Nota
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Para la configuración paso a paso, usa la guía de tu agente de programación o el quickstart en Python. Utiliza esta página para comprobar los requisitos de autenticación compartida y el acceso a la red.
Sign in to Azure Databricks
Usa tu cuenta de usuario de Azure Databricks para trabajo interactivo, o un principal de servicio para un agente que se ejecute sin supervisión. Sigue la configuración para tu agente:
| Caso de uso | Configuración recomendada |
|---|---|
| Agentes de codificación | Usa la CLI de Unity Gateway. Se encarga del inicio de sesión y actualiza las credenciales. |
| Desarrollo local de Python | Usa el inicio de sesión con la CLI de Databricks. |
| Otros clientes interactivos de MCP | Configura OAuth con un ID de cliente registrado. |
| Agentes desatendidos | Utiliza un principio de servicio con OAuth máquina a máquina (M2M). Para agentes en Databricks Apps, véase Autenticación de agentes. |
El usuario o el principal del servicio necesita permiso para llamar al MCP. Si una herramienta te pide iniciar sesión en un proveedor externo, sigue la configuración de servicios externos.
Para pruebas locales, los MCPs proporcionados y registrados por Databricks, así como los endpoints de workspace heredados, aceptan un token de acceso personal en la Authorization: Bearer <token> cabecera. Mantén los tokens fuera del control de versiones. Los servidores alojados en aplicaciones Databricks requieren OAuth y no aceptan tokens de acceso personal.
Configurar un cliente OAuth personalizado
Úsalo cuando tu cliente necesite su propia aplicación OAuth. Las guías Claude Code y Codex incluyen sus configuraciones específicas para cada cliente.
Obtén la URL exacta de redirección de tu cliente, incluyendo su host, puerto y ruta.
Haz que un administrador de cuenta abra Configuración en la consola de cuentas, seleccione Conexiones a la app y haga clic en Añadir conexión.
Introduce un nombre, añade la URL de redirección y selecciona los ámbitos para tu servidor:
Server URL Ámbito MCP proporcionado o registrado https://<workspace-hostname>/ai-gateway/mcp-services/<catalog>.<schema>.<service>ai-gatewayServidor en aplicaciones Databricks https://<app-url>/mcpIncluye los ámbitos de autorización de usuario de la app. También necesitas PODER USAR en la app. Endpoint MCP de Workspace (legacy) La URL en la página del servidor Usa los visores listados para ese servidor. Elige si quieres generar un secreto de cliente:
- Cliente de escritorio o CLI (cliente público): Claro Generar un secreto del cliente.
- Cliente del lado del servidor que almacena secretos de forma segura (cliente confidencial): Dejar Generar un secreto cliente seleccionado.
Guarda la conexión y copia el ID del cliente. Si has generado un secreto del cliente, copia también ese valor.
Introduce la URL del servidor y las credenciales del cliente en tu cliente MCP. Usa HTTP Streamable, solicita el alcance del servidor y
offline_accesslos tokens de actualización, y inicia sesión.
Consulta Crear una app OAuth para opciones de interfaz y CLI. Los cambios pueden tardar hasta 30 minutos en hacer efecto. Los endpoints MCP de Azure Databricks no soportan registro dinámico de clientes, así que usa un cliente que acepte un ID de cliente preconfigurado.
Acceso a la red
Comprueba el acceso del cliente al espacio de trabajo y del espacio de trabajo al servidor externo.
De cliente a espacio de trabajo
Las solicitudes MCP deben ser permitidas por los controles de red entrante de tu espacio de trabajo. Si las listas de acceso IP al espacio de trabajo están habilitadas, pide a un administrador que permita las direcciones IP públicas de donde se originan las solicitudes:
| Donde se ejecuta el cliente MCP | Direcciones a permitir |
|---|---|
| En tu ordenador, como Claude Code, Codex CLI o Cursor | La IP pública saliente de tu red. Si el tráfico pasa por una VPN corporativa o un proxy, usa la IP saliente de esa red. Tu administrador de red puede proporcionarlo. |
| En un servicio alojado, como un conector Claude o ChatGPT | Los rangos de IP saliente publicados por el proveedor. Consulta las IPs salientes de Claude y las IPs salientes de ChatGPT. |
Para los clientes alojados, el inicio de sesión del navegador viene desde tu red, mientras que las llamadas MCP provienen de los servidores del proveedor. Ambas deben estar permitidas. Por ejemplo, iniciar sesión correctamente desde tu VPN corporativa no significa que ChatGPT pueda llegar a tu MCP.
Si tu organización también utiliza controles de entrada basados en contexto, las peticiones deben cumplir esas políticas también. Las listas de acceso a la IP de la cuenta se aplican al acceso a la consola de cuenta y a la API de cuenta, como un administrador que crea una aplicación OAuth.
Workspace a servidor MCP externo
Las llamadas a proveedores MCP externos a través de Unity Gateway utilizan el plano de cómputo serverless del espacio de trabajo. Esto se aplica a servidores externos registrados y MCPs proporcionados por Databricks para servicios externos.
Si tu política de red sin servidor usa acceso restringido, añade el nombre de dominio totalmente calificado (FQDN) del servidor a Dominios Permitidos. Empieza con el host en la conexión Unity Catalog del MCP. Comprueba system.access.outbound_network si hay destinos bloqueados adicionales. Consulta Gestionar políticas de red y registros de red saliente.
- Una conexión de Unity Catalog no permite automáticamente su destino.
- El acceso completo es el modo de la política de red serverless para permitir conexiones a internet salientes por defecto. Los dominios explícitamente bloqueados siguen siendo denegados. Por ejemplo, una política que bloquea
mcp.example.comimpide llamadas a ese servidor MCP. Pide a un administrador que revise los destinos bloqueados de la política. - Para probar el tráfico MCP en modo de prueba en seco, seleccione Todos los productos. Las opciones de servicio de modelos SQL e IA de Databricks no ponen el tráfico MCP en un ensayo completo.
Conectividad privada
Para acceder a un servidor MCP en tu red en la nube, elige cómo se conecta el computo serverless de Azure Databricks a él:
- Punto final privado: Utiliza Private Link para mantener el tráfico en una conexión privada. Un administrador de cuenta añade una regla de endpoint privado para el dominio del servidor a una configuración de conectividad de red (NCC) adjunta a tu espacio de trabajo. Tu administrador de la nube aprueba la conexión al endpoint. Consulta Configurar conectividad privada.
- Endpoint público con cortafuegos: Configura el firewall del servidor para permitir IPs de salida serverless de Azure Databricks para la nube y región de tu espacio de trabajo. Estas IPs se comparten entre los clientes de Azure Databricks, así que mantén la autenticación activada en el servidor. Consulta Encuentra las IPs salientes y configura tu cortafuegos.
Los dominios añadidos a las reglas de endpoints privados están permitidos automáticamente por políticas de red, así que no necesitas añadirlos por separado a los dominios Permitidos. Para un endpoint público, sigue la configuración de políticas de red anterior.