Best practices en beveiligingsrichtlijnen voor de Foundry MCP Server

Foundry MCP Server -hulpprogramma's (preview) automatiseren lees- en schrijfbewerkingen in Foundry-resources, waaronder implementaties, gegevenssets, evaluaties, bewaking en analyse. Deze richtlijnen helpen u bij het controleren van intenties, het verminderen van risico's en het toepassen van beveiligings- en governanceprocedures voordat u MCP-hulpprogramma's uitvoert.

In dit artikel krijgt u meer informatie over:

• MCP Server-antwoorden interpreteren en de nauwkeurigheid controleren
• De impact van schrijfbewerkingen op Foundry-resources
• Aanbevolen procedures voor het uitvoeren van veilige hulpprogramma's, resourcebeheer en wijzigingen bijhouden
• Besturingselementen voor beveiliging en beheer, waaronder identiteit, RBAC, voorwaardelijke toegang, netwerkisolatie en gegevenslocatie
• Veelvoorkomende problemen oplossen

Voorwaarden

• Een Azure-account met een actief abonnement.
• Een Foundry-project met inzender of een hogere rol.
• Als u beleid voor voorwaardelijke toegang wilt configureren, hebt u de rol Conditional Access Administrator in Microsoft Entra ID nodig.
• Azure CLI (alleen vereist voor de opdracht az ad sp create).

Het antwoord interpreteren

MCP Server biedt uitvoer die wordt doorgegeven aan het taalmodel dat is geselecteerd voor uw agent (bijvoorbeeld Visual Studio Code met GitHub Copilot). Het taalmodel combineert deze uitvoer met de gesprekscontext om een eindantwoord te genereren op basis van de mogelijkheden ervan. Controleer altijd de nauwkeurigheid van het antwoord van het taalmodel. Het kan details bevatten die worden afgeleid of gegenereerd buiten de oorspronkelijke uitvoer van de MCP-server.

Impact van schrijfbewerkingen

Schrijfbewerkingen hebben een kritieke invloed op Foundry-resources. Wees voorzichtig met de juiste planning wanneer u met Foundry MCP Server werkt, net zoals u zou doen bij het gebruik van de portal, SDK's of REST API's. Bijvoorbeeld:

• Implementaties: direct van invloed zijn op live-apps en facturering.
• Verwijderingen: Resources permanent verwijderen en afhankelijke services kunnen breken.
• Evaluaties: Rekenquota verbruiken en kosten maken.
• Gegevenssets: kunnen bestaande versies overschrijven.

Voorbeelden van impact op resources:

• Als u een implementatie verwijdert, worden alle toepassingen met dat eindpunt verbroken.
• Grote evaluaties kunnen een aanzienlijke hoeveelheid van de toegewezen quota verbruiken.
• Nieuwe implementaties beginnen onmiddellijk met facturering.
• Het overschrijven van een gegevensset is van invloed op de reproduceerbaarheid van de evaluatie.

Aanbevolen procedures voor veilige uitvoering

Volg deze procedures om ervoor te zorgen dat schrijfbewerkingen worden uitgevoerd zoals u wilt:

Verificatie van de uitvoering van tools

• Controleer de selectie van het hulpprogramma: controleer of het juiste MCP-hulpprogramma en de juiste parameters overeenkomen met uw bedoeling voordat u deze uitvoert.

• Controleparameters: controleer alle hulpprogrammaparameters (resource-id's, implementatienamen, gegevenssetpaden) op nauwkeurigheid. Algemene parameterindelingen zijn onder andere:

  Parametertype	Formaat	Waar vind ik het?
  Resource-id voor foundry	/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.CognitiveServices/accounts/{account_name}	Op de Eigenschappen pagina van de Azure portal voor het account
  Project-eindpunt	https://{account_name}.services.ai.azure.com/api/projects/{project_name}	Pagina met details van foundry-project
  Project resource-id	/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.CognitiveServices/accounts/{account_name}/projects/{project_name}	Azure portalpagina Properties of de projectdetailspagina Foundry

  Als u een projectresource-id opgeeft, extraheert het taalmodel in uw MCP-host de benodigde waarden en formuleert u de parameters die moeten worden doorgegeven aan MCP-hulpprogramma's. Bevestig vóór goedkeuring dat de beoogde parameterwaarden worden doorgegeven aan de MCP-hulpprogramma's.

• Controleer de doelomgeving: zorg ervoor dat resource-eindpunten en project-URL's verwijzen naar de beoogde omgeving.

Resourcebeheer via MCP-server

• Controleer afhankelijkheden: gebruik bewakingshulpprogramma's om ervoor te zorgen dat er geen app afhankelijk is van een resource voordat u deze verwijdert.
• Quotum controleren: Queryquotumstatus voordat u nieuwe implementaties maakt of grote evaluaties uitvoert.
• Resourcedetectie: vermeld bestaande implementaties en gegevenssets voordat u wijzigingen aanbrengt.
• Capaciteit plannen: Controleer de beschikbare quotum- en gebruiksgegevens vóór resource-intensieve bewerkingen.

Veilige MCP-bewerkingsprocedures

• Testen in een niet-productieomgeving: Gebruik eerst ontwikkelingsproject-eindpunten.
• Incrementele wijzigingen aanbrengen: wijzig één resource tegelijk in plaats van bulkupdates aan te brengen.
• Wijzigingen valideren: gebruik alleen-lezenhulpprogramma's om te bevestigen dat wijzigingen van kracht worden.
• Omgaan met fouten: Controleer reacties op fouten of onverwachte resultaten.

Documentatie en opvolging

• Logbewerkingen: gebruik Azure resourceactiviteitslogboeken om betrokken resources bij te houden.
• Een back-up van configuratie maken: huidige implementatie- en gegevenssetconfiguraties exporteren voordat u deze wijzigt.
• Wijzigingen bijhouden: noteer mcP-bewerkingsgegevens voor probleemoplossing en terugdraaien.

Beveiliging en governance

In deze sectie vindt u een overzicht van identiteits-, toegangsbeheer-, beleids-, netwerkisolatie- en gegevenslocatieoverwegingen om u te helpen governance toe te passen vóór MCP-bewerkingen.

Identiteits- en toegangsbeheer

Authenticeren bij Foundry MCP Server met behulp van een Microsoft Entra-token dat gericht is op https://mcp.ai.azure.com.

Azure op rollen gebaseerd toegangsbeheer (RBAC) is van toepassing op alle bewerkingen op Foundry-resources die worden ondersteund door Foundry MCP Server. Bewerkingen worden uitgevoerd op basis van de machtigingen van de geverifieerde gebruiker. De volgende tabel bevat een overzicht van hoe RBAC-rollen worden toegewezen aan MCP-bewerkingstypen:

Zie Toegangsbeheer op basis van rollen voor Microsoft Foundry voor meer informatie over roltoewijzingen.

Toegang beheren met beleid voor voorwaardelijke toegang

Tenantbeheerders kunnen beleid voor voorwaardelijke toegang gebruiken om toegang tot Foundry MCP Server te verlenen of te blokkeren voor geselecteerde gebruikers of workloadidentiteiten.

1. Maak de service-principal voor de toepassing-id van Foundry MCP Server aan door het volgende commando uit te voeren:

   az ad sp create --id fcdfa2de-b65b-4b54-9a1c-81c8a18282d9
   

   De toepassings-id in deze opdracht vertegenwoordigt Foundry MCP Server. U kunt deze toepassings-id controleren door te zoeken naar 'Foundry MCP Server' in de lijst met bedrijfstoepassingen Entra ID.

2. Zoek de bedrijfstoepassing voor Foundry MCP Server met behulp van de toepassings-id. Open de Azure portal Entra ID pagina en zoek de toepassings-id fcdfa2de-b65b-4b54-9a1c-81c8a18282d9.

   

3. Selecteer Voorwaardelijke toegang onder Beveiliging in het linkerdeelvenster van de geselecteerde app en selecteer vervolgens Nieuw beleid om toegangsbeheer te configureren.

   1. Selecteer onder Gebruikersspecifieke gebruikers die zijn opgenomen en voeg de gebruikers of groepen toe die u wilt beperken.
   2. Controleer onder Doelbronnen of de Foundry MCP Server-toepassing is geselecteerd.

   

   

4. Selecteer Verlenen en kies Toegang blokkeren.

   

Nadat het beleid is ingesteld, kunnen aangewezen gebruikers en groepen het Entra-token niet verkrijgen dat nodig is om verbinding te maken.

Netwerkisolatie

Foundry MCP Server biedt momenteel geen ondersteuning voor netwerkisolatie. Hiermee wordt het openbare eindpunt https://mcp.ai.azure.com weergegeven dat elke MCP-client kan gebruiken. Er wordt verbinding gemaakt met uw Foundry-resource via het openbare eindpunt. Als uw Foundry-resources gebruikmaken van Azure Private Links, kan de server deze niet bereiken en mislukken bewerkingen met een verbindingsfout.

Gegevensresidentie

Foundry MCP Server maakt gebruik van een wereldwijde staatloze proxyarchitectuur. Gegevens die zijn aangemaakt door backend-diensten die communiceren met de MCP-server blijven versleuteld in rusttoestand in de regio die u selecteert. MCP Server zelf slaat geen gegevens op. Voor prestaties en beschikbaarheid kunnen aanvragen en antwoorden worden verwerkt in datacenters in de Europese Unie (EU) of de Verenigde Staten (VS), waarbij alle gegevens die tijdens de overdracht zijn versleuteld.

Probleemoplossing

Gebruik deze sectie om snel veelvoorkomende PROBLEMEN met MCP Server vast te stellen.

Authenticatiefouten

Als u een 401 Unauthorized foutmelding krijgt of de aanmeldingsprompt niet wordt weergegeven:

1. Meld u af bij uw Azure-account in Visual Studio Code of het hulpprogramma dat u gebruikt.
2. Meld u weer aan met een Microsoft-account die toegang heeft tot uw Azure-abonnement.
3. Controleer of uw toegangstoken geldig is door az account get-access-token --resource https://mcp.ai.azure.com in de terminal uit te voeren.

Als de tokenaanvraag mislukt, controleert u of uw account over de vereiste Entra ID machtigingen beschikt. Zie Gebruikers en verificatie beheren in Entra ID voor meer informatie.

Machtigingsfouten

Als u foutberichten zoals 403 Forbidden of "Toegang geweigerd" ziet bij het uitvoeren van MCP-hulpprogramma's:

1. Open de Azure-portal en navigeer naar uw Foundry-project.
2. Selecteer Toegangsbeheer (IAM) en controleer of uw account de rol Inzender of hoger heeft.
3. Als u onlangs een roltoewijzing hebt ontvangen, wacht enkele minuten totdat deze is verwerkt en probeer het opnieuw.

Zie Toegangsbeheer op basis vanRole voor Microsoft Foundry voor meer informatie.

Verbindingsproblemen met de server

Als de MCP-server niet kan worden gestart of een time-out optreedt:

1. Controleer of uw netwerk uitgaande HTTPS-verbindingen toestaat.https://mcp.ai.azure.com
2. Controleer op proxy- of firewallregels die het eindpunt mogelijk blokkeren.
3. Probeer te openen https://mcp.ai.azure.com in een browser om de bereikbaarheid te bevestigen.

Als uw Foundry-resources gebruikmaken van Azure Privékoppelingen, kan de gehoste Foundry MCP-server deze niet bereiken via het openbare eindpunt. Schakel Private Link uit, gebruik SDK's/REST API's of gebruik een custom MCP-server met privénetwerken via Foundry Agent Service.

Problemen met hulpprogrammadetectie

Als Foundry-hulpprogramma's niet worden weergegeven in de lijst met hulpprogramma's voor de agentmodus:

1. Open de weergave Output in Visual Studio Code en selecteer het logboekkanaal van de MCP-server.
2. Controleer of de server een geslaagde verbinding en hulpprogrammaregistratie toont.
3. Start Visual Studio Code opnieuw of laad uw werkruimte opnieuw.
4. Als hulpprogramma's nog steeds niet worden weergegeven, verwijdert u de serverconfiguratie en voegt u deze opnieuw toe.

Verwante inhoud

• Bekijk beschikbare hulpprogramma's en voorbeeldprompts voor Foundry MCP Server
• Aan de slag met Foundry MCP Server
• Meer informatie over het bouwen van uw eigen MCP-server