ツール ゲートウェイの管理

Azure AI GatewayまたはLiteLLMゲートウェイをMicrosoft Agent 365に接続し、ゲートウェイに登録されたModel Context Protocol(MCP)サーバーを発見し管理します。 Agent 365は、登録済みのMCPサーバーをツール体験に取り込み、管理者がそれらをレビュー・管理し、MCPサーバーの活動を監視し、MCPツール呼び出しのためのサポートされたセキュリティ保護を設定できるようにします。

Agent 365は現在、Azure AI GatewayおよびLiteLLMをサポートしています。 各ゲートウェイは独自の接続および設定プロセスを必要とします。

ゲートウェイのセクションを使って接続と保護の設定を完了してください。 次に、共有のディスカバリーおよびガバナンスの手順を使用します。

• Azure AI Gateway に接続します。
• LiteLLMを接続
• MCPサーバーを発見し管理しましょう。

Connect Azure AI Gateway

このセクションを使ってAzure AI Gatewayを接続し、必要に応じてツールコール保護の設定も可能です。

Azure AI Gateway の前提条件

Azure AI Gateway に接続する前に、ゲートウェイが設定されていること、Microsoft 365 でグローバル管理者ロールを持っていること、そしてその MCP サーバーが登録されていることを確認してください。 詳細な前提条件、設定、ガバナンスのガイダンスについては、Microsoft Agent 365 と Azure API Management を使用してツールを管理する (preview)をご覧ください。

AzureゲートウェイをMicrosoft 365に接続する

1. グローバル管理者として [Microsoft 365 管理センター] にサインインします。
2. エージェント>設定 に移動します。
3. ゲートウェイ を選択します。
4. Microsoft Azure の隣で、Azure API Management サービスまたは Azure AI Gateway に接続するにはトグルをオンにしてください。
5. 要求された権限を確認して承認する

テナントごとに一度だけ同意を提供する必要があり、接続されたゲートウェイ内のすべてのMCPサーバーに適用されます。 個々のサーバーでは個別の同意は必要ありません。

Microsoft Defender で Azure AI Gateway のツール呼び出しを保護する

Azure AI Gatewayを通じてツール呼び出しを保護するには、AIゲートウェイポータルでAgent 365ツールの脅威保護ポリシーを設定してください。 このポリシーは、ツールの要求と結果を評価するためにMicrosoft DefenderおよびMicrosoft Purviewを使用しています。

前提条件やゲートウェイ固有の設定手順については、AI Gateway レベル (プレビュー) で Defender と Purview によってツール呼び出しを保護するをご覧ください。 この保護にはAzure API ManagementのAI Gateway tierと、委任されたMicrosoft Entra IDユーザートークンが必要です。 アプリ専用のサービス間呼び出しはサポートされていません。

MCP サーバーのアクティビティを監視するには、「MCP サーバーのアクティビティを監視および観察する」を参照してください。

Connect LiteLLM

Microsoft Agent 365はLiteLLMゲートウェイに接続し、登録済みMCPサーバーの検出と管理、そしてMCPツール呼び出しの保護を可能にします。 LiteLLMはサードパーティ製のAIゲートウェイであり、Microsoftによって開発・サポートされているわけではありません。 LiteLLMおよびそのゲートウェイでMCPサーバーを登録する方法については、LiteLLMドキュメント内の LiteLLMゲートウェイ を参照してください。

LiteLLMの前提条件

開始する前に、次のことを確認します。

• 登録済みMCPサーバーを持つLiteLLMゲートウェイにアクセスできます。
• LiteLLMプロキシ用のゲートウェイ名、ゲートウェイURL、APIキーを持っています。
• Microsoft 365 管理センターにアクセスするには、Microsoft 365 でグローバル管理者ロールが必要です。 この要件はMicrosoft 365に適用され、LiteLLMの役割には適用されません。

以下のセクションでは、LiteLLMゲートウェイの接続方法とMCPツール呼び出しの保護設定について説明します。 セットアップ後、共有ステップを使ってMCPサーバーの発見とガバナンスを行います。

LiteLLMゲートウェイをMicrosoft 365に接続する

1. 前提条件に記載されたMicrosoft 365管理者の役割でMicrosoft 365 管理センターにサインインしてください。
2. エージェント>設定>ゲートウェイにアクセスしてください。
3. LiteLLMゲートウェイで、Connect gatewayを選択してください。
4. 次の情報を入力します。
   • ゲートウェイ名:Microsoft 365 管理センター内のこのゲートウェイを識別するためのフレンドリーな名前です。
   • Gateway URL:LiteLLMプロキシのURLです。
   • APIキー:LiteLLMプロキシのAPIキーです。

テナントごとに一度だけ同意を提供する必要があり、接続されたゲートウェイ内のすべてのMCPサーバーに適用されます。 個々のサーバーでは個別の同意は必要ありません。

LiteLLM MCPツール呼び出しを保護する

Microsoft Agent 365 Guardrailsは、LiteLLMが行うMCPツール呼び出しをMicrosoft Defenderで評価し、実行時の脅威保護を提供します。

保護を以下の順に設定します:

1. LiteLLMがゲートウェイ用に使用するMicrosoft Entraアプリケーションを作成または特定します。
2. 必要なMicrosoft Entra設定を完了してください。
3. LiteLLMに対応する設定を完了します。

アプリの登録を作成する

1. Microsoft Entra 管理センターでターゲットテナントに切り替えます。
2. アプリの登録 に移動し、新しい登録 を選択します。
3. アプリケーション名には litellm-enterprise-apiを入力してください。
4. [サポートされているアカウントの種類] で、 [この組織のディレクトリ内のアカウントのみ] を選択します。
5. 登録を選択します。
6. アプリケーション(クライアント)IDをコピーし、LiteLLM構成のGATEWAY_API_APP_IDとして保持します。

LiteLLMの設定

Microsoft Entra設定を完了したら、GATEWAY_API_APP_IDを使用して対応するゲートウェイ設定を完了します。 LiteLLMの設定ガイダンスについては、LiteLLMのドキュメントにあるLiteLLMゲートウェイを参照してください。

MCPサーバーの検出と管理

Azure AI GatewayまたはLiteLLMに接続した後、Microsoft 365 管理センターのツール体験を通じて、接続されたゲートウェイに登録するMCPサーバーにアクセスできます。 これらのディスカバリーおよびガバナンスのステップは、両方のゲートウェイに共通しています。

1. Microsoft 365 管理センターで、[エージェント>ツール] に移動します。
2. ソースでフィルターを使い、表示したいMCPサーバーのゲートウェイを選択します。
3. MCPサーバーを選択して、その詳細と公開するツールを確認しましょう。

MCPサーバーが可用性を管理できるように、ブロックまたは許可できます。 共通のガバナンス手順については、「 MCPサーバーのブロックまたは許可」を参照してください。

サポート済みMCPサーバーでは、個別ツールの可用性管理も可能です。 詳細については、「 MCP サーバー内の個々のツールの管理」を参照してください。