Управление туннелями в Console

В боковой панели Console перейдите в Manage > MCP tunnels. Туннели привязаны к рабочему пространству; новый туннель принадлежит рабочему пространству, выбранному в данный момент в Console, поэтому сначала переключите рабочее пространство, если хотите создать его в другом месте.

Нажмите New tunnel и введите имя в диалоговом окне Create tunnel. Имя обязательно и идентифицирует туннель в списке, на странице сведений и в средстве выбора MCP-серверов агента. Домен вида abcd1234.tunnel.anthropic.com назначается автоматически.

Если ваша роль позволяет управлять правилами федерации, появится переключатель Set up programmatic access (по умолчанию выключен). Если нет, Console покажет уведомление на его месте, и ваш стек туннеля будет использовать ручной процесс. Остальная часть процесса создания одинакова в обоих случаях.

Программный доступ основан на Workload Identity Federation; сначала прочитайте эту страницу, если издатели федерации, правила и сервисные учётные записи вам незнакомы. Чтобы включить переключатель, вам потребуется:

1. Зарегистрированный OIDC-издатель для поставщика удостоверений, от которого ваш стек предъявляет токены (например, кластер Kubernetes, AWS IAM, Google Cloud или GitHub Actions). Зарегистрируйте его в разделе Settings > Workload identity > Issuers, если в вашей организации его ещё нет.
2. Правило федерации с областью действия workspace:manage_tunnels. При включении переключателя появляется средство выбора Federation rule. Выберите существующее правило с этой областью действия или нажмите Create federation rule, чтобы создать его прямо здесь.
3. Сервисная учётная запись правила, добавленная в это рабочее пространство. Tunnels API выполняет авторизацию на основе членства сервисной учётной записи в рабочих пространствах. Если вы создаёте туннель в рабочем пространстве, отличном от рабочего пространства организации по умолчанию, добавьте сервисную учётную запись в разделе Settings > Workspaces и передайте идентификатор рабочего пространства при развёртывании (api.wif.workspaceId для Helm, ANTHROPIC_WORKSPACE_ID для Compose).

Пропуск этого шага полностью поддерживается; в обоих руководствах по развёртыванию есть вкладка Without programmatic access.

Нажмите Create tunnel. Console подготовит туннель и откроет страницу сведений.

Для обоих вариантов развёртывания требуются:

• Идентификатор туннеля (tnl_...), показанный на странице сведений о туннеле.
• Домен туннеля (abcd1234.tunnel.anthropic.com), показанный на странице сведений о туннеле. Используется как tunnel_domain прокси и в SAN серверного сертификата.

Что ещё вам потребуется, зависит от режима предоставления учётных данных:

При программном доступе ваш стек получает токен туннеля через Tunnels API, генерирует CA и серверный сертификат локально (закрытый ключ никогда не покидает вашу среду) и регистрирует в Anthropic только публичный сертификат CA. Вы по-прежнему отвечаете за защиту закрытых ключей и обновление серверного сертификата до истечения срока его действия.

На странице сведений о туннеле прокрутите до раздела Certificates и нажмите Add certificate.

Нажмите Choose file, чтобы выбрать файл .pem, .crt или .cer, перетащите файл в текстовую область или вставьте блок PEM напрямую. Модальное окно отклоняет материал закрытого ключа и содержимое, которое не является блоком -----BEGIN CERTIFICATE-----. Размер файла не должен превышать 8 КБ.

Нажмите Add certificate. Отпечаток и срок действия появятся в списке сертификатов, а счётчик слотов в заголовке раздела увеличится.

Перейдите в Managed Agents > Sessions и нажмите New session.

В средстве выбора агента выберите Create new agent, чтобы вы могли напрямую редактировать список MCP-серверов.

Нажмите + MCP Server и откройте раскрывающийся список. Туннели, созданные в текущем рабочем пространстве, отображаются в верхней части списка, над каталогом публичных коннекторов. Выберите туннель, который обслуживает нужный вам сервер.

На карточке отображаются два необязательных поля: Subdomain (добавляется в начало домена туннеля) и Path (добавляется после него). Заполните одно или оба поля в зависимости от того, как настроены маршруты вашего прокси. Строка Resolves to показывает полный URL MCP-сервера, к которому подключается агент.