Conectar un servidor MCP en Azure Functions a un agente del Foundry Agent Service

Cuando se usa una clave de acceso para conectarse al punto de conexión del servidor MCP, se usa una clave secreta compartida para que sea más difícil que los agentes aleatorios se conecten al servidor.

El nombre de la clave de acceso que necesita depende de la implementación del servidor MCP:

Para obtener la clave del portal de Azure:

1. En Azure Portal, vaya a la aplicación de funciones.
2. Expanda la lista desplegable Funciones en el menú izquierdo.
3. Seleccione Claves de aplicación.
4. Copie la mcp_extension clave (en Claves del sistema) o la default clave (en Claves de host), según el tipo de servidor MCP.

Para obtener más información, consulte Trabajar con claves de acceso en Azure Functions.

Tanto Agent Identity y Project Managed Identity usan la autenticación Microsoft Entra. Actualmente, Functions solo admite la identidad administrada de Project, que requiere que el servidor use la autenticación y autorización integradas.

1. Si la aplicación de servidor no tiene una identidad administrada asignada por el usuario, primero cree una.

2. Conecte la identidad administrada asignada por el usuario desde la aplicación de servidor al proyecto foundry:

   1. En el portal Azure, busque Foundry. En Microsoft Foundry, seleccione el recurso Foundry en Todos los recursos.

   2. En Administración de recursos>Identidad>Usuario asignado, seleccione + Agregar. Seleccione la identidad administrada asignada por el usuario que usa la aplicación de servidor y, a continuación, seleccione Agregar.

   3. Seleccione la identidad recién agregada y copie el valor ID de cliente.

3. Agregue la identidad administrada asignada por el usuario como una aplicación cliente permitida en la aplicación de servidor:

   1. Vaya al recurso de la aplicación en el portal Azure.

   2. Seleccione Configuración>Autenticación en el menú de la izquierda.

   3. Seleccione el icono Editar del proveedor registrado de identidades de Entra.

   4. En el proveedor, establezca Requisito de aplicación cliente en Permitir solicitudes de aplicaciones cliente específicas y seleccione el botón editar situado junto a Aplicaciones cliente permitidas.

   5. Agregue el identificador de cliente de la identidad administrada asignada por el usuario y seleccione Aceptar y, a continuación, Guardar.

4. Obtenga el URI del ID de aplicación del registro de la aplicación Entra de la aplicación del servidor, que necesita para completar el registro de autenticación de Entra en el agente:

   1. De nuevo en la página Autenticación de la aplicación, seleccione el nombre del proveedor de identidades Entra registrado. Esta selección le lleva a la página de recursos de la aplicación Entra.

   2. En el menú de la izquierda, seleccione Administrar>exponer una API.

   3. Copie el URI de ID de aplicación en la parte superior de la página. Este valor de identificador se ve como api://aaaabbbb-0000-cccc-1111-dddd2222eeee.

El paso de identidad de OAuth pide a los usuarios que inicien sesión y autoricen el acceso al servidor MCP. Para un servidor MCP hospedado en Functions con autenticación integrada, use OAuth personalizado con un registro de aplicación de Microsoft Entra.

Para obtener las credenciales necesarias desde el portal de Azure:

1. En Azure Portal, vaya a la aplicación de funciones.

2. Seleccione Configuración>Autenticación en el menú de la izquierda.

3. Seleccione el nombre de la aplicación Entra junto a Microsoft. Esta selección le lleva al recurso de la aplicación Entra.

4. En Essentials de la página Resumen, copie los valores de estos campos:

   • Id. de la aplicación (cliente)
   • Id. de directorio (inquilino)
   • URI de id. de aplicación

5. Use el identificador de inquilino para construir estas direcciones URL de OAuth necesarias:

   Tipo de dirección URL	Formato
   Dirección URL de autenticación	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/authorize
   Token URL	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token
   Actualizar URL	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token

   Reemplace por <TENANT_ID> el valor real del identificador de inquilino. Guarde estos valores para más adelante.

6. Seleccione Administrar>certificados y secretos. Cree un nuevo secreto de cliente si aún no hay uno y copie su valor para usarlo más adelante.

7. Seleccione Administrar>Exponer una API y copie el ámbito existente.

Después de configurar el acceso directo de identidad de OAuth en el portal de Foundry, recibirá una dirección URL de redireccionamiento. Debe volver al registro de la aplicación Entra para agregar esta dirección URL de redireccionamiento al registro de aplicaciones de Microsoft Entra.

Dado que el acceso no autenticado no requiere secretos compartidos ni autenticación, no es necesario recopilar ninguna credencial. Sin embargo, debe deshabilitar la autenticación basada en claves para que el punto de conexión del servidor permita el acceso anónimo.

Cuando se usa la autenticación basada en claves, el agente se autentica pasando una clave de acceso de función en el encabezado de solicitud al servidor MCP.

Para conectarse al punto de conexión del servidor MCP:

1. Vaya al Portal de Foundry (nuevo Portal de Foundry).

2. Seleccione la pestaña Compilar en la parte superior de la página y seleccione un agente para conectarse al servidor MCP.

3. En la pestaña Parque infantil , expanda la lista desplegable Herramientas y seleccione Agregar.

4. En la pestaña Personalizado de Seleccionar una herramienta, seleccione Protocolo de contexto de modelo (MCP)>Crear.

5. En la herramienta Añadir protocolo de contenido del modelo, utilice la información de esta tabla para configurar una conexión basada en claves de acceso.

   Campo	Description	Example
   Nombre	Identificador único del servidor MCP. Use el nombre de la aplicación de funciones como valor predeterminado.	contoso-mcp-tools
   Punto de conexión remoto del servidor MCP	El punto final de URL para tu servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticación	El método de autenticación que se va a usar.	Key-based
   Credencial	Par clave-valor para autenticarse con su aplicación de funciones.	x-functions-key: aaaaaaaa-0b0b-1c1c-2d2d-333333333333

6. Seleccione Conectar para crear una conexión al punto de conexión del servidor MCP. Verá el nombre del servidor en Herramientas.

7. Seleccione Guardar para guardar la configuración de la herramienta MCP en el agente.

Cuando se usa Microsoft Entra autenticación, el agente se autentica mediante una identidad administrada para conectarse al servidor MCP.

Para conectarse al punto de conexión del servidor MCP:

1. Vaya al Portal de Foundry (nuevo Portal de Foundry).

2. Seleccione la pestaña Compilar en la parte superior de la página y seleccione un agente para conectarse al servidor MCP.

3. En la pestaña Parque infantil , expanda la lista desplegable Herramientas y seleccione Agregar.

4. En la pestaña Personalizado de Seleccionar una herramienta, seleccione Protocolo de contexto de modelo (MCP)>Crear.

5. En la herramienta Add Model Content Protocol, escriba la información de esta tabla para configurar una conexión basada en Microsoft Entra:

   Campo	Description	Example
   Nombre	Identificador único del servidor MCP. Puede usar el nombre de su aplicación de función.	contoso-mcp-tools
   Punto de conexión remoto del servidor MCP	El punto final de URL para tu servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticación	El método de autenticación que se va a usar.	Microsoft Entra
   Tipo	Tipo de identidad que usa el agente para autenticarse.	Project Managed Identity
   Audiencia	Identificador de URI de la aplicación del registro de Entra de su aplicación de funciones. Este valor indica al proveedor de identidades para qué aplicación está destinado el token.	api://aaaabbbb-0000-cccc-1111-dddd2222eeee

6. Seleccione Conectar para crear una conexión al punto de conexión del servidor MCP. Verá el nombre del servidor en Herramientas.

7. Seleccione Guardar para guardar la configuración de la herramienta MCP en el agente.

Cuando se usa el acceso directo de identidad de OAuth, el agente solicita al usuario que inicie sesión y, a continuación, use el token de acceso devuelto al conectarse al servidor.

1. Vaya al Portal de Foundry (nuevo Portal de Foundry).

2. Seleccione la pestaña Compilar en la parte superior de la página y seleccione un agente para conectarse al servidor MCP.

3. En la pestaña Parque infantil , expanda la lista desplegable Herramientas y seleccione Agregar.

4. En la pestaña Personalizado de Seleccionar una herramienta, seleccione Protocolo de contexto de modelo (MCP)>Crear.

5. En la herramienta Añadir protocolo de contenido del modelo, escriba la información de esta tabla para configurar la conexión de acceso directo a través de la identidad de OAuth:

   Campo	Description	Example
   Nombre	Identificador único del servidor MCP. Puede usar el nombre de su aplicación de función.	contoso-mcp-tools
   Punto de conexión remoto del servidor MCP	El punto final de URL para tu servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticación	El método de autenticación que se va a usar.	OAuth Identity Passthrough
   Id de cliente	El identificador de cliente del registro Entra de la aplicación de funciones	00001111-aaaa-2222-bbbb-3333cccc4444
   Secreto de cliente	El secreto de cliente del registro Entra de la aplicación de funciones	abcEFGhijkLMNopqRST
   Token URL	Punto de conexión al que llama la aplicación de servidor para intercambiar un código de autorización o una credencial para un token de acceso.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/token
   Dirección URL de autenticación	Punto de conexión donde se redirige a los usuarios para autenticarse y conceder autorización a la aplicación de servidor.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/authorize
   Actualizar URL	Punto de conexión que se usa para obtener un nuevo token de acceso cuando expira el actual.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/token
   Ámbitos	Los permisos específicos o los niveles de acceso a los recursos que solicita la aplicación de servidor desde el servidor de autorización	api://aaaabbbb-0000-cccc-1111-dddd2222eeee/user_impersonation

6. Seleccione Conectar para crear una conexión al punto de conexión del servidor MCP.

7. Después de crear el proveedor de credenciales, recibirá una URL de redireccionamiento. Antes de cerrar esta ventana, asegúrese de copiar el valor de la dirección URL. Debe agregar esta dirección URL de redireccionamiento al registro de la aplicación Entra.

8. Vuelva al registro de la aplicación Entra y, en Administrar>autenticación , seleccione + Agregar URI de redirección. Seleccione Web, pegue el valor de URI de redirección copiado y seleccione Configurar.

9. Vuelva a la ventana del agente y seleccione Cerrar>guardar para guardar la configuración de la herramienta MCP en el agente.

Use acceso no autenticado solo cuando el servidor MCP no requiera autenticación y acceda solo a la información pública.

Para conectarse al punto de conexión del servidor MCP:

1. Vaya al Portal de Foundry (nuevo Portal de Foundry).

2. Seleccione la pestaña Compilar en la parte superior de la página y seleccione un agente para conectarse al servidor MCP.

3. En la pestaña Parque infantil , expanda la lista desplegable Herramientas y seleccione Agregar.

4. En la pestaña Personalizado de Seleccionar una herramienta, seleccione Protocolo de contexto de modelo (MCP)>Crear.

5. En la herramienta Añadir protocolo de contenido del modelo, proporcione información de esta tabla para configurar una conexión no autenticada:

   Campo	Description	Example
   Nombre	Identificador único del servidor MCP. Puede usar el nombre de su aplicación de función.	contoso-mcp-tools
   Punto de conexión remoto del servidor MCP	El punto final de URL para tu servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticación	El método de autenticación que se va a usar.	Unauthenticated

6. Seleccione Conectar para crear una conexión no autenticada al punto de conexión del servidor MCP. Ahora debería ver el nombre del servidor en Herramientas.

7. Seleccione Guardar para guardar la configuración de la herramienta MCP en el agente.

• Más información sobre el servicio de agente de Foundry y el ciclo de vida del desarrollo del agente
• Equipe al agente con herramientas integradas del catálogo de herramientas foundry
• Enriquezca a su agente con acceso a sus bases de conocimiento empresariales

• Extensión MCP de Azure Functions
• Configuración de la implementación continua con Acciones de GitHub
• Monitor Azure Functions con OpenTelemetry
• Sigue iterando según las mejores prácticas de Azure Functions

• Registro del servidor MCP en el catálogo de herramientas de la organización