Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Controleer de netwerktoegang in twee richtingen: van je Model Context Protocol (MCP)-client naar je werkruimte, en van je werkruimte naar externe MCP-servers. Voor aanmelden en identiteit, zie MCP-authenticatie.
Client naar werkruimte
MCP-verzoeken moeten worden toegestaan door de inkomende netwerkcontroles van je werkruimte. Als IP-toegangslijsten voor de werkruimte zijn ingeschakeld, vraag dan een beheerder om de publieke IP-adressen waar de verzoeken vandaan komen toe te staan:
| Waar de MCP-client draait | Adressen die toegestaan moeten worden |
|---|---|
| Op je computer, zoals Claude Code, Codex CLI of Cursor | Het publieke uitgaande IP van je netwerk. Als het verkeer via een bedrijfs-VPN of proxy gaat, gebruik dan het uitgaande IP van dat netwerk. Vraag het aan je netwerkbeheerder. |
| In een gehoste dienst, zoals een Claude connector of ChatGPT | De door de provider gepubliceerde uitgaande IP-bereiken. Bekijk de uitgaande IP's van Claude en de uitgaande IP's van ChatGPT. |
Voor gehoste clients komt de inloggegevens van de browser vanuit je netwerk, terwijl MCP-oproepen van de servers van de provider komen. Beide moeten worden toegestaan. Bijvoorbeeld, succesvol inloggen vanaf je bedrijfs-VPN betekent niet dat ChatGPT je MCP kan bereiken.
Als uw organisatie ook contextgebaseerde ingangscontroles gebruikt, moeten de verzoeken ook aan die beleidsregels voldoen. IP-toegangslijsten van accounts zijn van toepassing op accountconsole- en account-API-toegang, zoals een beheerder die een OAuth-app aanmaakt.
Werkruimte naar externe MCP-server
Aanroepen naar externe MCP-providers via Unity Gateway gebruiken het serverless computeplan van de werkruimte. Dit geldt voor geregistreerde externe servers en door Databricks geleverde MCP's voor externe diensten.
Als je serverloze netwerkbeleidBeperkte toegang gebruikt, voeg dan de volledig gekwalificeerde domeinnaam (FQDN) van de server toe aan Toegestane domeinen. Begin met de host op de Unity Catalog-verbinding van de MCP. Controleer system.access.outbound_network op extra geblokkeerde bestemmingen. Zie Beheren van netwerkbeleid en uitgaande netwerklogboeken.
- Een Unity Catalog-verbinding staat zijn bestemming niet automatisch toe.
-
Volledige toegang is standaard de modus in het serverless netwerkbeleid om uitgaande internetverbindingen toe te staan. Expliciet geblokkeerde domeinen blijven geweigerd. Bijvoorbeeld, een beleid dat blokkeert
mcp.example.comvoorkomt dat je aanroepen naar die MCP-server oproepen krijgt. Vraag een beheerder om de geblokkeerde bestemmingen van het beleid te bekijken. - Om MCP-verkeer in de proefmodus te testen, selecteer je Alle producten. De Databricks SQL- en AI-modelservice-opties brengen MCP-verkeer niet in de proefloop.
Privéconnectiviteit
Om een MCP-server in je cloudnetwerk te bereiken, kies je hoe Azure Databricks serverless compute ermee verbindt:
- Privé-eindpunt: Gebruik Private Link om verkeer op een privéverbinding te houden. Een accountbeheerder voegt een privé-endpointregel toe voor het domein van de server aan een netwerkconnectiviteitsconfiguratie (NCC) die aan je werkruimte is gekoppeld. Je cloudbeheerder keurt de endpointverbinding goed. Zie Privé-connectiviteit configureren.
- Publiek endpoint met een firewall: Configureer de firewall van de server om Azure Databricks serverless uitgaande IP's voor de cloud en regio van je werkruimte toe te staan. Deze IP's worden gedeeld tussen Azure Databricks-klanten, dus houd authenticatie ingeschakeld op de server. Zie Find the outbound IP's en configureer je firewall.
Domeinen die aan privé-endpointregels worden toegevoegd, zijn automatisch toegestaan door netwerkbeleid, dus je hoeft ze niet apart toe te voegen aan Toegestane domeinen. Voor een openbaar eindpunt volg je Workspace naar een externe MCP-server.