Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Verifique o acesso à rede em duas direções: do seu cliente Model Context Protocol (MCP) para o seu espaço de trabalho, e do seu espaço de trabalho para servidores MCP externos. Para login e identidade, veja autenticação MCP.
Cliente para espaço de trabalho
Os pedidos MCP devem ser permitidos pelos controlos de rede de entrada do seu espaço de trabalho. Se as listas de acesso IP ao espaço de trabalho estiverem ativadas, peça a um administrador que permita os endereços IP públicos onde os pedidos se originam:
| Onde o cliente MCP corre | Endereços a permitir |
|---|---|
| No seu computador, como Claude Code, Codex CLI ou Cursor | O IP público de saída da tua rede. Se o tráfego passar por uma VPN corporativa ou proxy, use o IP de saída dessa rede. Pede ao teu administrador de rede. |
| Num serviço alojado, como um conector Claude ou ChatGPT | Os intervalos de IP de saída publicados pelo fornecedor. Veja os IPs de saída do Claude e os IPs de saída do ChatGPT. |
Para clientes alojados, o login do navegador é feito pela sua rede, enquanto as chamadas MCP vêm dos servidores do fornecedor. Ambos devem ser permitidos. Por exemplo, iniciar sessão com sucesso a partir da sua VPN corporativa não significa que o ChatGPT possa aceder ao seu MCP.
Se a sua organização também utiliza controlos de entrada baseados no contexto, os pedidos devem cumprir essas políticas também. As listas de acesso a IP de conta aplicam-se ao acesso à consola da conta e à API da conta, como um administrador a criar uma aplicação OAuth.
Workspace para servidor MCP externo
As chamadas para fornecedores MCP externos através do Unity Gateway utilizam o plano de computação serverless do workspace. Isto aplica-se a servidores externos registados e MCPs fornecidos pelo Databricks para serviços externos.
Se a sua política de rede serverless usar Acesso Restrito, adicione o nome de domínio totalmente qualificado (FQDN) do servidor a Domínios Permitidos. Comece com o anfitrião na ligação Unity Catalog do MCP. Verifique system.access.outbound_network se há destinos bloqueados adicionais.
Consulte Gerir políticas de rede e registos de rede de saída.
- Uma ligação ao Catálogo Unity não permite automaticamente o seu destino.
-
O acesso total é o modo da política de rede serverless para permitir por defeito ligações à internet de saída. Domínios explicitamente bloqueados continuam negados. Por exemplo, uma política que bloqueia
mcp.example.comimpede chamadas para esse servidor MCP. Peça a um administrador para rever os destinos bloqueados da apólice. - Para testar o tráfego MCP em modo de prova a zero, selecione Todos os produtos. As opções de serviço de modelosSQL e IA do Databricks não colocam o tráfego MCP em simulação.
Conectividade privada
Para aceder a um servidor MCP na sua rede cloud, escolha como o Azure Databricks serverless compute se liga a ele:
- Endpoint privado: Use o Private Link para manter o tráfego numa ligação privada. Um administrador de conta adiciona uma regra de endpoint privado para o domínio do servidor a uma configuração de conectividade de rede (NCC) ligada ao seu espaço de trabalho. O administrador da cloud aprova a ligação ao endpoint. Veja Configurar conectividade privada.
- Endpoint público com firewall: Configure o firewall do servidor para permitir que o Azure Databricks tenha IPs de saída serverless para a cloud e região do seu espaço de trabalho. Estes IPs são partilhados entre os clientes do Azure Databricks, por isso mantenha a autenticação ativada no servidor. Veja Encontrar os IPs de saída e configurar o seu firewall.
Domínios adicionados às regras de endpoint privados são automaticamente permitidos pelas políticas de rede, por isso não precisa de os adicionar separadamente aos domínios Permitidos. Para um endpoint público, siga o Workspace para o servidor MCP externo.