MCP-autentisering och nätverk

För steg-för-steg-installation, använd din kodningsagents guide eller Python quickstart. Använd denna sida för att kontrollera krav på delad autentisering och nätverksåtkomst.

Sign in to Azure Databricks

Använd ditt Azure Databricks-användarkonto för interaktivt arbete, eller en tjänsteprincip för en agent som körs obevakad. Följ upplägget för din agent:

Användaren eller tjänstehuvudpersonen behöver tillstånd för att anropa MCP:n. Om ett verktyg ber dig logga in hos en extern leverantör, följ inställningarna Externa tjänster.

För lokal testning accepterar Databricks-levererade och registrerade MCP:er samt äldre arbetsytsändpunkter en personlig åtkomsttoken i Authorization: Bearer <token> headern. Håll tokens borta från versionskontrollen. Servrar som hostas på Databricks Apps kräver OAuth och accepterar inte personliga åtkomsttokens.

Konfigurera en anpassad OAuth-klient

Använd detta när din klient behöver sin egen OAuth-app. Claude Code- och Codex-guiderna innehåller sina klientspecifika inställningar.

1. Få exakt omdirigerings-URL från din klient, inklusive värd, port och sökväg.

2. Låt en kontoadministratör öppna Inställningar i kontokonsolen, välj appanslutningar och klicka på Lägg till anslutning.

3. Ange ett namn, lägg till omdirigerings-URL:en och välj scopes för din server:

   Server	URL	Scope
   Tillhandahållen eller registrerad MCP	https://<workspace-hostname>/ai-gateway/mcp-services/<catalog>.<schema>.<service>	ai-gateway
   Server på Databricks Apps	https://<app-url>/mcp	Inkludera appens användarbehörighetsscopes. Du behöver också KAN ANVÄNDA i appen.
   Workspace MCP-endpoint (legacy)	URL: en på serverns sida	Använd de scopes som listas för den servern.

4. Välj om du vill generera en klienthemlighet:

   • Skrivbords- eller CLI-klient (publik klient): Rensa Generera en klienthemlighet.
   • Server-sida klient som säkert lagrar hemligheter (konfidentiell klient): Lämna Generera en klienthemlighet vald.

5. Spara anslutningen och kopiera klient-ID:t. Om du genererade en klienthemlighet, kopiera även det värdet.

6. Ange serverns URL och klientuppgifter i din MCP-klient. Använd Streamable HTTP, begär serverns omfattning och offline_access uppdateringstoken, och logga in.

Se Create an OAuth-app för UI- och CLI-alternativ. Ändringar kan ta upp till 30 minuter innan de träder i kraft. Azure Databricks MCP-endpoints stöder inte dynamisk klientregistrering, så använd en klient som accepterar ett förkonfigurerat klient-ID.

Nätverksåtkomst

Kontrollera åtkomsten från klienten till arbetsytan och från arbetsytan till den externa servern.

Klient till arbetsområde

MCP-förfrågningar måste tillåtas av din arbetsplatss inkommande nätverkskontroller. Om IP-åtkomstlistor för arbetsytor är aktiverade, be en administratör att tillåta de publika IP-adresser där förfrågningarna kommer ifrån:

För hostade klienter kommer webbläsarinloggning från ditt nätverk, medan MCP-samtal kommer från leverantörens servrar. Båda måste tillåtas. Till exempel betyder det inte att ChatGPT kan nå din MCP om du loggar in framgångsrikt från din företags-VPN.

Om din organisation också använder kontextbaserade ingångskontroller måste förfrågningarna uppfylla dessa policyer också. Konto-IP-åtkomstlistor gäller för kontokonsol och konto-API-åtkomst, till exempel en administratör som skapar en OAuth-app.

Arbetsyta till extern MCP-server

Anrop till externa MCP-leverantörer via Unity Gateway använder arbetsområdets serverlösa beräkningsplan. Detta gäller registrerade externa servrar och Databricks-levererade MCP:er för externa tjänster.

Om din serverlösa nätverkspolicy använder begränsad åtkomst, lägg till serverns fullt kvalificerade domännamn (FQDN) under tillåtna domäner. Börja med värden på MCP:ns Unity Catalog-anslutning. Kontrollera system.access.outbound_network om det finns fler blockerade destinationer. Se Hantera nätverkspolicyer och utgående nätverksloggar.

• En Unity Catalog-anslutning tillåter inte automatiskt sin destination.
• Full åtkomst är serverless nätverkspolicyns läge för att tillåta utgående internetanslutningar som standard. Uttryckligen blockerade domäner förblir nekade. Till exempel en policy som blockerar mcp.example.com förhindrar anrop till den MCP-servern. Be en administratör granska policyns blockerade destinationer.
• För att testa MCP-trafik i torrkörningsläge, välj Alla produkter. Databricks SQL- och AI-modellserveringsalternativ sätter inte MCP-trafiken i torrkörning.

Privat anslutning

För att nå en MCP-server i ditt molnnätverk, välj hur Azure Databricks serverless compute ansluter till den:

• Privat endpoint: Använd Private Link för att hålla trafiken på en privat anslutning. En kontoadministratör lägger till en privat endpoint-regel för serverns domän till en nätverksanslutningskonfiguration (NCC) kopplad till din arbetsplats. Din molnadministratör godkänner slutpunktsanslutningen. Se Konfigurera privat anslutning.
• Publik endpoint med brandvägg: Konfigurera serverns brandvägg för att tillåta Azure Databricks serverlösa utgående IP-adresser för ditt arbetsområdes moln och region. Dessa IP-adresser delas mellan Azure Databricks-kunder, så håll autentiseringen aktiverad på servern. Se Hitta utgående IP-adresser och konfigurera din brandvägg.

Domäner som läggs till i privata endpoint-regler tillåts automatiskt enligt nätverkspolicys, så du behöver inte lägga till dem separat i tillåtna domäner. För en publik endpoint, följ nätverkspolicyn ovan.