Conectar um servidor MCP em Azure Functions a um agente do Serviço do Foundry Agent

Quando você usa uma chave de acesso para se conectar ao ponto de extremidade do servidor MCP, usa uma chave secreta compartilhada para dificultar a conexão de agentes aleatórios ao servidor.

O nome da chave de acesso necessária depende da implantação do servidor MCP:

Para obter a chave no portal Azure:

1. Acesse o recurso do aplicativo de funções no Azure portal.
2. Expanda a lista suspensa Funções no menu à esquerda.
3. Selecione chaves de aplicativo.
4. Copie a mcp_extension chave (em chaves do sistema) ou a default chave (em chaves de host), dependendo do tipo de servidor MCP.

Para obter mais informações, consulte Trabalhar com chaves de acesso no Azure Functions.

Tanto Agent Identity quanto Project Managed Identity usam Microsoft Entra autenticação. Atualmente, o Functions dá suporte apenas à identidade gerenciada do Project, que exige que o servidor use autenticação e autorização internas.

1. Se o aplicativo de servidor não tiver uma identidade gerenciada atribuída pelo usuário, primeiro crie uma.

2. Conecte a identidade gerenciada atribuída pelo usuário do seu aplicativo de servidor ao projeto do Foundry:

   1. No portal Azure, pesquise Foundry. No Microsoft Foundry, selecione o recurso Foundry em Todos os recursos.

   2. Em Gerenciamento de Recursos>Identidade>Atribuída ao Usuário, selecione + Adicionar. Selecione a identidade gerenciada atribuída pelo usuário usada pelo aplicativo do servidor e selecione Adicionar.

   3. Selecione a identidade recém-adicionada e copie o valor da ID do cliente .

3. Adicione a identidade gerenciada atribuída pelo usuário como um aplicativo cliente permitido em seu aplicativo de servidor:

   1. Acesse o recurso do aplicativo no Azure portal.

   2. Selecione Configurações>Autenticação no menu à esquerda.

   3. Selecione o ícone Editar para o provedor de identidade Entra registrado.

   4. Em seu provedor, defina o requisito de aplicativo cliente para permitir solicitações de aplicativos cliente específicos e selecione o botão editar ao lado de aplicativos cliente permitidos.

   5. Adicione a ID do cliente de sua identidade gerenciada atribuída pelo usuário e selecione OK e, em seguida, Salvar.

4. Obtenha o URI da ID do aplicativo do registro do aplicativo de servidor Entra, que você precisa para concluir o registro de autenticação Entra no seu agente:

   1. De volta à página Autenticação do aplicativo, selecione o nome do provedor de identidade Entra registrado. Essa seleção leva você para a página de recursos do aplicativo Entra.

   2. No menu à esquerda, selecione Gerenciar>Expor uma API.

   3. Copie o URI da ID do Aplicativo na parte superior da página. Esse valor de ID se parece com api://aaaabbbb-0000-cccc-1111-dddd2222eeee.

A passagem de identidade OAuth solicita que os usuários entrem e autorizem o acesso ao servidor MCP. Para um servidor MCP hospedado no Functions com autenticação integrada, use o OAuth personalizado com um registro de aplicativo do Microsoft Entra.

Para obter as credenciais necessárias do portal de Azure:

1. Acesse o recurso do aplicativo de funções no Azure portal.

2. Selecione Configurações>Autenticação no menu à esquerda.

3. Selecione o nome do aplicativo Entra ao lado da Microsoft. Essa seleção leva você ao recurso de aplicativo Entra.

4. No Essentials, na página Visão geral, copie os valores desses campos:

   • ID do aplicativo (cliente)
   • ID do Diretório (locatário)
   • URI da ID do aplicativo

5. Use a ID do locatário para construir essas URLs OAuth necessárias:

   Tipo de URL	Formato
   URL de autenticação	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/authorize
   Token URL	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token
   Atualizar URL	https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token

   Substitua <TENANT_ID> pelo valor real da ID do locatário. Salve esses valores para mais tarde.

6. Selecione Gerenciar>Certificados & segredos. Crie um novo segredo do cliente se ainda não houver um e copie seu valor para uso posterior.

7. Selecione Gerenciar>Expor uma API e copie o escopo existente.

Depois de configurar a passagem de identidade OAuth no portal do Foundry, você receberá uma URL de redirecionamento. Você deve retornar ao registro do aplicativo Entra para adicionar essa URL de redirecionamento ao registro do aplicativo Microsoft Entra.

Como o acesso não autenticado não requer segredos ou autenticação compartilhados, você não precisa coletar credenciais. No entanto, você deve desabilitar a autenticação baseada em chave para que o ponto de extremidade do servidor permita acesso anônimo.

Quando você usa a autenticação baseada em chave, o agente autentica passando uma chave de acesso de função no cabeçalho da solicitação para o servidor MCP.

Para conectar-se ao endpoint do servidor MCP:

1. Vá para o portal do Foundry (novo Foundry).

2. Selecione a guia Compilar na parte superior da página e selecione um agente para se conectar ao servidor MCP.

3. Na guia Playground , expanda a lista suspensa Ferramentas e selecione Adicionar.

4. Na guia Personalizado, em Selecionar uma ferramenta, selecione: Protocolo de Contexto de Modelo (MCP)>Criar.

5. Na ferramenta Adicionar Protocolo de Conteúdo de Modelo, forneça informações desta tabela para configurar uma conexão baseada em chave de acesso:

   Campo	Description	Example
   Nome	Um identificador exclusivo para o servidor MCP. Use o nome do aplicativo de funções como o padrão.	contoso-mcp-tools
   Ponto de extremidade remoto do Servidor MCP	O ponto de extremidade de URL do servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticação	O método de autenticação para usar.	Key-based
   Credencial	O par chave-valor para autenticar seu aplicativo de funções.	x-functions-key: aaaaaaaa-0b0b-1c1c-2d2d-333333333333

6. Selecione Conectar para criar uma conexão com o ponto de extremidade do servidor MCP. Você verá o nome do servidor listado em Ferramentas.

7. Selecione Salvar para salvar a configuração da ferramenta MCP em seu agente.

Quando você usa Microsoft Entra autenticação, o agente se autentica usando uma identidade gerenciada para se conectar ao servidor MCP.

Para conectar-se ao endpoint do servidor MCP:

1. Vá para o portal do Foundry (novo Foundry).

2. Selecione a guia Compilar na parte superior da página e selecione um agente para se conectar ao servidor MCP.

3. Na guia Playground , expanda a lista suspensa Ferramentas e selecione Adicionar.

4. Na guia Personalizado, em Selecionar uma ferramenta, selecione: Protocolo de Contexto de Modelo (MCP)>Criar.

5. Na ferramenta Add Model Content Protocol, insira as informações desta tabela para configurar uma conexão baseada em Microsoft Entra:

   Campo	Description	Example
   Nome	Um identificador exclusivo para o servidor MCP. Você pode usar o nome do aplicativo de funções.	contoso-mcp-tools
   Ponto de extremidade remoto do Servidor MCP	O ponto de extremidade de URL do servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticação	O método de autenticação para usar.	Microsoft Entra
   Tipo	O tipo de identidade que o agente usa para autenticar.	Project Managed Identity
   Público	O URI da ID do aplicativo de funções na inscrição do Entra. Esse valor informa ao provedor de identidade para qual aplicativo o token se destina.	api://aaaabbbb-0000-cccc-1111-dddd2222eeee

6. Selecione Conectar para criar uma conexão com o ponto de extremidade do servidor MCP. Você verá o nome do servidor listado em Ferramentas.

7. Selecione Salvar para salvar a configuração da ferramenta MCP em seu agente.

Quando você usa a passagem de identidade OAuth, o agente solicita que o usuário entre e use o token de acesso retornado ao se conectar ao servidor.

1. Vá para o portal do Foundry (novo Foundry).

2. Selecione a guia Compilar na parte superior da página e selecione um agente para se conectar ao servidor MCP.

3. Na guia Playground , expanda a lista suspensa Ferramentas e selecione Adicionar.

4. Na guia Personalizado, em Selecionar uma ferramenta, selecione: Protocolo de Contexto de Modelo (MCP)>Criar.

5. Na ferramenta Adicionar Protocolo de Conteúdo de Modelo, insira as informações desta tabela para configurar a conexão de Passagem de Identidade OAuth:

   Campo	Description	Example
   Nome	Um identificador exclusivo para o servidor MCP. Você pode usar o nome do aplicativo de funções.	contoso-mcp-tools
   Ponto de extremidade remoto do Servidor MCP	O ponto de extremidade de URL do servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticação	O método de autenticação para usar.	OAuth Identity Passthrough
   ID do cliente	O ID do cliente do registro Entra do aplicativo de funções	00001111-aaaa-2222-bbbb-3333cccc4444
   Segredo do cliente	O segredo do cliente do seu registro do Entra no aplicativo Funções	abcEFGhijkLMNopqRST
   Token URL	O endpoint que o seu aplicativo de servidor chama para trocar um código de autorização ou uma credencial por um token de acesso.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/token
   URL de autenticação	O endpoint onde os usuários são redirecionados para autenticar e autorizar seu aplicativo de servidor.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/authorize
   Atualizar URL	O endpoint usado para obter um novo token de acesso quando o atual expira.	https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/v2.0/token
   Escopos	As permissões específicas ou os níveis de acesso a recursos que seu aplicativo de servidor solicita do servidor de autorização	api://aaaabbbb-0000-cccc-1111-dddd2222eeee/user_impersonation

6. Selecione Conectar para criar uma conexão com o ponto de extremidade do servidor MCP.

7. Depois de criar seu provedor de credenciais, você receberá uma URL de Redirecionamento. Antes de fechar essa janela, copie o valor da URL. Você deve adicionar essa URL de redirecionamento ao registro do aplicativo Entra.

8. Retorne ao registro do aplicativo Entra e, em Gerenciar>Autenticação , selecione + Adicionar URI de redirecionamento. Selecione Web, cole o valor do URI de Redirecionamento copiado e selecione Configurar.

9. Volte para a janela do agente, selecione Fechar>Salvar para salvar a configuração da ferramenta MCP em seu agente.

Use o acesso não autenticado somente quando o servidor MCP não exigir autenticação e acessar apenas informações disponíveis ao público.

Para conectar-se ao endpoint do servidor MCP:

1. Vá para o portal do Foundry (novo Foundry).

2. Selecione a guia Compilar na parte superior da página e selecione um agente para se conectar ao servidor MCP.

3. Na guia Playground , expanda a lista suspensa Ferramentas e selecione Adicionar.

4. Na guia Personalizado, em Selecionar uma ferramenta, selecione: Protocolo de Contexto de Modelo (MCP)>Criar.

5. Na ferramenta Adicionar Protocolo de Conteúdo de Modelo, forneça informações desta tabela para configurar uma conexão não autenticada:

   Campo	Description	Example
   Nome	Um identificador exclusivo para o servidor MCP. Você pode usar o nome do aplicativo de funções.	contoso-mcp-tools
   Ponto de extremidade remoto do Servidor MCP	O ponto de extremidade de URL do servidor MCP.	https://contoso-mcp-tools.azurewebsites.net/runtime/webhooks/mcp
   Autenticação	O método de autenticação para usar.	Unauthenticated

6. Selecione Conectar para criar uma conexão não autenticada com o endpoint do servidor MCP. Agora você deve ver o nome do servidor listado em Ferramentas.

7. Selecione Salvar para salvar a configuração da ferramenta MCP em seu agente.

• Saiba mais sobre o Serviço do Foundry Agent e o ciclo de vida de desenvolvimento do agente
• Equipe seu agente com ferramentas integradas do catálogo de ferramentas do Foundry
• Enriquecer seu agente com acesso às bases de dados de conhecimento da empresa

• extensão MCP do Azure Functions
• Configurar implantação contínua com Ações do GitHub
• Monitor Azure Functions com OpenTelemetry
• Continuar iterando de acordo com as melhores práticas do Azure Functions

• Registrar seu servidor MCP no catálogo de ferramentas organizacionais