Uw Azure MCP Server-implementatie beveiligen

Azure MCP Server verbindt AI-agents met Azure-services, voert hulpprogramma's namens u uit en brokers hebben toegang tot uw Azure resources via de tokens die elke aanroep autoriseren. Omdat de Azure MCP-server zich tussen uw agents en uw cloudresources bevindt, moet u de Azure MCP-server zelf beveiligen, de tokens die toegang autoriseren en de invoer en uitvoer van het hulpprogramma die door uw agents stromen.

Dit artikel bevat richtlijnen voor het beveiligen van uw Azure MCP Server-implementatie.

Verificatie en autorisatie

De Azure MCP-server gebruikt Microsoft Entra ID via de Azure Identity-bibliotheek om bellers te verifiëren. De MCP-autorisatiespecificatie vereist OAuth 2.1, dus behandel de Azure MCP-server als een OAuth 2.1-resourceserver. Clients moeten PKCE (Proof Key for Code Exchange) gebruiken bij het uitvoeren van autorisatiecodestromen. Pas de volgende procedures toe:

• Valideer elk autorisatietoken. Controleer de verlener, doelgroep en vervaldatum op elk binnenkomende autorisatietoken voordat u het uitvoeren van hulpprogramma's toestaat. Vertrouw geen tokens die vereiste claims missen of die zijn uitgegeven voor een andere resource.

• Bind autorisatietokens aan hun beoogde doelgroep. Gebruik tokens die afhankelijk zijn van doelgroepen, zodat een token dat voor de ene service is uitgegeven, niet opnieuw kan worden afgespeeld op een andere service.

• Dwing strikte omleidings-URI-overeenkomsten en toestemming per client af. Sta voor autorisatiecodestromen alleen vooraf geregistreerde, exacte omleidings-URI's toe en vereist toestemming per client, zodat een onderschepte autorisatiecode niet kan worden ingewisseld door een andere client.

• Volg RBAC met minimale bevoegdheden. Verdeel elke beller alleen de Azure RBAC-rollen die zijn vereist voor de taak. De Azure MCP-server weerspiegelt uw Azure-abonnementsmachtigingen. Bellers met brede abonnementstoegang kunnen een breed scala aan hulpprogramma's aanroepen. Bereikroltoewijzingen zo smal mogelijk. Schakel alleen de hulpprogramma's in die elke beller nodig heeft, omdat elk bereikbaar hulpprogramma wordt toegevoegd aan uw kwetsbaarheid voor aanvallen.

• Geef de voorkeur aan workloadidentiteiten. Gebruik in agentische scenario's beheerde identiteiten of workloadidentiteiten in plaats van geheimen of gedeelde referenties. Wanneer statische referenties onvermijdelijk zijn, bijvoorbeeld API-sleutels voor services van derden die geen ondersteuning bieden voor workloadidentiteit, worden deze opgeslagen in Azure Key Vault en ernaar verwezen vanuit uw implementatieconfiguratie. Sla nooit referenties op in de broncode of configuratiebestanden met tekst zonder opmaak en draai ze volgens een normaal schema.

• Vermijd het verwarde-deputy-patroon. Beperk het bereik van de Azure mcp-server's eigen Azure identiteit en machtigingen tot het minimum dat moet worden uitgevoerd. Laat de server niet fungeren als eenputy die zijn brede bevoegdheden uitleent aan een beller met lagere bevoegdheden: de uitvoeringsidentiteit van de server scheiden van de autorisatie van de beller en machtigingencontroles per aanroeper afdwingen in plaats van alleen te vertrouwen op de eigen referenties van de server.

Externe Azure MCP-serverbeveiliging

Wanneer u Azure MCP-server implementeert als een externe zelf-hostende server, kunt u overwegen deze achter Azure API Management (APIM) te plaatsen als een afdwingingsgateway:

• Plaats de Azure MCP-server achter een afdwingingsgateway. APIM kan Entra ID tokens valideren voordat aanvragen uw Azure MCP-server bereiken, waardoor uw toepassingscode geen tokens meer hoeft te controleren.

• Pas gatewaybeleid toe voor frequentiebeperking en controle. Gebruik APIM-beleid om te beperken hoe vaak bellers aanvragen kunnen indienen, toegestane hulpprogrammapaden kunnen beperken en elke aanvraag voor controledoeleinden kunnen registreren.

• Centraliseer toegangsbeheer op één chokepunt. Een gateway biedt één stikpunt voor toegangsbeheer en waarneembaarheid in meerdere downstream MCP-hulpprogramma's.

Beveilig het eindpunt waarmee Azure MCP Server-clients verbinding maken. Een vervangende of vervalste URL kan aanvragen voor het uitvoeren van hulpprogramma's ontvangen en referenties of Azure resourcegegevens beschikbaar maken. Om dat risico te verminderen:

• Maak alleen verbinding met vertrouwde Azure MCP Server-eindpunten. Gebruik alleen eindpunten die u hebt ingericht of die uw team beschikbaar maakt via APIM. Leid de Azure MCP-server-URL niet af van door de gebruiker opgegeven invoer of niet-geverifieerde detectiereacties.

• Controleer het TLS-certificaat van de Azure MCP-server. Zorg ervoor dat het eindpunt overeenkomt met de verwachte host. Wanneer u APIM gebruikt, routeert u clients via de gateway, zodat het back-upeindpunt niet op de achtergrond kan worden omgeleid.

• Mislukt gesloten bij certificaatfouten. Behandel een niet-geverifieerde of niet-herkende Azure MCP Server-certificaat als verbindingsfout, niet als waarschuwing om te omzeilen.

Zie Een zelf-hostende Azure MCP-server implementeren voor opties voor zelfhosting.

Lokale implementatiebeveiliging

Een lokale Azure MCP Server wordt uitgevoerd in uw ontwikkelomgeving voor gebruik van ontwikkeling. Omdat het kan reageren met uw Azure identiteit, controleert u waartoe uw aangemelde account toegang heeft voordat u een agent verbindt met Azure resources:

• Controleer uw Azure machtigingen. Controleer de Azure RBAC-rollen die zijn toegewezen aan uw ontwikkelaarsaccount en verwijder brede abonnements- of beheergroepmachtigingen die niet nodig zijn voor de taak.

• Lokale toegang beperken. Voer de lokale Azure MCP-server uit vanaf een vertrouwd werkstation of container en stel het lokale eindpunt niet beschikbaar voor niet-vertrouwde netwerken of andere gebruikers op de computer.

• Houd de lokale server actueel. Gebruik huidige Azure MCP Server-pakketten en patchafhankelijkheden, met name voordat u test op niet-productie Azure resources.

• Lokale uitvoering van sandbox. Voer de lokale Azure MCP-server uit in een container of sandbox met beperkte bestandssysteem- en netwerktoegang en houd de hulpprogrammaketen gepatcht om de impact van opdrachtinjectie en paddoorkruising te beperken wanneer hulpprogramma's subprocessen spawn.

Gebruik geen lokale Azure MCP-server om productiegegevens of productiereferenties te verwerken.

Vergiftiging van gereedschap en prompt injectie

MCP-hulpprogrammabeschrijvingen en hulpprogrammareacties zijn invoer voor de context van uw agent. Als de metagegevens of uitvoer van hulpprogramma's schadelijk zijn, kan dit invloed hebben op een agent die toegang heeft tot Azure MCP Server-hulpprogramma's en de Azure machtigingen erachter.

Dit risico voor Azure MCP Server-implementaties verminderen:

• Geef de voorkeur aan de officiële Microsoft onderhouden Azure MCP Server. Gebruik de eigen Azure MCP-server voor Azure services in plaats van een niet-geverifieerde server die vergelijkbare Azure hulpprogramma's beschikbaar maakt. Schemawijzigingen van hulpprogramma's behandelen als afhankelijkheidswijzigingen die moeten worden beoordeeld.

• Vertrouw maar controleer de context van het hulpprogramma. Beschrijvingen en antwoorden van hulpprogramma's behandelen als niet-vertrouwde invoer voor de agent. Controleer de hulpprogrammadefinities voordat u productie gaat gebruiken en valideer of saneer gegevens die reactie van het hulpprogramma teruggeeft in de agentcontext.

• Hulpprogrammadefinities voor wijzigingsbeheer. Controleer en maak bekende goede hulpprogrammaschema's en beschrijvingen vast en vereisen opnieuw goedkeuring voordat bijgewerkte metagegevens van het hulpprogramma van kracht worden, zodat een server het gedrag niet op de achtergrond kan wijzigen na goedkeuring (een supply-chain 'rug pull').

• Gebruik Azure beveiligingscontroles waar ze passen bij uw architectuur. Evalueer de besturingselementen in Microsoft beveiligingscontroles om agentcontext te controleren, gevoelige gegevensstromen te detecteren en Azure AI-workloads te bewaken. Controleer elk integratiepad voordat u erop vertrouwt in productie.

Vertrouwensrelatie van mcp-servers van derden

Veel ontwikkelomgevingen voeren tegelijkertijd meerdere MCP-servers uit. Voor Azure werk geeft u de voorkeur aan de officiële Microsoft-onderhouden Azure MCP Server via communityalternatieven voor Azure services.

Als u een MCP-server van derden toevoegt naast Azure MCP-server:

• Controleer de uitgever en het updatepad. Servers van vertrouwde uitgevers gebruiken met een contactpersoon voor openbare beveiliging. Controleer wijzigingenlogboeken en pakketupdates voordat u de server van derden toestaat in een agentomgeving die ook Azure MCP Server-hulpprogramma's kan bereiken.

• Houd referentiecontexten gescheiden. Laat een niet-geverifieerde server de referenties, het bestandssysteem of de netwerktoegang die door Azure MCP-server wordt gebruikt, niet delen. Niet-vertrouwde servers uitvoeren met minimale bevoegdheden in een geïsoleerde omgeving.

• Bekijk de hulpprogramma's in de volledige agentcontext. Een kwaadwillende server kan de beschrijvingen van de hulpprogramma's gebruiken om het gedrag van agents naar andere vertrouwde servers in dezelfde context te beïnvloeden, waaronder Azure MCP-server. Controleer de beschrijvingen van het hulpprogramma voor elke server die u configureert, niet alleen de Azure hulpprogramma's.

Governance en bewaking

Houd bij welke Azure MCP Server-exemplaren worden uitgevoerd in uw omgeving en controleer hun activiteit:

• Goedgekeurde servers inventariseren. Onderhoud een bekende goede basislijn van geregistreerde Azure MCP Server-eindpunten, bijvoorbeeld met Azure API Center, zodat u niet-geregistreerde schaduwservers kunt detecteren die buiten governance vallen.

• Bewaak de activiteit en behoud bewijs. Correleren Azure MCP Server-activiteit in Microsoft Sentinelen Microsoft Purview auditlogboeken bewaren, zodat u verdachte hulpprogramma-aanroepen kunt onderzoeken.

Microsoft beveiligingsmaatregelen

Gebruik de volgende Microsoft-beveiligingsservices om diepgaande verdediging toe te voegen voor Azure MCP Server-workloads. De toepasselijkheid van elk besturingselement voor uw specifieke implementatie is afhankelijk van uw architectuur. Evalueer elk besturingselement in de context van uw eigen omgeving:

• Controleer de agentcontext met Prompt Shields. Gebruik Azure AI Content Veiligheid Prompt Shields om inhoud te inspecteren die de context van uw agent invoert, inclusief hulpprogrammabeschrijvingen en uitvoer van hulpprogramma's, en mogelijke pogingen tot promptinjectie te detecteren. Overweeg om Prompt Shields te integreren in uw agentpijplijn wanneer u dynamisch geladen hulpprogrammametagegevens gebruikt. Zie Prompt Shields voor meer informatie.

• Detecteer gevoelige gegevensstromen met Purview DLP. Wanneer uw workload expliciet is geïntegreerd met Microsoft Purview, gebruikt u Purview-beleid voor preventie van gegevensverlies om gevoelige gegevens in gegevensstromen te detecteren en te markeren die zijn gekoppeld aan uw agents. De dekking van willekeurige parameters voor het aanroepen van hulpprogramma's is niet automatisch. Dit hangt af van uw implementatiearchitectuur en welke Purview-connectors uw workload gebruikt. Evalueer of uw specifieke integratiepad ondersteuning biedt voor de besturingselementen die u nodig hebt voordat u op DLP vertrouwt voor agentworkloads. Zie de Microsoft Purview-documentatie voor meer informatie.

• AI-workloads bewaken met Defender voor Cloud. Gebruik Microsoft Defender voor Cloud AI-bedreigingsbeveiliging voor runtime-bedreigingsdetectie op AI-workloads, waaronder waarschuwingen over verdachte activiteiten in Azure OpenAI en Azure API-aanroepen van AI-modeldeductieservice. Dekking wordt niet automatisch uitgebreid naar willekeurige MCP-hulpprogramma-uitvoer. Dit geldt voor de Azure AI-servicelaag in uw architectuur. Zie AI-bedreigingsbeveiliging voor meer informatie.

Verwante onderwerpen

• Wat is de Azure MCP server?

• Concepten van Azure MCP Server

• Een zelf-hostende Azure MCP-server implementeren