MessagesMCPトンネル

Consoleでトンネルを管理する

Copy page



Claude Consoleからトンネルの作成、CA証明書の登録、トンネルトークンの取得、およびトンネル経由のMCPサーバーのエージェントへのアタッチを行います。

このページでは、MCPトンネルのデプロイにおけるConsole側の作業について説明します。トンネルの作成、CA証明書の登録、トンネルトークンの取得、およびアップストリームMCPサーバーのエージェントへのアタッチです。ネットワーク内でトンネルスタックを実行する方法については、HelmでMCPトンネルをデプロイするおよびDocker ComposeでMCPトンネルをデプロイするを参照してください。

前提条件

• プライベートネットワーク内で稼働している1つ以上のMCPサーバー。トンネルはそれらにトラフィックをルーティングしますが、ホストはしません。デプロイ可能な例については、リモートMCPサーバーを参照してください。
• Manage tunnels権限を持つConsoleロール。これにより、トンネルの作成とアーカイブ、トークンのローテーション、証明書の管理が可能になります。組織の管理者とオーナーはデフォルトでこの権限を持っています。カスタムロールやアカウントごとの付与にも含めることができます。この権限を持たないロールは、MCP tunnelsページとトンネルの詳細に対して読み取り専用アクセスとなります。
• スタックがTunnels APIに対して認証する手段。 次のいずれかを選択します。
  • プログラムによるアクセス（推奨）。 トンネル作成時にWorkload Identity Federationを設定すると、スタックがIDプロバイダーから短期間有効なAPIトークンを発行し、トンネルトークンを取得し、CA証明書を自動的に生成して登録します。フェデレーションルールを管理する権限、登録済みのOIDC発行者、およびworkspace:manage_tunnelsスコープを持つフェデレーションルールが必要です。
  • 手動。 プログラムによるアクセスをスキップします。トンネルを作成した後、トンネルトークンを取得し、自分でCA証明書を生成して登録し、トークンとサーバー証明書をシークレットとしてトンネルスタックに提供します。

トンネルを作成する

1. 1

   MCP tunnelsページを開く

   Consoleのサイドバーで、Manage > MCP tunnelsに移動します。トンネルはワークスペーススコープです。新しいトンネルはConsoleで現在選択されているワークスペースに属するため、別の場所に作成したい場合は先にワークスペースを切り替えてください。

2. 2

   トンネルに名前を付ける

   New tunnelをクリックし、Create tunnelダイアログで名前を入力します。名前は必須で、一覧、詳細ページ、およびエージェントのMCPサーバーピッカーでトンネルを識別するために使用されます。abcd1234.tunnel.anthropic.com形式のドメインが自動的に割り当てられます。

3. 3

   必要に応じてプログラムによるアクセスを設定する

   ロールがフェデレーションルールを管理できる場合、Set up programmatic accessトグルが表示されます（デフォルトはオフ）。管理できない場合、Consoleはその代わりに通知を表示し、トンネルスタックは手動フローを使用します。作成フローの残りの部分はどちらの場合も同じです。

   プログラムによるアクセスはWorkload Identity Federationに依存しています。フェデレーション発行者、ルール、サービスアカウントに馴染みがない場合は、先にそのページをお読みください。トグルをオンにするには、以下が必要です。

   1. スタックがトークンを提示するIDプロバイダー（Kubernetesクラスター、AWS IAM、Google Cloud、GitHub Actionsなど）の登録済みOIDC発行者。組織に発行者がない場合は、Settings > Workload identity > Issuersで登録してください。
   2. workspace:manage_tunnelsスコープを持つフェデレーションルール。 トグルをオンにすると、Federation ruleピッカーが表示されます。そのスコープを持つ既存のルールを選択するか、Create federation ruleをクリックしてインラインで作成します。
   3. このワークスペースに追加されたルールのサービスアカウント。 Tunnels APIはサービスアカウントのワークスペースメンバーシップに対して認可を行います。組織のデフォルト以外のワークスペースでトンネルを作成する場合は、Settings > Workspacesでサービスアカウントを追加し、デプロイ時にワークスペースIDを渡してください（Helmの場合はapi.wif.workspaceId、Composeの場合はANTHROPIC_WORKSPACE_ID）。

   このステップをスキップすることも完全にサポートされています。どちらのデプロイガイドにもWithout programmatic accessタブがあります。

4. 4

   トンネルを作成する

   Create tunnelをクリックします。Consoleがトンネルをプロビジョニングし、詳細ページを開きます。

5. 5

   デプロイ用の識別子を記録する

   どちらのデプロイ方法でも以下が必要です。

   • トンネルID（tnl_...）。トンネルの詳細ページに表示されます。
   • トンネルドメイン（abcd1234.tunnel.anthropic.com）。トンネルの詳細ページに表示されます。プロキシのtunnel_domainとして、またサーバー証明書のSANで使用されます。

   その他に必要なものは、認証情報プロビジョニングモードによって異なります。

   プログラムによるアクセスあり	プログラムによるアクセスなし
   選択したルールのフェデレーションルールID（fdrl_...）。ルールは組織レベルであり、トンネルには保存されません。Settings > Workload identity > Rulesで確認できます。	トンネルトークン。詳細ページのTokenの横にある目のアイコンで表示できます。シークレットとして扱ってください。接続の詳細を取得するを参照してください。
   組織ID（UUID）。Settings > Organizationに表示されます。	自分で生成してトンネルに登録するCA証明書。

   プログラムによるアクセスでは、スタックがTunnels API経由でトンネルトークンを取得し、CAとサーバー証明書をローカルで生成し（秘密鍵が環境外に出ることはありません）、CAの公開証明書のみをAnthropicに登録します。秘密鍵の保護と、有効期限が切れる前のサーバー証明書の更新は、引き続きお客様の責任となります。

組織は最大10個のアクティブなトンネルを持つことができます。トンネルを作成しても接続は確立されません。接続は、スタックがトンネルトークンでダイヤルインし、CA証明書が登録された時点で確立されます。

接続の詳細を取得する

トンネルを開きます。詳細ページには、ドメインとトークンを含むConnectionセクションと、Certificatesセクションが表示されます。

CA証明書を追加する

Anthropicは、トンネルに登録されたCA証明書に対して、プロキシへの内部TLSを検証します。アクティブな証明書がないトンネルは接続を受け付けることができず、証明書が登録されるまでエージェントのMCPサーバーピッカーに表示されません。

1. 1

   Certificatesセクションを見つける

   トンネルの詳細ページで、Certificatesセクションまでスクロールし、Add certificateをクリックします。

2. 2

   証明書を提供する

   Choose fileをクリックして.pem、.crt、または.cerファイルを選択するか、ファイルをテキストエリアにドラッグするか、PEMブロックを直接貼り付けます。モーダルは、秘密鍵の内容や-----BEGIN CERTIFICATE-----ブロックではないコンテンツを拒否します。ファイルは8 kB以下である必要があります。

3. 3

   証明書を追加する

   Add certificateをクリックします。フィンガープリントと有効期限が証明書一覧に表示され、セクションヘッダーのスロット数が増加します。

トンネルは最大2つのアクティブな証明書を保持できるため、ダウンタイムなしでローテーションできます。古い証明書と並べて新しい証明書を登録し、新しい鍵ペアでプロキシを再デプロイし、トラフィックが流れていることを確認してから、古い証明書の行でRevokeをクリックします。失効した証明書はRevokedバッジ付きで一覧に表示されたままになります。

トンネルスタックをデプロイする

トンネルはConsole上に存在しますが、トンネルスタックがネットワーク内で稼働し、トンネルトークンでダイヤルインするまでトラフィックは流れません。次のいずれかのデプロイガイドに従ってください。

エージェントでトンネルを使用する

スタックが稼働し、1つ以上のMCPサーバーが設定されたら、アップストリームMCPサーバーをManaged Agentセッションにアタッチします。代わりにMessages APIから同じサーバーを呼び出す場合は、トンネル経由のMCPサーバーを使用するを参照してください。

1. 1

   New sessionモーダルを開く

   Managed Agents > Sessionsに移動し、New sessionをクリックします。

2. 2

   インラインエージェントを定義する

   エージェントピッカーでCreate new agentを選択すると、MCPサーバー一覧を直接編集できます。

3. 3

   MCPサーバーを追加する

   + MCP Serverをクリックし、ドロップダウンを開きます。現在のワークスペースで作成されたトンネルが、公開コネクタカタログの上、一覧の最上部に表示されます。到達したいサーバーの前段にあるトンネルを選択します。

4. 4

   ルーティングを指定する

   カードには2つのオプションフィールドが表示されます。Subdomain（トンネルドメインの前に付加）とPath（その後ろに追加）です。プロキシのルートの設定方法に応じて、一方または両方を入力します。Resolves to行には、エージェントが接続する完全なMCPサーバーURLが表示されます。

トンネルをアーカイブする

アーカイブすると、トンネルは直ちに接続の受け付けを停止し、この操作は元に戻せません。

MCP tunnels一覧で、トンネルの行メニューを開き、Archiveを選択します。アーカイブされたトンネルは、一覧をArchivedまたはAllでフィルタリングすると引き続き表示されます。

次のステップ