Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Verifique o acesso à rede em duas direções: do seu cliente Model Context Protocol (MCP) para seu workspace, e do seu workspace para servidores MCP externos. Para login e identidade, veja autenticação MCP.
Cliente para workspace
As requisições MCP devem ser permitidas pelos controles de rede de entrada do seu workspace. Se as listas de acesso de IP de workspace estiverem habilitadas, peça a um administrador para permitir que os endereços IP públicos de onde as solicitações se originam:
| Onde o cliente MCP roda | Endereços a permitir |
|---|---|
| No seu computador, como Claude Code, Codex CLI ou Cursor | O IP público de saída da sua rede. Se o tráfego passar por uma VPN ou proxy corporativo, use o IP de saída dessa rede. Peça ao administrador de rede por isso. |
| Em um serviço hospedado, como um conector Claude ou ChatGPT | As faixas de IP de saída publicadas pelo provedor. Veja os IPs de saída do Claude e os IPs de saída do ChatGPT. |
Para clientes hospedados, o login do navegador vem da sua rede, enquanto as chamadas MCP vêm dos servidores do provedor. Ambos devem ser permitidos. Por exemplo, fazer login com sucesso pela sua VPN corporativa não significa que o ChatGPT pode acessar seu MCP.
Se sua organização também usa controles de entrada baseados em contexto, as requisições devem atender a essas políticas também. Listas de acesso a IP de conta se aplicam ao console da conta e ao acesso à API da conta, como um administrador criando um app OAuth.
Workspace para servidor MCP externo
Chamadas para provedores MCP externos via Unity Gateway utilizam o plano de computação serverless do workspace. Isso se aplica a servidores externos registrados e MCPs fornecidos pelo Databricks para serviços externos.
Se sua política de rede serverless usar acesso restrito, adicione o nome de domínio totalmente qualificado (FQDN) do servidor a domínios permitidos. Comece pelo host na conexão do Catálogo Unity do MCP. Verifique system.access.outbound_network se há destinos bloqueados adicionais.
Veja Gerenciar políticas de rede e logs de rede de saída.
- Uma conexão do Unity Catalog não permite automaticamente seu destino.
-
O acesso total é o modo da política de rede serverless para permitir conexões de internet de saída por padrão. Domínios explicitamente bloqueados continuam negados. Por exemplo, uma política que bloqueia
mcp.example.comimpede chamadas para esse servidor MCP. Peça a um administrador para revisar os destinos bloqueados da política. - Para testar o tráfego MCP em modo de teste a zero, selecione Todos os produtos. As opções de serviço de modelosSQL e IA do Databricks não colocam o tráfego MCP em um teste a branco.
Conectividade privada
Para acessar um servidor MCP na sua rede em nuvem, escolha como o comput serverless do Azure Databricks se conecta a ele:
- Endpoint privado: Use o Link Privado para manter o tráfego em uma conexão privada. Um administrador de conta adiciona uma regra de endpoint privado para o domínio do servidor a uma configuração de conectividade de rede (NCC) anexada ao seu espaço de trabalho. Seu administrador de nuvem aprova a conexão do endpoint. Veja Configurar conectividade privada.
- Endpoint público com firewall: Configure o firewall do servidor para permitir IPs de saída serverless do Azure Databricks para a nuvem e região do seu workspace. Esses IPs são compartilhados entre os clientes do Azure Databricks, então mantenha a autenticação ativada no servidor. Veja Encontrar os IPs de saída e configurar seu firewall.
Domínios adicionados às regras de endpoint privados são automaticamente permitidos pelas políticas de rede, então você não precisa adicioná-los separadamente aos domínios Permitidos. Para um endpoint público, siga o Workspace para o servidor MCP externo.