Skip to main content
AI Data Engine
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Vorbereitung des MCP-Host für den von AI Data Engine gesteuerten KI-Zugriff

Beitragende netapp-dbagwell
Änderungen vorschlagen
PDFs

Der Hostname und das Zertifikat des AI Data Engine (AIDE) Clusters, die AI Clients zum Erreichen des AI Data Engine MCP Servers verwenden, müssen eingerichtet werden. Diese Aufgabe muss vor der Konfiguration von Microsoft Entra ID abgeschlossen werden, da die Application ID URI in Entra ID aus dem AIDE Cluster-Hostnamen erstellt wird.

In dieser Aufgabe wird ein Skript ausgeführt, um die Domäne und das Zertifikat einzurichten, sicherzustellen, dass Client-Rechner den Host erreichen können, und den Host anschließend zu überprüfen.

Hinweis Microsoft kann die Benutzeroberfläche von Microsoft Entra ID ändern, daher können die Schritte und Pfade von dem abweichen, was Sie sehen. Die grundlegenden Konfigurationen bleiben unverändert.

Bevor Sie beginnen

  • AI Data Engine wird eingesetzt. Der MCP server wird zusammen mit AI Data Engine eingesetzt, sodass keine separate Installation erforderlich ist.

  • Sie haben Zugriff auf den Cluster, auf dem AI Data Engine ausgeführt wird.

  • Sie verfügen über einen registrierten DNS-Domänennamen, der in Ihrem Microsoft Entra ID Mandanten verifiziert ist. Der Hostname des AIDE Clusters muss sich in dieser Domäne befinden. Ein Verweis findet sich unter Anforderung für verifizierte Domäne.

Anforderung für verifizierte Domäne

Der AIDE Cluster Hostname muss sich in einer registrierten DNS-Domäne befinden, die im Microsoft Entra ID-Mandanten Ihres Unternehmens verifiziert ist. Der Hostname, den das Ingress-Skript einrichtet, wird <host> zum Wert in der Application ID URI, daher muss die Domäne verifiziert sein, bevor Sie die Applikation registrieren.

AI Data Engine verwendet https://<host>/mcp/tools als Application ID URI der Applikation, die Sie in Microsoft Entra ID registrieren. Microsoft Entra ID akzeptiert eine Application ID URI nur, wenn sie sich in einer verifizierten Domäne befindet. Ein Host auf einer nicht verifizierten Domäne, z. B. ein `.cluster.local`Hostname, lässt sich nicht verwenden.

Um zu überprüfen, welche Domänen verifiziert sind, ist im Microsoft Entra Admin Center Entra ID > Domänennamen aufzurufen.

Ausführen des Ingress-Skripts

Das Ingress-Skript richtet die folgenden Elemente ein, damit AI-Clients den MCP-Server von außerhalb des Clusters erreichen können:

  • Das Zertifikat

  • Der Hostname des Clusters

  • Eine Kubernetes-Ingress-Regel, die den Datenverkehr für den Cluster-Hostnamen an den MCP-Server weiterleitet

Schritte

  1. Auf dem System, auf dem Sie das Installationsprogramm für AI Data Engine heruntergeladen haben, lässt sich der Skriptordner des Installationsprogramms wie folgt öffnen: /tmp/installer/runbook/ingress-manager-scripts/scripts/. Das Ingress-Skript wird als Teil des Installationsprogramms heruntergeladen. Falls der Ordner fehlt, finden Sie weitere Informationen unter Wiederherstellung des Ingress-Skripts.

  2. Ausführen des Ingress-Skripts:

    ./ingress-manager.sh

  3. Es empfiehlt sich, den Hostnamen zu notieren, den das Skript einrichtet. Dieser Hostname dient als <host> in der Application ID URI, im Scope und in der AI Client Konfiguration.

Hinweis Der vom Skript eingerichtete Hostname ist der Hostname des AIDE Clusters. Nach Abschluss des Skripts ist der Hostname auch in der AI Data Engine UI sichtbar. Unter Configuration > MCP collections > MCP settings lässt sich MCP hostname überprüfen.

Wenn das Skript ein selbstsigniertes Zertifikat erstellt, muss jeder Rechner, auf dem ein AI client ausgeführt wird, diesem Zertifikat vertrauen. Weitere Informationen finden sich in Sicherstellen, dass der Host von Client-Rechnern aus erreichbar ist.

Wiederherstellung des Ingress-Skripts

Der Installationsordner befindet sich standardmäßig in einem temporären Verzeichnis. Ihr Betriebssystem löscht temporäre Verzeichnisse beim Neustart möglicherweise. Wenn sich der Skriptordner nicht mehr auf dem System befindet, müssen Sie das Installationsprogramm erneut herunterladen und entpacken und anschließend das Skript ausführen.

Schritte

  1. Auf dem System, auf dem Sie das Skript ausführen, ist das Installationsprogramm herunterzuladen und zu extrahieren:

    curl -fsSL https://d13jb5dapseb36.cloudfront.net/aide/latest/aide-installer.tar.gz | tar -xzf - -C /tmp

  2. Öffnen des Ordners „scripts“ und Ausführen des Ingress-Skripts:

    cd /tmp/installer/runbook/ingress-manager-scripts/scripts/
./ingress-manager.sh

Damit das Skript nach einem Neustart erhalten bleibt, empfiehlt sich das Extrahieren des Installationsprogramms in ein Verzeichnis, das beim Neustart nicht gelöscht wird. Dabei wird /tmp im tar Befehl und im cd Befehl durch dieses Verzeichnis ersetzt.

Sicherstellen, dass der Host von Client-Rechnern aus erreichbar ist

Jede Maschine, auf der ein AI Client ausgeführt wird, muss Folgendes können:

  • Die Auflösung des Hostnamens erfolgt über DNS.

  • Der Host ist über Port 443 per HTTPS erreichbar, entweder von Ihrem Unternehmensnetzwerk aus oder über VPN.

  • Dem vom Host präsentierten Zertifikat sollte vertraut werden. Wenn es sich um ein selbstsigniertes Zertifikat handelt, sollte es auf jedem Client Rechner als vertrauenswürdiges Zertifikat installiert werden.

  • Auf die Microsoft Entra ID-Anmeldung zugreifen (login.microsoftonline.com).

Überprüfung des Hosts

Es ist zu bestätigen, dass der MCP server auf den AIDE cluster Hostnamen antwortet. Der MCP server veröffentlicht Metadaten an einem bekannten Endpunkt. Die Antwort bestätigt, dass der Hostname, die Domäne und der MCP server korrekt eingerichtet sind.

Schritte

  1. Auf einem Client Rechner können Sie den bekannten Endpunkt des MCP Servers anfordern. <host> wird durch den AIDE cluster host name ersetzt:

    curl -sk https://<host>/.well-known/oauth-protected-resource/mcp/tools

  2. Die Antwort sollte dem folgenden Beispiel ähneln. Das Beispiel zeigt den Befehl und die Antwort für den Hostnamen aide-cluster.contoso.com.

    curl -sk https://aide-cluster.contoso.com/.well-known/oauth-protected-resource/mcp/tools | python3 -m json.tool
{
    "resource": "https://aide-cluster.contoso.com/mcp/tools",
    "authorization_servers": [
        "https://login.microsoftonline.com/7f3e2a91-4b6c-4d58-9a0e-2c81d5f6b347/v2.0"
    ],
    "scopes_supported": [
        "https://aide-cluster.contoso.com/mcp/tools/power_users"
    ],
    "bearer_methods_supported": [
        "header"
    ],
    "resource_name": "NetApp AI Data Engine MCP Server"
}

    In der Antwort ist Folgendes zu prüfen:

    • resource`ist `\https://<host>/mcp/tools, wie in "resource": "https://aide-cluster.contoso.com/mcp/tools". Dies ist die Anwendungs-ID-URI, die Sie in Microsoft Entra ID registrieren.

    • authorization_servers`verweist auf Ihren Microsoft Entra ID Mandanten, wie in `https://login.microsoftonline.com/7f3e2a91-4b6c-4d58-9a0e-2c81d5f6b347/v2.0.

    • scopes_supported`enthält den `power_users Gültigkeitsbereich in Ihrem Hostnamen, wie in https://aide-cluster.contoso.com/mcp/tools/power_users.

    • resource_name ist NetApp AI Data Engine MCP Server.

  3. Optional: Für eine zusätzliche Überprüfung ist die Anforderung https://<host>/mcp/tools ohne Token möglich:

    curl -i https://<host>/mcp/tools

    Eine Antwort von 401 Unauthorized wird erwartet. Da diese Anfrage die Zertifikatsvalidierung nicht überspringt, bestätigt sie auch, dass der Clientrechner dem Zertifikat vertraut.

Wichtig Eine 401 Antwort allein beweist nicht, dass die Konfiguration funktioniert. Wenn zuvor ein anderer Ingress konfiguriert wurde, kann dieser auch dann eine Antwort zurückgeben 401, wenn der MCP Server nicht reagiert. Die Antwort des bekannten Endpunkts dient zur Überprüfung des Hosts.
Was kommt als Nächstes

"Konfiguration von Microsoft Entra ID".