Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Azure MCP Server menghubungkan agen AI ke layanan Azure, menjalankan alat atas nama Anda, dan broker mengakses sumber daya Azure Anda melalui token yang mengotorisasi setiap panggilan. Karena Azure MCP Server berada di antara agen dan sumber daya cloud Anda, Anda harus melindungi Azure MCP Server itu sendiri, token yang mengotorisasi akses, dan input alat dan output yang mengalir melalui agen Anda.
Artikel ini menyediakan panduan tentang cara terbaik mengamankan penyebaran Azure MCP Server Anda.
Autentikasi dan otorisasi
Azure MCP Server menggunakan Microsoft Entra ID melalui pustaka identitas Azure untuk mengautentikasi penelepon. Spesifikasi otorisasi MCP memerlukan OAuth 2.1, jadi perlakukan Azure MCP Server sebagai server sumber daya OAuth 2.1. Klien harus menggunakan PKCE (Proof Key for Code Exchange) saat melakukan alur kode otorisasi. Terapkan praktik berikut:
Validasi setiap token otorisasi. Verifikasi penerbit, audiens, dan kedaluwarsa pada setiap token otorisasi masuk sebelum Anda mengizinkan eksekusi alat. Jangan percayai token yang kehilangan klaim yang diperlukan atau yang dikeluarkan untuk sumber daya yang berbeda.
Mengikat token otorisasi ke audiens yang dimaksudkan. Gunakan token yang terikat audiens sehingga token yang dikeluarkan untuk satu layanan tidak dapat diputar ulang terhadap layanan lain.
Terapkan pencocokan URI pengalihan dan persetujuan per klien yang ketat. Untuk alur kode otorisasi, izinkan hanya URI pengalihan yang telah didaftarkan sebelumnya dan tepat dan memerlukan persetujuan per klien, sehingga kode otorisasi yang disadap tidak dapat ditukarkan oleh klien yang berbeda.
Ikuti RBAC hak istimewa terkecil. Berikan setiap pemanggil hanya peran RBAC Azure yang diperlukan untuk tugasnya. Azure MCP Server mencerminkan izin langganan Azure Anda - penelepon yang memiliki akses langganan luas dapat memanggil serangkaian alat yang luas. Lingkup penetapan peran sesempit mungkin. Aktifkan hanya alat yang dibutuhkan setiap pemanggil, karena setiap alat yang dapat dijangkau ditambahkan ke permukaan serangan Anda.
Lebih suka identitas beban kerja. Dalam skenario agenik, gunakan identitas terkelola atau identitas beban kerja daripada rahasia berumur panjang atau kredensial bersama. Ketika kredensial statis tidak dapat ditolak - misalnya, kunci API untuk layanan pihak ketiga yang tidak mendukung identitas beban kerja - simpan di Azure Key Vault dan referensikan dari konfigurasi penyebaran Anda. Jangan pernah menyimpan kredensial dalam kode sumber atau file konfigurasi teks biasa, dan putar pada jadwal reguler.
Hindari pola deputi yang bingung. Cakupan Azure identitas dan izin Azure MCP Server sendiri minimal yang perlu dioperasikan. Jangan biarkan server bertindak sebagai deputi yang memberikan hak istimewa luasnya kepada penelepon dengan hak istimewa yang lebih rendah: pisahkan identitas eksekusi server dari otorisasi pemanggil, dan terapkan pemeriksaan izin per penelepon daripada hanya mengandalkan kredensial server sendiri.
Perlindungan Server MCP Azure Jarak Jauh
Saat Anda menyebarkan Azure MCP Server sebagai server jarak jauh yang dihost sendiri, pertimbangkan untuk menempatkannya di belakang Azure API Management (APIM) sebagai gateway penegakan:
Tempatkan Azure MCP Server di belakang gateway penegakan. APIM dapat memvalidasi token Entra ID sebelum permintaan mencapai Azure MCP Server Anda, yang menghapus kebutuhan kode aplikasi Anda untuk memeriksa token.
Terapkan kebijakan gateway untuk pembatasan dan audit tarif. Gunakan kebijakan APIM untuk membatasi seberapa sering penelepon dapat membuat permintaan, membatasi jalur alat yang diizinkan, dan mencatat setiap permintaan untuk tujuan audit.
Memusatkan kontrol akses pada satu titik tersedak. Gateway menyediakan satu titik tersedak untuk kontrol akses dan pengamatan di beberapa alat MCP hilir.
Lindungi titik akhir yang Azure klien MCP Server terhubung. URL pengganti atau spoofed dapat menerima permintaan eksekusi alat dan mengekspos kredensial atau data sumber daya Azure. Untuk mengurangi risiko tersebut:
Sambungkan hanya ke titik akhir SERVER MCP Azure tepercaya. Gunakan hanya titik akhir yang Anda provisikan atau yang diekspos tim Anda melalui APIM. Jangan memperoleh URL Server MCP Azure dari input yang disediakan pengguna atau respons penemuan yang tidak diautentikasi.
Verifikasi sertifikat TLS Azure MCP Server. Pastikan titik akhir cocok dengan host yang diharapkan. Saat menggunakan APIM, rutekan klien melalui gateway sehingga titik akhir pencadangan tidak dapat dialihkan secara diam-diam.
Gagal ditutup pada kesalahan sertifikat. Perlakukan sertifikat Server MCP Azure yang tidak diverifikasi atau tidak dikenal sebagai kegagalan koneksi, bukan peringatan untuk dilewati.
Untuk opsi hosting mandiri, lihat Menyebarkan Server MCP Azure yang dihost sendiri.
Pengerasan penyebaran lokal
Server MCP Azure lokal berjalan di lingkungan pengembang Anda untuk penggunaan pengembangan. Karena dapat bertindak dengan identitas Azure Anda, tinjau apa yang dapat diakses akun masuk Anda sebelum Anda menghubungkan agen ke sumber daya Azure:
Tinjau izin Azure Anda. Periksa peran RBAC Azure yang ditetapkan ke akun pengembang Anda, dan hapus izin langganan atau grup manajemen yang luas yang tidak diperlukan untuk tugas tersebut.
Batasi akses lokal. Jalankan Server MCP Azure lokal dari stasiun kerja atau kontainer tepercaya, dan jangan mengekspos titik akhir lokal ke jaringan yang tidak tepercaya atau pengguna lain di komputer.
Pertahankan server lokal tetap terkini. Gunakan paket Azure MCP Server saat ini dan dependensi yang di-patch, terutama sebelum pengujian terhadap sumber daya Azure nonproduksi.
Eksekusi lokal kotak pasir. Jalankan Azure lokal MCP Server dalam kontainer atau kotak pasir dengan sistem file dan akses jaringan terbatas, dan jaga agar toolchain tetap di-patch, untuk membatasi injeksi perintah dan dampak traversal jalur saat alat menelurkan subproses.
Jangan gunakan server MCP Azure lokal untuk menangani data produksi atau kredensial produksi.
Alat keracunan dan injeksi prompt
Deskripsi alat MCP dan respons alat adalah input ke konteks agen Anda. Jika metadata alat atau output alat berbahaya, itu dapat memengaruhi agen yang memiliki akses ke alat Azure MCP Server dan izin Azure di belakangnya.
Untuk mengurangi risiko ini bagi penyebaran Azure MCP Server:
Lebih suka Server MCP Microsoft resmi yang dikelola Azure. Gunakan server MCP Azure pihak pertama untuk layanan Azure alih-alih server yang belum diverifikasi yang mengekspos alat Azure serupa. Perlakukan perubahan skema alat sebagai perubahan dependensi yang memerlukan peninjauan.
Percayai tetapi verifikasi konteks alat. Perlakukan deskripsi dan respons alat sebagai input yang tidak tepercaya ke agen. Tinjau definisi alat sebelum penggunaan produksi, dan validasi atau sanitasi data yang diteruskan respons alat kembali ke konteks agen.
Definisi alat kontrol perubahan. Tinjau dan sematkan skema dan deskripsi alat yang dikenal baik, dan perlu persetujuan ulang sebelum metadata alat yang diperbarui berlaku, sehingga server tidak dapat mengubah perilaku secara diam-diam setelah persetujuan ("tarikan karpet") rantai pasokan.
Gunakan kontrol keamanan Azure yang sesuai dengan arsitektur Anda. Evaluasi kontrol dalam kontrol keamanan Microsoft untuk memeriksa konteks agen, mendeteksi aliran data sensitif, dan memantau beban kerja AI Azure. Verifikasi setiap jalur integrasi sebelum mengandalkannya dalam produksi.
Kepercayaan server MCP pihak ketiga
Banyak lingkungan pengembang menjalankan beberapa server MCP secara bersamaan. Untuk pekerjaan Azure, lebih suka Microsoft resmi Azure MCP Server daripada alternatif komunitas untuk layanan Azure.
Jika Anda menambahkan server MCP pihak ketiga di samping Azure McP Server:
Verifikasi penerbit dan perbarui jalur. Gunakan server dari penerbit tepercaya dengan kontak keamanan publik. Tinjau changelog dan pembaruan paket sebelum mengizinkan server pihak ketiga ke lingkungan agen yang juga dapat menjangkau Azure alat MCP Server.
Pisahkan konteks kredensial. Jangan biarkan server yang belum diverifikasi berbagi kredensial, sistem file, atau akses jaringan yang digunakan oleh Azure McP Server. Jalankan server yang tidak tepercaya dengan hak istimewa paling sedikit di lingkungan yang terisolasi.
Tinjau alat di seluruh konteks agen lengkap. Server berbahaya dapat menggunakan deskripsi alatnya untuk memengaruhi perilaku agen terhadap server tepercaya lainnya dalam konteks yang sama, termasuk Azure McP Server. Audit deskripsi alat untuk setiap server yang Anda konfigurasi, tidak hanya alat Azure.
Tata kelola dan pemantauan
Lacak instans MCP Server Azure mana yang berjalan di lingkungan Anda, dan pantau aktivitasnya:
Server yang disetujui inventori. Pertahankan garis besar titik akhir MCP Server Azure terdaftar yang diketahui, misalnya dengan Azure API Center, sehingga Anda dapat mendeteksi server "bayangan" yang tidak terdaftar yang berada di luar tata kelola.
Pantau aktivitas dan pertahankan bukti. Hubungkan Azure aktivitas MCP Server di Microsoft Sentinel dan pertahankan log audit Microsoft Purview sehingga Anda dapat menyelidiki panggilan alat yang mencurigakan.
kontrol keamanan Microsoft
Gunakan layanan keamanan Microsoft berikut untuk menambahkan pertahanan mendalam untuk beban kerja Azure MCP Server. Penerapan setiap kontrol untuk penyebaran spesifik Anda tergantung pada arsitektur Anda. Evaluasi setiap kontrol dalam konteks lingkungan Anda sendiri:
Periksa konteks agen dengan Prompt Shields. Gunakan Keamanan Konten Azure AI Prompt Shields untuk memeriksa konten yang memasukkan konteks agen Anda - termasuk deskripsi alat dan output alat - dan mendeteksi potensi upaya injeksi prompt. Pertimbangkan untuk mengintegrasikan Prompt Shields di alur agen Saat Anda menggunakan metadata alat yang dimuat secara dinamis. Untuk informasi selengkapnya, lihat Prompt Shields.
Mendeteksi aliran data sensitif dengan DLP Purview. Jika beban kerja Anda secara eksplisit terintegrasi dengan Microsoft Purview, gunakan kebijakan Pencegahan Kehilangan Data Purview untuk membantu mendeteksi dan menandai data sensitif dalam aliran data yang terkait dengan agen Anda. Cakupan parameter panggilan alat arbitrer tidak otomatis - itu tergantung pada arsitektur penyebaran Anda dan konektor Purview mana yang digunakan beban kerja Anda. Evaluasi apakah jalur integrasi spesifik Anda mendukung kontrol yang Anda butuhkan sebelum mengandalkan DLP untuk beban kerja agen. Untuk informasi selengkapnya, lihat dokumentasi Microsoft Purview.
Memantau beban kerja AI dengan Defender untuk Cloud. Gunakan perlindungan ancaman AI Microsoft Defender untuk Cloud untuk deteksi ancaman runtime pada beban kerja AI, termasuk pemberitahuan tentang aktivitas mencurigakan di Azure OpenAI dan panggilan API layanan Inferensi Model AI Azure. Cakupan tidak secara otomatis diperluas ke output alat MCP sewenang-wenang - ini berlaku untuk lapisan layanan AI Azure dalam arsitektur Anda. Untuk informasi selengkapnya, lihat Perlindungan ancaman AI.
Note
Kontrol yang tercantum sebelumnya adalah layanan keamanan Azure umum. Verifikasi bahwa setiap jalur integrasi kontrol didukung untuk arsitektur penyebaran Azure MCP Server spesifik Anda sebelum mengaktifkannya dalam produksi.