Przewodnik dla deweloperów dotyczący hostowanych serwerów MCP (wersja zapoznawcza)

Ważna

Ta funkcja w wersji zapoznawczej podlega dodatkowym warunkom użytkowania wersji zapoznawczej platformy Microsoft Azure.

Ten przewodnik obejmuje funkcje, szczegóły konfiguracji oraz wymagania dla hostowanych serwerów Model Context Protocol (MCP) w przestrzeni nazw Connector. Aby uzyskać przegląd hostowanych serwerów MCP, zobacz Hostowane serwery MCP w przestrzeni nazw Connector.

Obsługiwane regiony

W wersji zapoznawczej hostowane serwery MCP są dostępne w następujących regionach:

  • Zachodnio-środkowe stany USA
  • Azja Wschodnia
  • Środkowe stany USA
  • Europa Północna

Dostęp do portalu Connector Namespace

Zarządzasz hostowanymi serwerami MCP i ich przestrzeniami nazw w portalu Connector Namespace. Dostęp do niego można uzyskać na dwa sposoby:

  • Za pośrednictwem portalu Azure. Otwórz zasób udostępnionej przestrzeni nazw w portalu Azure, co spowoduje przejście do portalu Connector Namespace dla tej przestrzeni nazw.
  • Bezpośrednio. Przejdź do portalu internetowego i wybierz swoją przestrzeń nazw.

Authentication

Hostowane serwery MCP obejmują dwie granice uwierzytelniania.

Uwierzytelnianie połączeń przychodzących

Uwierzytelnianie przychodzące zabezpiecza połączenie między klientami MCP a serwerem hostowanym. Przestrzeń nazw zapewnia uwierzytelnianie oparte na standardzie OAuth przy użyciu Microsoft Entra ID.

Uwierzytelnianie wychodzące

Uwierzytelnianie wychodzące zabezpiecza połączenie między serwerem hostowanym a usługą podrzędną, z którą współpracuje. Serwery obsługują następujące mechanizmy:

Metoda Description
Tożsamość zarządzana Serwer uwierzytelnia się w usłudze podrzędnej przy użyciu tożsamości zarządzanej przypisanej do przestrzeni nazw. Zarządzanie poświadczeniami nie jest wymagane.
W imieniu (OBO) Serwer używa tożsamości użytkownika wywołującego do uwierzytelniania w usłudze podrzędnej, co umożliwia scenariusze delegowanego dostępu.

Opcje tożsamości zarządzanej

Gdy używasz zarządzanej tożsamości do uwierzytelniania wychodzącego, wybierz jedno:

  • Tożsamość zarządzana przypisana przez system (SAMI). Automatycznie tworzone i przypisywane do przestrzeni nazw po włączeniu tej opcji podczas tworzenia przestrzeni nazw. Jest ona powiązana z cyklem życia przestrzeni nazw, dlatego jest usuwana po usunięciu przestrzeni nazw.
  • Tożsamość zarządzana przypisana użytkownikowi (UAMI) Autonomiczny zasób Azure tworzony i przypisywany do przestrzeni nazw. Jest przechowywany niezależnie i może być ponownie używany w różnych zasobach.

Kroki dodawania tożsamości zarządzanej przypisanej przez użytkownika do przestrzeni nazw

Gdy używasz UAMI, musisz dodać tę tożsamość do przestrzeni nazw. W przeciwnym razie serwer nie może uwierzytelnić się w usługach podrzędnych.

Aby dodać element UAMI do przestrzeni nazw:

  1. W portalu internetowym przejdź do instancji przestrzeni nazw.

  2. W menu po lewej stronie wybierz kartę Tożsamość .

  3. W sekcji Przypisany przez użytkownika wybierz przycisk +Dodaj.

  4. Wyszukaj żądaną tożsamość zarządzaną, a następnie wybierz pozycję Dodaj.

  5. Wybierz pozycję Zapisz w prawym górnym rogu, aby zapisać zmianę.

Integracja z platformą Application Insights

Serwer można skonfigurować tak, aby wysyłał dzienniki i metryki do określonego zasobu usługi Application Insights. Tok tworzenia serwera umożliwia skonfigurowanie tej opcji natychmiast po utworzeniu. Jeśli go pominięto, wykonaj następujące kroki:

  1. W portalu internetowym przejdź do instancji przestrzeni nazw.

  2. W sekcji Monitorowanie wybierz pozycję Włącz monitorowanie.

  3. Wprowadź parametry połączenia zasobu usługi Application Insights, a następnie wybierz pozycję Włącz.

Aby wyświetlić dzienniki serwera:

  1. Przejdź do portalu Azure i znajdź skonfigurowany zasób usługi Application Insights.

  2. W menu po lewej stronie wybierz pozycję Badanie>Wyszukiwanie.

  3. Ustaw filtr Czas lokalny na żądany zakres czasu. Wyświetl dzienniki jako ślady lub pojedyncze elementy.

Zasady dostępu

Konfigurując politykę dostępu, kontrolujesz, kto może uzyskać dostęp do twojego hostowanego serwera MCP. Gdy tworzysz serwer, portal automatycznie tworzy dla Ciebie politykę. Możesz dodać zasady, aby przyznać innym osobom dostęp do serwera.

Możesz dodać zasady dostępu dla poszczególnych użytkowników lub grupy. Aby utworzyć grupę, zobacz Zarządzanie grupami w Microsoft Entra ID.

Aby dodać zasady dostępu:

  1. W portalu internetowym przejdź do instancji przestrzeni nazw.

  2. Wybierz kartę Łączniki MCP w menu po lewej stronie i otwórz serwer.

  3. Na serwerze wybierz kartę Zasady dostępu .

  4. Wybierz przycisk + Dodaj zasady dostępu .

  5. Wybierz żądaną wartość parametru Typ podmiotu.

  6. Wprowadź wartość Identyfikator obiektu podmiotu zabezpieczeń . Można go znaleźć w centrum administracyjne Microsoft Entra.

  7. Wprowadź wartość Identyfikator dzierżawy dla swojej subskrypcji.

Wymagania dotyczące wdrażania serwera

Większość hostowanych serwerów MCP wdraża się bez dodatkowych artefaktów. Wybierasz serwer z katalogu, a przestrzeń nazw go udostępnia. Niektóre serwery wymagają dodatkowej konfiguracji podczas wdrażania.

Azure SQL

Serwer Azure SQL MCP jest oparty na konstruktorze interfejsu API danych (DAB). DAB zapewnia bezpieczną warstwę API danych nad bazą danych i udostępnia wybrane przez Ciebie encje jako narzędzia MCP, z których agenci mogą korzystać.

Zamiast łączyć agentów bezpośrednio z bazą danych, na serwerze działa DAB. DAB wymusza definicje encji oraz uprawnienia dla poszczególnych encji, które określisz, dzięki czemu agenci mogą uzyskiwać dostęp tylko do danych i operacji, które jawnie udostępniasz.

Azure SQL wymaga pliku konfiguracji języka DAB, który definiuje:

  • Łańcuch połączenia z bazą danych.
  • Encje (tabele lub widoki) do udostępnienia.
  • Uprawnienia dla każdej jednostki.

Aby wygenerować ten plik, zainstaluj interfejs wiersza polecenia języka DAB. Następnie uruchom następujące polecenie, aby włączyć tylko protokół MCP (ponieważ daB obsługuje również punkty końcowe GraphQL i REST):

dab init --database-type "mssql" --host-mode "Development" --graphql.enabled false --rest.enabled false --connection-string "<your-connection-string>"

Forma parametry połączenia zależy od typu tożsamości zarządzanej używanej przez serwer do uzyskiwania dostępu do bazy danych.

Server=<your-sql-server>.database.windows.net;Database=<your-database>;Authentication=Active Directory Default;Encrypt=True;TrustServerCertificate=False;

Po wygenerowaniu pliku należy również dodać jednostki i powiązane uprawnienia. Następujące polecenie dodaje Books jako przykład:

dab add Books --source "dbo.Books" --permissions "anonymous:*"

Aby uzyskać szczegółowe informacje na temat konfigurowania jednostek i uprawnień, zobacz omówienie autoryzacji konstruktora interfejsu API danych.

Prześlij wygenerowany plik konfiguracji (example) podczas wdrażania serwera w portalu namespace.

Przyznaj dostęp tożsamości zarządzanej

Po wdrożeniu przyznaj tożsamości zarządzanej dostęp do bazy danych. W portalu Azure uruchom następujące polecenie w edytorze zapytań dla bazy danych SQL (zalogowanego jako administrator), aby udzielić uprawnień. Pamiętaj, aby wybrać poprawne zapytanie dla typu tożsamości.

CREATE USER [<your-connector-namespace-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<your-connector-namespace-name>];
ALTER ROLE db_datawriter ADD MEMBER [<your-connector-namespace-name>];
GRANT VIEW DEFINITION TO [<your-connector-namespace-name>];

Aby sprawdzić, czy utworzono tożsamość:

SELECT name, type_desc, authentication_type_desc
FROM sys.database_principals
WHERE type IN ('E', 'X')
ORDER BY name;
-- Expected: <identity-name> | EXTERNAL_USER | EXTERNAL

Treści powiązane

  • Ostatnia aktualizacja o