Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Kontrollera nätverksåtkomst i två riktningar: från din Model Context Protocol (MCP)-klient till din arbetsplats, och från din arbetsplats till externa MCP-servrar. För inloggning och identitet, se MCP-autentisering.
Klient till arbetsområde
MCP-förfrågningar måste tillåtas av din arbetsplatss inkommande nätverkskontroller. Om IP-åtkomstlistor för arbetsytor är aktiverade, be en administratör att tillåta de publika IP-adresser där förfrågningarna kommer ifrån:
| Där MCP-klienten körs | Adresser som tillåts |
|---|---|
| På din dator, som Claude Code, Codex CLI eller Cursor | Ditt nätverks offentliga utgående IP. Om trafiken går via en företags-VPN eller proxy, använd nätverkets utgående IP. Be din nätverksadministratör om det. |
| I en hostad tjänst, såsom en Claude Connector eller ChatGPT | Leverantörens publicerade utgående IP-intervall. Se Claudes utgående IP-adresser och ChatGPT:s utgående IP-adresser. |
För hostade klienter kommer webbläsarinloggning från ditt nätverk, medan MCP-samtal kommer från leverantörens servrar. Båda måste tillåtas. Till exempel betyder det inte att ChatGPT kan nå din MCP om du loggar in framgångsrikt från din företags-VPN.
Om din organisation också använder kontextbaserade ingångskontroller måste förfrågningarna uppfylla dessa policyer också. Konto-IP-åtkomstlistor gäller för kontokonsol och konto-API-åtkomst, till exempel en administratör som skapar en OAuth-app.
Arbetsyta till extern MCP-server
Anrop till externa MCP-leverantörer via Unity Gateway använder arbetsområdets serverlösa beräkningsplan. Detta gäller registrerade externa servrar och Databricks-levererade MCP:er för externa tjänster.
Om din serverlösa nätverkspolicy använder begränsad åtkomst, lägg till serverns fullt kvalificerade domännamn (FQDN) under tillåtna domäner. Börja med värden på MCP:ns Unity Catalog-anslutning. Kontrollera system.access.outbound_network om det finns fler blockerade destinationer.
Se Hantera nätverkspolicyer och utgående nätverksloggar.
- En Unity Catalog-anslutning tillåter inte automatiskt sin destination.
-
Full åtkomst är serverless nätverkspolicyns läge för att tillåta utgående internetanslutningar som standard. Uttryckligen blockerade domäner förblir nekade. Till exempel en policy som blockerar
mcp.example.comförhindrar anrop till den MCP-servern. Be en administratör granska policyns blockerade destinationer. - För att testa MCP-trafik i torrkörningsläge, välj Alla produkter. Databricks SQL- och AI-modellserveringsalternativ sätter inte MCP-trafiken i torrkörning.
Privat anslutning
För att nå en MCP-server i ditt molnnätverk, välj hur Azure Databricks serverless compute ansluter till den:
- Privat endpoint: Använd Private Link för att hålla trafiken på en privat anslutning. En kontoadministratör lägger till en privat endpoint-regel för serverns domän till en nätverksanslutningskonfiguration (NCC) kopplad till din arbetsplats. Din molnadministratör godkänner slutpunktsanslutningen. Se Konfigurera privat anslutning.
- Publik endpoint med brandvägg: Konfigurera serverns brandvägg för att tillåta Azure Databricks serverlösa utgående IP-adresser för ditt arbetsområdes moln och region. Dessa IP-adresser delas mellan Azure Databricks-kunder, så håll autentiseringen aktiverad på servern. Se Hitta utgående IP-adresser och konfigurera din brandvägg.
Domäner som läggs till i privata endpoint-regler tillåts automatiskt enligt nätverkspolicys, så du behöver inte lägga till dem separat i tillåtna domäner. För en publik endpoint, följ Workspace till extern MCP-server.