Autenticação MCP e redes

Para a configuração passo a passo, use o guia do seu agente de programação ou o quickstart em Python. Use esta página para verificar os requisitos de autenticação partilhada e o acesso à rede.

Sign in to Azure Databricks

Use a sua conta de utilizador Azure Databricks para trabalho interativo, ou um principal de serviço para um agente que corra sem supervisão. Siga a configuração para o seu agente:

Caso de uso	Configuração recomendada
Agentes codificadores	Usa a CLI do Gateway Unity. Trata do início de sessão e atualiza as credenciais.
Desenvolvimento local em Python	Usa o login da CLI do Databricks.
Outros clientes MCP interativos	Configure o OAuth com um ID de cliente registado.
Agentes desacompanhados	Use um princípio de serviço com OAuth machine-to-machine (M2M). Para agentes nas aplicações Databricks, veja Autenticação de Agentes.

O utilizador ou principal do serviço precisa de permissão para contactar o MCP. Se uma ferramenta lhe pedir para iniciar sessão num fornecedor externo, siga Configuração de serviços externos.

Para testes locais, os MCPs fornecidos e registados pelo Databricks, bem como os endpoints de workspace legados, aceitam um token de acesso pessoal no Authorization: Bearer <token> cabeçalho. Mantenha os tokens fora do controlo de fonte. Os servidores alojados em aplicações Databricks requerem OAuth e não aceitam tokens de acesso pessoal.

Configurar um cliente OAuth personalizado

Use-o quando o seu cliente precisar da sua própria aplicação OAuth. Os guias Claude Code e Codex incluem as suas definições específicas para cada cliente.

1. Obtenha o URL exato de redirecionamento do seu cliente, incluindo o seu host, porta e caminho.

2. Peça a um administrador de conta para abrir as Definições na consola da conta, selecionar ligações à aplicação e clicar emAdicionar ligação.

3. Introduza um nome, adicione o URL de redirecionamento e selecione os escopos para o seu servidor:

   Server	URL	Scope
   MCP fornecido ou registado	https://<workspace-hostname>/ai-gateway/mcp-services/<catalog>.<schema>.<service>	ai-gateway
   Servidor nas Aplicações Databricks	https://<app-url>/mcp	Inclua os escopos de autorização do utilizador da aplicação. Também precisas de USAR na aplicação.
   Endpoint MCP do Workspace (legacy)	O URL na página do servidor	Usa os telescópios listados para esse servidor.

4. Escolha se quer gerar um segredo do cliente:

   • Cliente de ambiente de trabalho ou CLI (cliente público):Limpar Gerar um segredo do cliente.
   • Cliente do lado do servidor que armazena segredos de forma segura (cliente confidencial): Sair Gerar um segredo do cliente selecionado.

5. Guarda a ligação e copia o ID do Cliente. Se geraste um segredo do cliente, copia também esse valor.

6. Introduza o URL do servidor e as credenciais do cliente no seu cliente MCP. Use HTTP Streamable, peça o âmbito do servidor e offline_access tokens de atualização, e faça login.

Consulte Criar uma aplicação OAuth para opções de interface e CLI. As alterações podem demorar até 30 minutos a fazer efeito. Os endpoints MCP do Azure Databricks não suportam registo dinâmico de clientes, por isso usa um cliente que aceite um ID de cliente pré-configurado.

Acesso à rede

Verifique o acesso do cliente ao espaço de trabalho e do espaço de trabalho ao servidor externo.

Cliente para espaço de trabalho

Os pedidos MCP devem ser permitidos pelos controlos de rede de entrada do seu espaço de trabalho. Se as listas de acesso IP ao espaço de trabalho estiverem ativadas, peça a um administrador que permita os endereços IP públicos onde os pedidos se originam:

Onde o cliente MCP corre	Endereços a permitir
No seu computador, como Claude Code, Codex CLI ou Cursor	O IP público de saída da tua rede. Se o tráfego passar por uma VPN corporativa ou proxy, use o IP de saída dessa rede. O seu administrador de rede pode fornecê-lo.
Num serviço alojado, como um conector Claude ou ChatGPT	Os intervalos de IP de saída publicados pelo fornecedor. Veja os IPs de saída do Claude e os IPs de saída do ChatGPT.

Para clientes alojados, o login do navegador é feito pela sua rede, enquanto as chamadas MCP vêm dos servidores do fornecedor. Ambos devem ser permitidos. Por exemplo, iniciar sessão com sucesso a partir da sua VPN corporativa não significa que o ChatGPT possa aceder ao seu MCP.

Se a sua organização também utiliza controlos de entrada baseados no contexto, os pedidos devem cumprir essas políticas também. As listas de acesso a IP de conta aplicam-se ao acesso à consola da conta e à API da conta, como um administrador a criar uma aplicação OAuth.

Workspace para servidor MCP externo

As chamadas para fornecedores MCP externos através do Unity Gateway utilizam o plano de computação serverless do workspace. Isto aplica-se a servidores externos registados e MCPs fornecidos pelo Databricks para serviços externos.

Se a sua política de rede serverless usar Acesso Restrito, adicione o nome de domínio totalmente qualificado (FQDN) do servidor a Domínios Permitidos. Comece com o anfitrião na ligação Unity Catalog do MCP. Verifique system.access.outbound_network se há destinos bloqueados adicionais. Consulte Gerir políticas de rede e registos de rede de saída.

• Uma ligação ao Unity Catalog não permite automaticamente o seu destino.
• O acesso total é o modo da política de rede serverless para permitir por defeito ligações à internet de saída. Domínios explicitamente bloqueados continuam negados. Por exemplo, uma política que bloqueia mcp.example.com impede chamadas para esse servidor MCP. Peça a um administrador para rever os destinos bloqueados da apólice.
• Para testar o tráfego MCP em modo de prova a zero, selecione Todos os produtos. As opções de serviço do modeloSQL e IA do Databricks não colocam o tráfego MCP em simulação.

Conectividade privada

Para aceder a um servidor MCP na sua rede cloud, escolha como o Azure Databricks serverless compute se liga a ele:

• Endpoint privado: Use o Private Link para manter o tráfego numa ligação privada. Um administrador de conta adiciona uma regra de endpoint privado para o domínio do servidor a uma configuração de conectividade de rede (NCC) ligada ao seu espaço de trabalho. O administrador da cloud aprova a ligação ao endpoint. Veja Configurar conectividade privada.
• Endpoint público com firewall: Configure o firewall do servidor para permitir que o Azure Databricks tenha IPs de saída serverless para a cloud e região do seu espaço de trabalho. Estes IPs são partilhados entre os clientes do Azure Databricks, por isso mantenha a autenticação ativada no servidor. Veja Encontrar os IPs de saída e configurar o seu firewall.

Domínios adicionados às regras de endpoint privados são automaticamente permitidos pelas políticas de rede, por isso não precisa de os adicionar separadamente aos domínios Permitidos. Para um endpoint público, siga a configuração da política de rede acima.