Consoleでトンネルを管理する

Consoleのサイドバーで、Manage > MCP tunnelsに移動します。トンネルはワークスペースにスコープされています。新しいトンネルはConsoleで現在選択されているワークスペースに属するため、別のワークスペースに作成したい場合は先にワークスペースを切り替えてください。

New tunnelをクリックし、Create tunnelダイアログで名前を入力します。名前は必須で、一覧、詳細ページ、およびエージェントのMCPサーバーピッカーでトンネルを識別するために使用されます。abcd1234.tunnel.anthropic.com形式のドメインが自動的に割り当てられます。

ロールにフェデレーションルールを管理する権限がある場合、Set up programmatic accessトグルが表示されます（デフォルトはオフ）。権限がない場合、Consoleはその場所に通知を表示し、トンネルスタックは代わりに手動フローを使用します。どちらの場合も、作成フローの残りの部分は同じです。

プログラムによるアクセスはWorkload Identity Federationに依存しています。フェデレーションのイシュアー、ルール、サービスアカウントに馴染みがない場合は、まずそのページをお読みください。トグルをオンにするには、以下が必要です。

1. 登録済みのOIDCイシュアー。スタックがトークンを提示するIDプロバイダー（Kubernetesクラスター、AWS IAM、Google Cloud、GitHub Actionsなど）用のものです。組織にまだない場合は、Settings > Workload identity > Issuersで登録してください。
2. workspace:manage_tunnelsスコープを持つフェデレーションルール。トグルをオンにすると、Federation ruleピッカーが表示されます。そのスコープを持つ既存のルールを選択するか、Create federation ruleをクリックしてインラインで作成します。
3. ルールのサービスアカウントがこのワークスペースに追加されていること。Tunnels APIは、サービスアカウントのワークスペースメンバーシップに基づいて認可を行います。組織のデフォルト以外のワークスペースでトンネルを作成する場合は、Settings > Workspacesでサービスアカウントを追加し、デプロイ時にワークスペースIDを渡してください（Helmの場合はapi.wif.workspaceId、Composeの場合はANTHROPIC_WORKSPACE_ID）。

このステップをスキップすることも完全にサポートされています。両方のデプロイガイドにはWithout programmatic accessタブがあります。

Create tunnelをクリックします。Consoleがトンネルをプロビジョニングし、詳細ページを開きます。

どちらのデプロイ方法でも以下が必要です。

• トンネルID（tnl_...）。トンネルの詳細ページに表示されます。
• トンネルドメイン（abcd1234.tunnel.anthropic.com）。トンネルの詳細ページに表示されます。プロキシのtunnel_domainとして、およびサーバー証明書のSANで使用されます。

その他に必要なものは、認証情報プロビジョニングモードによって異なります。

プログラムによるアクセスを使用する場合、スタックはTunnels APIを通じてトンネルトークンを取得し、CAとサーバー証明書をローカルで生成し（秘密鍵は環境外に出ません）、CAの公開証明書のみをAnthropicに登録します。秘密鍵の保護と、有効期限が切れる前のサーバー証明書の更新は、引き続きお客様の責任です。

トンネルの詳細ページで、Certificatesセクションまでスクロールし、Add certificateをクリックします。

Choose fileをクリックして.pem、.crt、または.cerファイルを選択するか、ファイルをテキストエリアにドラッグするか、PEMブロックを直接貼り付けます。モーダルは、秘密鍵の内容や-----BEGIN CERTIFICATE-----ブロックでないコンテンツを拒否します。ファイルは8 kB以下である必要があります。

Add certificateをクリックします。フィンガープリントと有効期限が証明書リストに表示され、セクションヘッダーのスロット数が増加します。

Managed Agents > Sessionsに移動し、New sessionをクリックします。

エージェントピッカーでCreate new agentを選択し、MCPサーバーリストを直接編集できるようにします。

+ MCP Serverをクリックしてドロップダウンを開きます。現在のワークスペースで作成されたトンネルが、パブリックコネクタカタログの上、リストの先頭に表示されます。接続したいサーバーをフロントするトンネルを選択します。

カードには2つのオプションフィールドが表示されます。Subdomain（トンネルドメインの前に付加される）とPath（その後に付加される）です。プロキシのルートの設定方法に応じて、一方または両方を入力します。Resolves toの行には、エージェントが接続する完全なMCPサーバーURLが表示されます。