Open WebUI

Open WebUI ist eine selbst betriebene Chat-Oberfläche, die typischerweise mit Ollama als lokalem Inferenz-Backend läuft. Damit lässt sich AI Suite MCP vollständig ohne externen Anbieter testen. Wo Open WebUI und Ollama laufen, bestimmst du selbst, entsprechend musst du auch selbst dafür sorgen, dass Open WebUI den TYPO3-Host erreicht und dessen Zertifikat anerkennt.

Die Einrichtung der Container, das Netzwerk, TLS und eine etwaige GPU-Beschleunigung sind nicht Teil dieser Anleitung. Die Beispiele verwenden das Model qwen2.5:7b. Die Schritte bleiben für jedes andere Model gleich, das Tool-Aufrufe beherrscht, etwa llama3.1:8b oder mistral-nemo. Für reine Rauchtests reicht auch qwen2.5:3b.

Voraussetzungen

enableMcp ist aktiviert (siehe Konfiguration).
mcpAllowedRedirectUris und mcpAllowedOrigins können in der Entwicklung leer bleiben. Produktiv gehören dort die Callback-URL beziehungsweise die Herkunft deiner Open-WebUI-Installation hinein, also [openwebui-url] als Origin. Welche Redirect-URI deine Version tatsächlich sendet, zeigt der Registrierungsvorgang im Log. Bisher beobachtet wurden [openwebui-url]/oauth/clients/ und [openwebui-url]/oauth/oidc/callback. Da der Vergleich über das Präfix läuft, deckt der Eintrag [openwebui-url]/oauth/ beide Fälle ab.
mcpAllowedClientIds bleibt leer.
Die Backend-Gruppe besitzt enable_mcp_access und die benötigten Feature-Rechte (siehe Berechtigungen & Scopes).
In Ollama liegt ein Model, das Tool-Aufrufe beherrscht, zum Beispiel per ollama pull qwen2.5:7b.

Beim ersten Aufruf von [openwebui-url] legst du ein Konto an. Je nach Konfiguration wird der erste Benutzer automatisch Administrator. Dieses Konto ist unabhängig vom TYPO3-Backend-Benutzer. Prüfe anschließend unter Settings → Connections, dass die Verbindung zu Ollama steht.

Tool-Server einrichten

1. Verbindung anlegen. Oben rechts über den Avatar das Admin Panel öffnen, links zu Settings → Tools wechseln und Add Connection wählen. Im Dialog eintragen:

Feld	Wert
Type	MCP Streamable HTTP
Name	zum Beispiel `AI Suite MCP`
ID	`ai-suite-mcp`. Der Hinweis `auto` im Feld ist nur ein Platzhalter, die Validierung verlangt einen echten Wert.
URL	`[typo3-url]/aisuite-mcp`, ohne Site-Präfix
Enabled	eingeschaltet
Authentication	OAuth 2.1

2. Client registrieren. Der Klick auf Register Client ruft POST [typo3-url]/aisuite-mcp/oauth/register auf. Die Statusanzeige wechselt von Not registered auf Registered. Danach speichern.

3. Authentifizieren. Verbindung erneut öffnen und Authenticate klicken. Es öffnet sich die Autorisierungsseite unter [typo3-url]/aisuite-mcp/oauth/authorize. Nach der TYPO3-Anmeldung und der Zustimmung zu den Scopes landet das Token in Open WebUI, der Status wechselt auf Connected.

4. Zugriff freigeben. Standardmäßig sieht nur der Eigentümer der Verbindung sie in der Tool-Auswahl. Über die Schaltfläche Access im Bearbeitungsdialog lässt sich die Verbindung für alle Benutzer oder für einzelne Benutzer und Gruppen freigeben.

Kontextfenster vergrößern

Ollama arbeitet bei den meisten Models mit einem Kontextfenster von nur 4096 Tokens. Allein die Tool-Definitionen des AI Suite MCP belegen bei derzeit 45 Tools rund 10.000 Tokens, dazu kommen Systemprompt und Gesprächsverlauf. Ohne Anpassung schneidet Ollama die Tool-Liste stillschweigend ab. Das Model sieht die Tools dann nie und beginnt zu fabulieren, im schlimmsten Fall erklärt es MCP als „Microsoft Certified Professional“, statt einen Tool-Aufruf abzuschicken.

Abhilfe schafft eine größere Einstellung. Im Chat-Kopf auf den Modelnamen klicken und Edit Model wählen, alternativ Admin Panel → Settings → Models. Dort unter Advanced Parameters die Context Length (num_ctx) auf 16384 setzen, bei Bedarf höher. Mehr Kontext kostet mehr VRAM. Nach dem Speichern eine neue Unterhaltung beginnen, bestehende Chats behalten den alten Wert.

Tools pro Chat aktivieren

MCP-Tool-Server sind nicht automatisch in jeder Unterhaltung aktiv. Starte einen neuen Chat, wähle das Model, klicke unter dem Eingabefeld auf das +-Symbol beziehungsweise das Werkzeugsymbol und schalte AI Suite MCP ein. Erst dann schickt Open WebUI die Tool-Definitionen mit der Anfrage an Ollama.

Troubleshooting

„Registration failed“ beim Registrieren des Clients. Die von Open WebUI verwendete aiohttp-Bibliothek kann das Zertifikat des TYPO3-Hosts nicht prüfen, typisch bei selbstsignierten Entwicklungszertifikaten. In der Umgebung von Open WebUI AIOHTTP_CLIENT_SESSION_SSL=false und AIOHTTP_CLIENT_SESSION_TOOL_SERVER_SSL=false setzen.

Interner Serverfehler beim Authentifizieren, im Log steht SSL: CERTIFICATE_VERIFY_FAILED. Die Bibliothek httpx ignoriert diese Umgebungsvariablen und prüft selbst. Hier hilft nur, die Root-CA des TYPO3-Hosts im Container bekannt zu machen, also einbinden, mit dem certifi-Bündel zusammenführen und SSL_CERT_FILE beziehungsweise REQUESTS_CA_BUNDLE auf die zusammengeführte Datei zeigen lassen.

Das Model fabuliert über MCP, obwohl der Tool-Server verbunden ist. Ollama hat den Prompt abgeschnitten und dabei die Tool-Definitionen verloren. Kontextfenster erhöhen, siehe oben.

Das Model behauptet, es habe keinen MCP-Zugriff. Der Tool-Server ist im aktuellen Chat nicht eingeschaltet.

Zum Mitlesen eignen sich das uvicorn-Log von Open WebUI für Fehler bei Registrierung und OAuth sowie das Ollama-Log, das abgeschnittene Prompts und die tatsächlich abgeschickten Tool-Aufrufe zeigt. Dazu zwei Betriebshinweise. Model-Cache und Open-WebUI-Datenbank gehören in persistente Volumes, und WEBUI_SECRET_KEY muss stabil bleiben. Ändert sich der Schlüssel, sind alle gespeicherten OAuth-Tokens unbrauchbar, weil Open WebUI sie damit verschlüsselt. Weitere clientunabhängige Fälle sind unter Clients verbinden gesammelt.