Ontwikkelaarshandleiding voor gehoste MCP-servers (preview)

Deze gids behandelt functies, configuratiedetails en vereisten voor gehoste Model Context Protocol (MCP)-servers in Connector Namespace. Voor een overzicht van gehoste MCP-servers, zie Gehoste MCP-servers in Connector Namespace.

Ondersteunde regio’s

Tijdens de preview zijn gehoste MCP-servers beschikbaar in de volgende regio's:

• West-Centraal VS
• East Asia
• Central US
• North Europe

Toegang tot het portal voor de Connector Namespace

U beheert gehoste MCP-servers en hun naamruimten in de connectornaamruimteportal. U kunt deze op twee manieren openen:

• Via de Azure portal. Open in de Azure-portal een ingerichte naamruimteresource, waarmee u naar het Connector Namespace-portal voor die naamruimte gaat.
• Rechtstreeks. Ga naar de webportal en selecteer uw naamruimte.

Authentication

Gehoste MCP-servers omvatten twee verificatiegrenzen.

Inkomende authenticatie

Met binnenkomende verificatie wordt de verbinding tussen MCP-clients en de gehoste server beveiligd. De naamruimte biedt verificatie op basis van OAuth met Microsoft Entra ID.

Uitgaande verificatie

Uitgaande authenticatie beveiligt de verbinding tussen de gehoste server en de downstream-dienst waarmee deze interacteert. Servers ondersteunen de volgende mechanismen:

Opties voor beheerde identiteit

Wanneer je een beheerde identiteit gebruikt voor uitgaande authenticatie, kies dan of:

• Door het systeem toegewezen beheerde identiteit (SAMI). Automatisch gemaakt en toegewezen aan een naamruimte wanneer u deze inschakelt tijdens het maken van de naamruimte. Deze is gekoppeld aan de levenscyclus van de naamruimte, dus deze wordt verwijderd wanneer de naamruimte wordt verwijderd.
• Door de gebruiker toegewezen beheerde identiteit (UAMI). Een zelfstandige Azure resource die u maakt en toewijst aan de naamruimte. Het blijft zelfstandig bestaan en kan in meerdere resources worden hergebruikt.

Stappen voor het toevoegen van een door de gebruiker toegewezen beheerde identiteit aan uw naamruimte

Wanneer u een UAMI gebruikt, moet u die identiteit toevoegen aan de naamruimte. Anders kan de server zich niet verifiëren bij downstreamservices.

Een UAMI toevoegen aan uw naamruimte:

1. Ga in het webportal naar de naamruimte-instantie.

2. Selecteer in het linkermenu het tabblad Identiteit .

3. Selecteer in de sectie Door gebruiker toegewezen de knop +Toevoegen .

4. Zoek naar de gewenste beheerde identiteit en selecteer Vervolgens Toevoegen.

5. Selecteer Opslaan in de rechterbovenhoek om de wijziging op te slaan.

Integratie met Application Insights

U kunt de server configureren voor het verzenden van logboeken en metrische gegevens naar een opgegeven Application Insights-resource. De servercreatieflow biedt een manier om deze optie direct na het aanmaken te configureren. Als u deze hebt gemist, voert u de volgende stappen uit:

1. Ga in het webportal naar de naamruimte-instantie.

2. Selecteer in de sectie BewakingBewaking inschakelen.

3. Voer de verbindingsreeks van de Application Insights-resource in en selecteer Vervolgens Inschakelen.

Serverlogboeken weergeven:

1. Ga naar de Azure-portal en zoek de Application Insights-resource die u hebt geconfigureerd.

2. Selecteer in het linkermenu Onderzoeken>Zoeken.

3. Stel het filter Lokale tijd in op het gewenste tijdsbereik. Bekijk de logboeken als traceringen of afzonderlijke items.

Toegangsbeleid

Door een toegangsbeleid te configureren, bepaal je wie toegang heeft tot je gehoste MCP-server. Wanneer je een server aanmaakt, maakt het portaal automatisch een beleid voor je aan. U kunt beleidsregels toevoegen om anderen toegang te verlenen tot de server.

U kunt een toegangsbeleid toevoegen voor afzonderlijke gebruikers of een groep. Zie Groepen beheren in Microsoft Entra ID om een groep te maken.

Een toegangsbeleid toevoegen:

1. Ga in het webportal naar de naamruimte-instantie.

2. Selecteer het tabblad MCP-connectors in het linkermenu en open uw server.

3. Selecteer op de server het tabblad Toegangsbeleid .

4. Selecteer de knop + Toegangsbeleid toevoegen .

5. Kies de gewenste waarde van het principal-type .

6. Voer de waarde van de principal-object-id in. U vindt deze in de Microsoft Entra-beheercentrum.

7. Voer de tenant-id-waarde voor uw abonnement in.

Vereisten voor serverimplementatie

De meeste gehoste MCP-servers worden zonder extra artefacten geïmplementeerd. U selecteert de server in de catalogus en de naamruimte richt deze in. Voor sommige servers is extra configuratie vereist tijdens de implementatie.

Azure SQL

De Azure SQL MCP-server is gebouwd op Data API Builder (DAB). DAB biedt een beveiligde gegevens-API-laag over uw database en toont de entiteiten die u selecteert als MCP-hulpprogramma's die agents kunnen aanroepen.

In plaats van agents rechtstreeks met de database te verbinden, voert de server DAB uit. DAB dwingt de entiteitsdefinities en machtigingen per entiteit af die u opgeeft, zodat agents alleen toegang hebben tot de gegevens en bewerkingen die u expliciet beschikbaar maakt.

Azure SQL vereist een DAB-configuratiebestand dat het volgende definieert:

• De verbindingsreeks voor de database.
• De entiteiten (tabellen of weergaven) die beschikbaar moeten worden gemaakt.
• Machtigingen voor elke entiteit.

Installeer de DAB CLI om dit bestand te genereren. Voer vervolgens de volgende opdracht uit om alleen MCP in te schakelen (omdat DAB ook Ondersteuning biedt voor GraphQL- en REST-eindpunten):

dab init --database-type "mssql" --host-mode "Development" --graphql.enabled false --rest.enabled false --connection-string "<your-connection-string>"

De vorm van de verbindingsreeks is afhankelijk van het type beheerde identiteit dat u gebruikt voor de server voor toegang tot de database.

Server=<your-sql-server>.database.windows.net;Database=<your-database>;Authentication=Active Directory Default;Encrypt=True;TrustServerCertificate=False;

Server=<your-sql-server>.database.windows.net;Database=<your-database>;Authentication=Active Directory Managed Identity;User Id=<your-uami-client-id>;Encrypt=True;TrustServerCertificate=False;

Nadat u het bestand hebt gegenereerd, moet u ook entiteiten en gerelateerde machtigingen toevoegen. Met de volgende opdracht wordt Books als voorbeeld toegevoegd:

dab add Books --source "dbo.Books" --permissions "anonymous:*"

Zie het overzicht van autorisatie voor Data API Builder voor meer informatie over het configureren van entiteiten en machtigingen.

Upload het gegenereerde configuratiebestand (voorbeeld) tijdens de serverimplementatie in de naamruimteportal.

Toegang tot beheerde identiteit verlenen

Na de implementatie verleent u de beheerde identiteit toegang tot de database. Voer in de Azure-portal de volgende opdracht uit in de Query-editor voor de SQL-database (aangemeld als beheerder) om machtigingen te verlenen. Zorg ervoor dat u de juiste query voor uw identiteitstype kiest.

CREATE USER [<your-connector-namespace-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<your-connector-namespace-name>];
ALTER ROLE db_datawriter ADD MEMBER [<your-connector-namespace-name>];
GRANT VIEW DEFINITION TO [<your-connector-namespace-name>];

CREATE USER [<your-uami-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<your-uami-name>];
ALTER ROLE db_datawriter ADD MEMBER [<your-uami-name>];
GRANT VIEW DEFINITION TO [<your-uami-name>];

Controleren of u de identiteit hebt aangemaakt:

SELECT name, type_desc, authentication_type_desc
FROM sys.database_principals
WHERE type IN ('E', 'X')
ORDER BY name;
-- Expected: <identity-name> | EXTERNAL_USER | EXTERNAL

Verwante onderwerpen

• Overzicht van gehoste MCP-servers
• Quickstart: Een gehoste MCP-server maken
• Wat is een Connector Namespace?