문서는 닷새째 반대로 적혀 있어요 MCP 접근 통제 문서는 9월 7일 지금도 "`allowedMcpServers` 와 `deniedMcpServers` 는 관리 서버에도 적용되므로, 통과하지 못한 관리 서버는 로드되지 않는다"고 적어 뒀어요. 맨 아래 설정 요약 표에 실린 건 `managed-mcp.json`·`allowedMcpServers`·`deniedMcpServers`·`allowManagedMcpServersOnly`·`allowAllClaudeAiMcps` 다섯 개뿐이고 `managedMcpServers` 는 없어요. Claude Code Docs
- 설정 목록 전체를 뒤져도 그 키가 없어요 공식 설정 참조는 이름에 Mcp 가 들어간 키를 아홉 개 싣고 있어요(`allowAllClaudeAiMcps`·`allowedMcpServers`·`allowManagedMcpServersOnly`·`deniedMcpServers`·`disableClaudeAiConnectors`·`disabledMcpjsonServers`·`enableAllProjectMcpServers`·`enabledMcpjsonServers`·`strictPluginOnlyCustomization.mcp`). 회사가 서버를 배포하는 `managedMcpServers` 는 그중에 없어서, 관리자가 문서만 읽어서는 이 설정의 존재를 알 방법이 없어요. Claude Code Docs
- 도구의 실제 배포 상태 npm 에 올라온 판은 9월 6일 18시 25분(UTC)의 2.0.0 하나뿐이에요. 저장소 CHANGELOG 에는 1.0.0 도 적혀 있지만 그 판은 npm 에 없고, 주간 내려받기 통계도 아직 잡히지 않아요. npm