MessagesTunnels MCP

Gérer les tunnels dans la Console

Copy page



Créez des tunnels, enregistrez des certificats d'autorité de certification, récupérez le jeton de tunnel et attachez des serveurs MCP tunnelisés à des agents depuis la Claude Console.

Cette page couvre la partie Console d'un déploiement de tunnels MCP : la création d'un tunnel, l'enregistrement de votre certificat d'autorité de certification (CA), la récupération du jeton de tunnel et l'attachement des serveurs MCP en amont à un agent. Déployer des tunnels MCP avec Helm et Déployer des tunnels MCP avec Docker Compose couvrent l'exécution de la pile de tunnel (« tunnel stack ») à l'intérieur de votre réseau.

Prérequis

• Un ou plusieurs serveurs MCP fonctionnant dans votre réseau privé. Le tunnel achemine le trafic vers eux ; il ne les héberge pas. Consultez Serveurs MCP distants pour des exemples que vous pouvez déployer.
• Un rôle Console disposant de l'autorisation Manage tunnels, afin de pouvoir créer et archiver des tunnels, effectuer la rotation du jeton et gérer les certificats. Les administrateurs et propriétaires de l'organisation en disposent par défaut ; les rôles personnalisés et les attributions par compte peuvent également l'inclure. Les rôles qui n'en disposent pas ont un accès en lecture seule à la page MCP tunnels et aux détails des tunnels.
• Un moyen pour votre pile de s'authentifier auprès de l'API Tunnels. Choisissez l'une des options suivantes :
  • Accès programmatique (recommandé). Configurez la Workload Identity Federation (fédération d'identité de charge de travail) lors de la création du tunnel afin que votre pile émette des jetons API de courte durée à partir de votre fournisseur d'identité, récupère le jeton de tunnel, et génère et enregistre automatiquement un certificat CA. Nécessite l'autorisation de gérer les règles de fédération, un émetteur OIDC enregistré et une règle de fédération avec la portée workspace:manage_tunnels.
  • Manuel. Ignorez l'accès programmatique. Après avoir créé le tunnel, obtenez le jeton de tunnel, générez et enregistrez un certificat CA vous-même, puis fournissez le jeton et votre certificat serveur à votre pile de tunnel sous forme de secrets.

Créer un tunnel

1. 1

   Ouvrir la page MCP tunnels

   Dans la barre latérale de la Console, accédez à Manage > MCP tunnels. Les tunnels sont rattachés à un espace de travail ; le nouveau tunnel appartient à l'espace de travail actuellement sélectionné dans la Console, changez donc d'abord d'espace de travail si vous le souhaitez ailleurs.

2. 2

   Nommer le tunnel

   Cliquez sur New tunnel et saisissez un nom dans la boîte de dialogue Create tunnel. Le nom est obligatoire et identifie le tunnel dans la liste, sur la page de détails et dans le sélecteur de serveurs MCP de l'agent. Un domaine de la forme abcd1234.tunnel.anthropic.com est attribué automatiquement.

3. 3

   Configurer éventuellement l'accès programmatique

   Si votre rôle peut gérer les règles de fédération, un bouton bascule Set up programmatic access apparaît (désactivé par défaut). Sinon, la Console affiche un avis à sa place et votre pile de tunnel utilise le flux manuel à la place. Le reste du flux de création est identique dans les deux cas.

   L'accès programmatique repose sur la Workload Identity Federation ; lisez d'abord cette page si les émetteurs de fédération, les règles et les comptes de service ne vous sont pas familiers. Pour activer le bouton bascule, vous avez besoin de :

   1. Un émetteur OIDC enregistré pour le fournisseur d'identité à partir duquel votre pile présente des jetons (tel qu'un cluster Kubernetes, AWS IAM, Google Cloud ou GitHub Actions). Enregistrez-en un sous Settings > Workload identity > Issuers si votre organisation n'en possède pas.
   2. Une règle de fédération avec la portée workspace:manage_tunnels. L'activation du bouton bascule révèle un sélecteur Federation rule. Choisissez une règle existante disposant de cette portée, ou cliquez sur Create federation rule pour en créer une directement.
   3. Le compte de service de la règle ajouté à cet espace de travail. L'API Tunnels effectue l'autorisation en fonction des appartenances du compte de service aux espaces de travail. Si vous créez le tunnel dans un espace de travail autre que celui par défaut de l'organisation, ajoutez le compte de service sous Settings > Workspaces et transmettez l'ID de l'espace de travail au moment du déploiement (api.wif.workspaceId pour Helm, ANTHROPIC_WORKSPACE_ID pour Compose).

   Ignorer cette étape est entièrement pris en charge ; les deux guides de déploiement comportent un onglet Without programmatic access.

4. 4

   Créer le tunnel

   Cliquez sur Create tunnel. La Console provisionne le tunnel et ouvre la page de détails.

5. 5

   Noter les identifiants de déploiement

   Les deux parcours de déploiement nécessitent :

   • L'ID du tunnel (tnl_...), affiché sur la page de détails du tunnel.
   • Le domaine du tunnel (abcd1234.tunnel.anthropic.com), affiché sur la page de détails du tunnel. Utilisé comme tunnel_domain du proxy et dans le SAN du certificat serveur.

   Ce dont vous avez besoin d'autre dépend du mode de provisionnement des identifiants :

   Avec accès programmatique	Sans accès programmatique
   L'ID de la règle de fédération (fdrl_...) de la règle que vous avez sélectionnée. La règle est définie au niveau de l'organisation et n'est pas stockée sur le tunnel ; retrouvez-la sous Settings > Workload identity > Rules.	Le jeton de tunnel, révélé à l'aide de l'icône en forme d'œil à côté de Token sur la page de détails. Traitez-le comme un secret. Consultez Obtenir les détails de connexion.
   L'ID de l'organisation (un UUID), affiché sous Settings > Organization.	Un certificat CA que vous générez et enregistrez sur le tunnel.

   Avec l'accès programmatique, votre pile récupère le jeton de tunnel via l'API Tunnels, génère localement la CA et le certificat serveur (la clé privée ne quitte jamais votre environnement) et n'enregistre auprès d'Anthropic que le certificat public de la CA. Vous restez responsable de la sécurisation des clés privées et du renouvellement du certificat serveur avant son expiration.

Votre organisation peut avoir jusqu'à 10 tunnels actifs. La création d'un tunnel n'établit aucune connectivité ; celle-ci s'établit une fois que votre pile se connecte avec le jeton de tunnel et qu'un certificat CA est enregistré.

Obtenir les détails de connexion

Ouvrez le tunnel. La page de détails affiche une section Connection avec le domaine et le jeton, ainsi qu'une section Certificates.

Ajouter un certificat CA

Anthropic vérifie le TLS interne (« inner TLS ») vers votre proxy par rapport aux certificats CA que vous enregistrez sur le tunnel. Un tunnel sans certificat actif ne peut pas accepter de connexions et n'apparaît pas dans le sélecteur de serveurs MCP de l'agent tant qu'aucun certificat n'est enregistré.

1. 1

   Trouver la section Certificates

   Sur la page de détails du tunnel, faites défiler jusqu'à la section Certificates et cliquez sur Add certificate.

2. 2

   Fournir le certificat

   Cliquez sur Choose file pour sélectionner un fichier .pem, .crt ou .cer, faites glisser le fichier sur la zone de texte, ou collez directement le bloc PEM. La fenêtre modale rejette tout élément de clé privée ainsi que tout contenu qui n'est pas un bloc -----BEGIN CERTIFICATE-----. Le fichier doit avoir une taille de 8 ko ou moins.

3. 3

   Ajouter le certificat

   Cliquez sur Add certificate. L'empreinte et la date d'expiration apparaissent dans la liste des certificats, et le compteur d'emplacements dans l'en-tête de la section s'incrémente.

Un tunnel contient jusqu'à deux certificats actifs afin que vous puissiez effectuer une rotation sans interruption de service : enregistrez le nouveau certificat à côté de l'ancien, redéployez votre proxy avec la nouvelle paire de clés, confirmez que le trafic circule, puis cliquez sur Revoke sur la ligne de l'ancien certificat. Les certificats révoqués restent visibles dans la liste avec un badge Revoked.

Déployer la pile de tunnel

Le tunnel existe dans la Console, mais aucun trafic ne circule tant que la pile de tunnel n'est pas en cours d'exécution à l'intérieur de votre réseau et connectée avec le jeton de tunnel. Suivez l'un des guides de déploiement :

Utiliser le tunnel dans un agent

Une fois que votre pile est en cours d'exécution et qu'un ou plusieurs serveurs MCP sont configurés, attachez un serveur MCP en amont à une session Managed Agent. Pour appeler les mêmes serveurs depuis l'API Messages à la place, consultez Utiliser les serveurs MCP tunnelisés.

1. 1

   Ouvrir la fenêtre modale New session

   Accédez à Managed Agents > Sessions et cliquez sur New session.

2. 2

   Définir un agent en ligne

   Dans le sélecteur d'agent, choisissez Create new agent afin de pouvoir modifier directement la liste des serveurs MCP.

3. 3

   Ajouter le serveur MCP

   Cliquez sur + MCP Server et ouvrez la liste déroulante. Les tunnels créés dans l'espace de travail actuel apparaissent en haut de la liste, au-dessus du catalogue public de connecteurs. Sélectionnez le tunnel qui se trouve devant le serveur que vous souhaitez atteindre.

4. 4

   Fournir le routage

   La carte affiche deux champs facultatifs : Subdomain (préfixé au domaine du tunnel) et Path (ajouté après celui-ci). Remplissez l'un ou les deux, selon la façon dont les routes de votre proxy sont configurées. La ligne Resolves to affiche l'URL complète du serveur MCP auquel l'agent se connecte.

Archiver un tunnel

L'archivage empêche immédiatement le tunnel d'accepter des connexions et est définitif.

Dans la liste MCP tunnels, ouvrez le menu de la ligne du tunnel et choisissez Archive. Les tunnels archivés restent visibles lorsque vous filtrez la liste par Archived ou All.

Étapes suivantes