Agents koppelen aan tools van derden met MCP-services

Important

Deze functie bevindt zich in de bètaversie. Accountbeheerders kunnen de toegang tot deze functie beheren via de pagina Previews van de accountconsole. Zie Azure Databricks previews beheren.

Een MCP-service is een Unity Catalog beveiligbaar die een externe MCP-server registreert en bepaalt hoe agents deze gebruiken. U kunt deze adresseren met de naam catalog.schema.mcp_servicevan drie niveaus en deze aanroepen via Unity AI Gateway, het besturingsvlak voor het beheren van AI-verkeer.

Het registreren van een MCP-server als een Unity Catalog beveiligbaar betekent dat u deze beheert met dezelfde primitieven die uw andere Unity Catalog-assets beschermen. Deze omvatten subsidies om te bepalen wie het kan aanroepen, selectie van hulpprogramma's om te beperken welke hulpprogramma's worden weergegeven, servicebeleid om afzonderlijke hulpprogramma-aanroepen toe te staan of te weigeren, en audit- en gebruikslogboekregistratie om elke aanroep bij te houden.

Er zijn twee manieren om MCP-services te gebruiken:

Approach Wanneer gebruiken
Een door Databricks geleverde MCP-service gebruiken U wilt een algemeen SaaS-hulpprogramma (Software as a Service), Slack, GitHub, Google Drive en meer, met nul installatie. Geen server om te hosten en geen verbinding om te maken.
Uw eigen externe MCP-server registreren U hebt een zelfgehoste MCP-server of een MCP-server van derden die u als een beveiligbaar object in Unity Catalog kunt beheren.

MCP Services verbindt agents met externe services. Gebruik voor Azure Databricks gegevens beheerde MCP-servers; als host voor uw eigen hulpprogramma's een aangepaste MCP-server.

Zie Een externe MCP-server registreren en aanroepen. Zie Een MCP-service beheren om de hulpprogramma's en aanroepen te beperken.

Tip

Voor een volledig werkvoorbeeld: registreer de GitHub MCP-server, beperk de hulpprogramma's, blokkeer destructieve aanroepen met een servicebeleid en controleer het gebruik. Volg de zelfstudie: Beheer de GitHub MCP-toegang van een coderingsagent.

Hoe werkt het?

Een agent roept een MCP-service aan door de URL van de Unity AI Gateway en elke aanroep loopt via hetzelfde beheerde pad:

Een agent die is geconfigureerd met een MCP-service-URL roept de service aan via Unity AI Gateway. De gateway autoriseert de aanroep voor de MCP-service in Unity Catalog, die de EXECUTE-toekenning, de selectie van hulpprogramma's en servicebeleid afdwingt, en proxyt vervolgens de aanvraag via een HTTP-verbinding van Unity Catalog met beheerde referenties naar de externe MCP-server, zoals GitHub of Slack. Records voor gebruik, controle en tracering komen binnen in systeemtabellen.

  1. Aanroepen: de agent verzendt een MCP-aanvraag naar de URL van de Unity AI Gateway van de service, geverifieerd met de Azure Databricks identiteit van de beller.
  2. Autoriseren en beheren: de gateway controleert of de beller de MCP-service in Unity Catalog heeft EXECUTE . De service stelt alleen de hulpmiddelen beschikbaar die u hebt geselecteerd en evalueert elk gekoppeld servicebeleid, dat de aanroep kan toestaan, weigeren of goedkeuring kan vereisen.
  3. Proxy met beheerde referenties: de aanvraag wordt doorgestuurd naar de externe MCP-server via de HTTP-verbinding van de service. Azure Databricks slaat de inloggegevens op en handelt OAuth-processen en tokenvernieuwing af, zodat de agent ze nooit ziet.
  4. Logboekgebruik, controle en traceringen: elke aanroep wordt vastgelegd in systeemtabellen, zodat u gebruiks- en controleactiviteiten in de loop van de tijd kunt controleren .

Requirements

  • Een werkruimte waarvoor Unity Catalog is ingeschakeld.
  • Als u een externe MCP-server wilt beheren als een MCP-service, zijn de Unity AI Gateway Beta en de preview-versie van beheerde MCP-servers ingeschakeld voor uw account. Zie Azure Databricks previews beheren.

Door Databricks geleverde MCP-services

Azure Databricks biedt kant-en-klare MCP-services in het system.ai schema voor algemene SaaS-toepassingen, zodat agents deze hulpprogramma's kunnen bereiken zonder uw eigen MCP-server te hosten of te registreren. Elke service is een ingebouwde MCP-service die u benadert via de Unity Catalog-naam. Om een agent toegang te geven, verleent u EXECUTE voor de service (bijvoorbeeld system.ai.github): er is geen verbindingsconfiguratie nodig. Ingebouwde services worden geleverd met door het platform beheerde hulpprogramma's en een ingebouwd servicebeleid, zoals een servicebeleid om schrijfbewerkingen te blokkeren. U bepaalt deze met subsidies in plaats van met aangepaste hulpprogrammaselectie- of beleidsfuncties.

MCP-service Verbinding maken met
system.ai.slack Slack
system.ai.github GitHub
system.ai.atlassian Jira en Confluence
system.ai.google_drive Google Drive
system.ai.google_calendar Google Agenda
system.ai.gmail Gmail
system.ai.sharepoint Microsoft SharePoint

Voor Google Drive, Gmail, Google Agenda of SharePoint verwerken deze ingebouwde services OAuth voor u, zonder dat hiervoor app-registratie is vereist.

Verificatie en beveiliging

Azure Databricks beheerde MCP-proxy's en HTTP-verbindingen van Unity Catalog gebruikt om verificatie veilig te verwerken voor externe MCP-servers.

  • Gedeelde principalverificatie: alle gebruikers delen dezelfde referenties bij het openen van de externe service. Dit omvat Bearer-token, OAuth Machine-to-Machine (M2M) en OAuth User-to-Machine gedeelde authenticatie. Gebruik deze optie wanneer voor de externe service geen gebruikersspecifieke toegang is vereist of wanneer één serviceaccount voldoende is.
  • Verificatie per gebruiker (OAuth U2M Per gebruiker):elke gebruiker wordt geverifieerd met hun eigen referenties. De externe service ontvangt aanvragen namens de afzonderlijke gebruiker, waardoor gebruikersspecifiek toegangsbeheer, controle en verantwoordelijkheid mogelijk zijn. Gebruik deze optie bij het openen van gebruikersspecifieke resources, zoals de GitHub opslagplaatsen van een gebruiker, Slack-berichten of agenda.

Azure Databricks verwerkt OAuth-stromen en tokenvernieuwing, zodat eindgebruikers geen tokens zien. U bekijkt en beheert uw externe MCP-verbindingen naast uw LLM-eindpunten vanuit Unity AI Gateway. Zie HTTP-verbindingen voor gedetailleerde configuratie-instructies voor elke verificatiemethode.

Limitations

Tijdens de bètaversie gelden de volgende beperkingen voor MCP-services:

  • SQL DDL voor MCP-services (bijvoorbeeld CREATE MCP SERVICE) is niet beschikbaar. Maak en beheer MCP-services met de gebruikersinterface of de REST API.
  • U kunt alleen externe MCP-servers registreren als uw eigen MCP-service. Het registreren van genie-, apps- of Unity Catalog-entiteitsbronnen als een MCP-service wordt momenteel niet ondersteund. Azure Databricks biedt ook ingebouwde MCP-services voor algemene SaaS-apps.
  • Het selecteren van hulpprogramma's ondersteunt prefixpatronen (get_*) en exacte-matchpatronen. Uitsluitingspatronen (bijvoorbeeld !delete_*) worden niet ondersteund.
  • Global Search in Unity Catalog biedt geen MCP-services.

Externe MCP-serververbindingen hebben ook de volgende beperkingen:

Volgende stappen 

  • Last updated on