Bring Your Own MCP Server Überblick (Vorschau)

Die Funktion Bring Your Own (BYO) MCP-Server ermöglicht es Organisationen, ihre eigenen entfernten MCP-Server bei Agent 365 für zentrale Governance und Beobachtbarkeit zu registrieren.

Große Unternehmen bauen und betreiben oft interne MCP-Server, um ihre Agenten über verschiedene Geschäftsabläufe zu versorgen. Diese Server laufen typischerweise außerhalb jeglicher organisatorischen Governance-Grenzen, ohne Admin-Einsicht darüber, welche Tools offengelegt werden, ohne Richtliniendurchsetzung über deren Aufruf und ohne den Einsatz von Telemetrie für Sicherheits- und Compliance-Teams. Der BYO MCP-Server behebt dieses Problem, indem er registrierte Server über das Agent 365 Tooling Gateway leitet, wodurch IT-Administratoren über das Microsoft 365 Admin Center und die Sicherheitsteams die benötigten Beobachtbarkeitsdaten erhalten.

So funktioniert es

Der BYO MCP-Server folgt einem strukturierten Entwickler-zu-Admin-Ablauf, um sicherzustellen, dass alle entfernten MCP-Server überprüft und verwaltet werden, bevor sie den Agenten zur Verfügung gestellt werden:

1. Der Entwickler registriert einen entfernten MCP-Server über die Agent 365 CLI und stellt die Server-URL, den Authentifizierungstyp und die zu öffnenden Tools bereit.
2. IT-Admin überprüft die Serverdetails und deklarierten Tools im Microsoft 365 Admin Center und genehmigt oder lehnt die Anfrage ab. Nach Genehmigung gewährt der Admin die erforderlichen Entra-Berechtigungen für den Server.
3. Agentenbauoberflächen verbrauchen den genehmigten MCP-Server über unterstützte Clients wie Copilot Studio und VS Code, um Agenten gegen reale Tool-Aufrufe zu erstellen und zu testen.
4. Sicherheitsteam überwacht MCP-Serveraktivitäten und Werkzeugaufrufe durch Microsoft Defender fortgeschrittene Suche nach Compliance und Anomalieerkennung.

Dieser Ansatz stellt sicher, dass alle externen MCP-Integrationen ordnungsgemäße Governance- und Compliance-Prüfungen durchlaufen, bevor sie den Endnutzern zur Verfügung stehen.

Registrieren eines Remote-MCP-Servers

Als Entwickler kannst du deinen eigenen entfernten MCP-Server mit Agent 365 registrieren. Dieser Abschnitt führt Sie durch die erforderlichen Schritte, um einen entfernten MCP-Server bei Agent 365 über die CLI zu registrieren, damit IT-Administratoren ihn für die Nutzung in Agentengebäudeoberflächen überprüfen und genehmigen können.

Developer prerequisites

Bevor Sie einen entfernten MCP-Server registrieren, stellen Sie sicher, dass Sie folgende Voraussetzungen erfüllen:

• Installiere die Agent 365 CLI (oder aktualisiere auf die neueste Version). Damit dieser Fluss funktioniert, benötigen Sie Version 1.1.165-Vorschau oder höher.
• Stellen Sie sicher, dass der Agent 365 Service Principal in Ihrem Mieter bereitgestellt ist. Wenn du den mit appID ea9ffc3e-8a23-4a7d-836d-234d7c7565c1verknüpften Service Principal nicht finden kannst, ist der Service Principal nicht für deinen Tenant bereitgestellt. Um einen Service Principal für Agent 365 in Ihrem Mieter einzurichten, siehe:
  • Serviceprinzip einrichten
  • Erfahren Sie, wer den Service Principal bereitstellen kann
• Ein öffentlich zugänglicher MCP-Server-Endpunkt, den Sie vom Internet aus erreichen können.
• Der Server ist mit einer der unterstützten Authentifizierungsarten konfiguriert:
  • NoAuth
  • APIKey (Header oder Abfrage)
  • ExternalOAuth
  • EntraOAuth

Agent 365 CLI installieren

Um die Agent 365 CLI zu installieren, folgen Sie den Anweisungen in Install the Agent 365 CLI.

Registrieren Sie Ihren MCP-Server

Nachdem du die Agent 365 CLI installiert und sichergestellt hast, dass dein MCP-Server-Endpunkt öffentlich zugänglich und mit einem unterstützten Authentifizierungstyp konfiguriert ist, kannst du deinen MCP-Server bei Agent 365 registrieren. IT-Administratoren können sie prüfen und für den Einsatz in Agentengebäudeoberflächen genehmigen.

Du hast ein paar Möglichkeiten, deinen MCP-Server bei Agent 365 zu registrieren:

• Manuelle Registrierung über CLI: Führen Sie den a365 develop-mcp register-external-mcp-server Befehl aus der CLI aus und geben Sie manuell die Serverdetails, den Authentifizierungstyp und die Tools an, die Ihr MCP-Server bereitstellt.

• Registrierung über JSON-Datei: Verwenden Sie a365 develop-mcp register-external-mcp-server -f <path-to-file.json> es, um Ihren MCP-Server zu registrieren, indem Sie eine JSON-Datei bereitstellen, die alle Serverdetails, Authentifizierungstypen und Werkzeugdefinitionen in einer einzigen Datei enthält, anstatt sie einzeln in der Kommandozeile anzugeben.

Siehe die Beispiele in den folgenden Abschnitten, um zu erfahren, wie man einen MCP-Server bei Agent 365 unter Verwendung der CLI für verschiedene Authentifizierungstypen registriert.

NoAuth

Für MCP-Server, die keine Authentifizierung erfordern:

a365 develop-mcp register-external-mcp-server \
--server-name "ZavaServer" \
--server-url "https://mcp.zava.com/mcp" \
--publisher "Contoso" \
--description "My external MCP server for document search" \
--auth-type "NoAuth" \
--tools "tool1,tool2"

{
  "serverName": "ext_DocsSearch",
  "serverUrl": "https://docs.contoso.com/api/mcp",
  "authType": "NoAuth",
  "description": "Documentation search MCP Server for Contoso developer docs.",
  "publisherName": "Contoso",
  "tools": [
    {
      "name": "search_docs",
      "description": "Search Contoso developer documentation and code samples."
    }
  ],
  "remoteScopes": null,
  "externalOAuth": null,
  "apiKey": null
}

APIKey (Abfrageparameter)

Für Server, die den API-Schlüssel als Abfrageparameter weitergeben:

a365 develop-mcp register-external-mcp-server \
--server-name "ZavaServer" \
--server-url "https://mcp.zava.com/mcp" \
--publisher "Contoso" \
--description "My external MCP server for document search" \
--auth-type APIKey \
--api-key-location Query \
--api-key-name apiKey \
--tools "tool1,tool2"

{
  "serverName": "ext_MarketData",
  "serverUrl": "https://api.contoso.com/market/mcp",
  "authType": "APIKey",
  "description": "Real-time stock market data and search from Contoso Market Services.",
  "publisherName": "Contoso",
  "tools": [
    {
      "name": "stock-market-data",
      "description": "Get real-time stock market data and financial information."
    },
    {
      "name": "real-time-search",
      "description": "Search the web for real-time information and news."
    }
  ],
  "remoteScopes": null,
  "externalOAuth": null,
  "apiKey": {
    "location": "Query",
    "name": "apiKey"
  }
}

APIKey (Header)

Für Server, die den API-Schlüssel in einem Request-Header weitergeben:

a365 develop-mcp register-external-mcp-server \
--server-name "ZavaServer" \
--server-url "https://mcp.zava.com/mcp" \
--publisher "Contoso" \
--description "My external MCP server for document search" \
--auth-type APIKey \
--api-key-location Header \
--api-key-name token \
--tools "tool1,tool2"

{
  "serverName": "ext_InternalTools",
  "serverUrl": "https://tools.contoso.com/mcp",
  "authType": "APIKey",
  "description": "Contoso internal tools MCP Server with API key authentication.",
  "publisherName": "Contoso",
  "tools": [
    {
      "name": "tool1",
      "description": "First tool exposed by the server."
    },
    {
      "name": "tool2",
      "description": "Second tool exposed by the server."
    }
  ],
  "remoteScopes": null,
  "externalOAuth": null,
  "apiKey": {
    "location": "Header",
    "name": "X-API-Key"
  }
}

ExternalOAuth

Für Server, die sich über einen externen OAuth-Anbieter authentifizieren:

a365 develop-mcp register-external-mcp-server \
--server-name "ZavaServer" \
--server-url "https://zava.com/mcp" \
--publisher "Contoso" \
--description "My external MCP server for document search" \
--auth-type ExternalOAuth \
--idp-authorization-url "https://idp.zava.com/o/oauth2/v2/auth" \
--idp-token-url "https://idp.zava.com/oauth2/token" \
--idp-scopes "https://api.zava.com/read" \
--idp-client-id "<your-client-id>" \
--idp-client-secret "<your-client-secret>" \
--remote-scopes "https://api.zava.com/read" \
--tools "tool1,tool2"

{
  "serverName": "ext_Analytics",
  "serverUrl": "https://analytics.contoso.com/mcp",
  "authType": "ExternalOAuth",
  "description": "Contoso Analytics MCP Server for dataset and query operations.",
  "publisherName": "Contoso",
  "tools": [
    {
      "name": "list_datasets",
      "description": "List all available analytics datasets."
    }
  ],
  "remoteScopes": "https://analytics.contoso.com/.default",
  "externalOAuth": {
    "authorizationUrl": "https://auth.contoso.com/oauth2/authorize",
    "tokenUrl": "https://auth.contoso.com/oauth2/token",
    "scopes": "https://analytics.contoso.com/.default",
    "clientId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
    "clientSecret": "<your-client-secret>"
  },
  "apiKey": null
}

EntraOAuth

Für Server, die sich über Microsoft Entra ID authentifizieren:

a365 develop-mcp register-external-mcp-server \
--server-name "ZavaServer" \
--server-url "https://mcp.zava.com/mcp" \
--publisher "Contoso" \
--description "My external MCP server for document search" \
--auth-type EntraOAuth \
--remote-scopes "https://api.zava.com/.default" \
--tools "tool1,tool2"

{
  "serverName": "ext_OrgDirectory",
  "serverUrl": "https://directory.contoso.com/mcp",
  "authType": "EntraOAuth",
  "description": "Contoso organization directory MCP Server secured with Entra OAuth.",
  "publisherName": "Contoso",
  "tools": [
    {
      "name": "list_users",
      "description": "List users in the organization directory."
    },
    {
      "name": "get_user_profile",
      "description": "Get the profile of a specific user by ID or UPN."
    }
  ],
  "remoteScopes": "api://contoso-directory/.default",
  "externalOAuth": null,
  "apiKey": null
}

Nach erfolgreicher Registrierung reichen Sie den MCP-Server zur administrativen Überprüfung im Microsoft 365 Admin Center ein.

Überprüfen Sie Anfragen zur Registrierung von MCP-Servern

Nachdem ein Entwickler einen entfernten MCP-Server registriert hat, erscheint der Server im Microsoft 365 Admin Center zur Überprüfung und Genehmigung. Als Administrator mit den richtigen Berechtigungen zur Verwaltung von Agententools im Microsoft 365 Admin Center können Sie diese Anfragen prüfen, genehmigen oder ablehnen, um zu steuern, welche MCP-Server in Ihrer Organisation zur Verfügung stehen.

Um mehr über die Überprüfung und Genehmigung von MCP-Server-Registrierungsanfragen zu erfahren, siehe Agent Manage Tools in Microsoft 365 Admin Center.

Admin prerequisites

Um den Überprüfungs- und Genehmigungsprozess abzuschließen, müssen Sie zwei Anforderungen erfüllen:

• Sie benötigen Zugriff auf die Tool-Seite des Microsoft 365 Admin Center, auf der Sie Agenten-Tools verwalten und MCP-Server-Registrierungsanfragen überprüfen.
• Sie benötigen die Möglichkeit, eine mieterweite Zustimmung zu erteilen.

Zwei Rollen erfüllen beide Anforderungen:

• AI admin
• Global admin

Um mehr über Admin-Rollen und Berechtigungen im Microsoft 365 Admin Center zu erfahren, siehe:

• Über Administratorrollen im Microsoft 365 Admin Center.
• Gewähren Sie einer Anwendung eine tenantweite administrative Einwilligung.

Überprüfung und Genehmigung im Microsoft 365 Admin Center

1. Wechseln Sie zum Microsoft 365 Admin Center.
2. Wählen Sie Agents>Tools und dann den Reiter Anfragen .
3. Ausstehende Anfragen zeigen für jeden Server folgende Details an:
   • Server name
   • Publisher
   • Requested by
   • Requested date
4. Überprüfen Sie die Serverinformationen und deklarierten Tools auf Genauigkeit und Konformität.
5. Wählen Sie Genehmigen aus, um den Server in der Organisationsregistrierung verfügbar zu machen, oder Ablehnen , um die Anforderung abzulehnen.
6. Nach der Genehmigung stimmen Sie den vom MCP-Server erforderlichen Microsoft Entra-Berechtigungen zu. Der Server wird den Agenten erst nach Erteilung der Zustimmung verfügbar.

Wichtige Governance-Kontrollen

Die folgende Tabelle fasst die wichtigsten Governance-Kontrollen zusammen:

Verwenden Sie den genehmigten MCP-Server

Nachdem Microsoft den MCP-Server genehmigt und Microsoft Entra die Zustimmung erteilt hat, können Sie ihn auf unterstützten Agenten-Plattformen verwenden. Die folgenden Client-Oberflächen unterstützen derzeit das Aufrufen von genehmigten BYO-MCP-Servern in der Vorschau:

Als Nutzer in Copilot Studio führen Sie folgende Schritte durch, um den genehmigten BYO-MCP-Server zu aktivieren:

1. Geh zu Copilot Studio in deiner Umgebung.
2. Erstelle einen neuen Custom Agent (oder eröffne einen bestehenden).
3. Gehe zum Tools-Bereich und wähle MCP Server aus.
4. Wählen Sie den MCP-Server aus dem Register aus.
5. Teste den Agenten, indem du eine Eingabeaufforderung eingibst, die den MCP-Server aufruft.

Erfahren Sie, wie Sie genehmigte BYO-MCP-Server von Claude Code, VS Code und GitHub Copilot CLI aufrufen können, im Abschnitt Set Set up Work IQ MCP Servers for coding agents der Work IQ MCP-Übersicht.

Überwachen und beobachten Sie die MCP-Serveraktivität

Als Mitglied des Sicherheitsteams Ihrer Organisation nutzen Sie Microsoft Defender Advanced Hunting um MCP-Server-Aufrufe zu verfolgen und zu analysieren. Dieser Prozess hilft Ihnen zu sehen, welche Agenten welche MCP-Server aufrufen, wann die Aufrufe stattfinden und welche anderen relevanten Metadaten helfen können, ungewöhnliche oder unautorisierte Nutzungsmuster zu erkennen.

Beispiel für KQL-Abfrage – Defender Advanced Hunting:

CloudAppEvents
| where ActionType in ( "ExecuteToolByGateway")
| where RawEventData contains "tool name"

Diese Abfrage liefert Details wie Agentenname, MCP-Servername und Aufrufmetadaten.

Related content

Tools für Agent 365 im Microsoft 365 Admin Center verwalten.