Skip to main content
AI Data Engine
La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Préparer l'hôte MCP pour un accès à l'IA régi par AI Data Engine

Contributeurs netapp-dbagwell
PDF

Configurez le nom de l'hôte et le certificat du cluster AI Data Engine (AIDE) que les clients AI utilisent pour accéder au serveur MCP AI Data Engine. Effectuez cette tâche avant de configurer Microsoft Entra ID, car l'URI de l'ID d'application dans Entra ID est construite à partir du nom de l'hôte du cluster AIDE.

Dans cette tâche, vous exécutez un script pour configurer le domaine et le certificat, vous assurer que les machines clientes peuvent accéder à l'hôte, puis vérifier l'hôte.

Remarque Microsoft est susceptible de modifier l'interface utilisateur de Microsoft Entra ID ; les étapes et les chemins d'accès peuvent donc différer de ce que vous voyez. Les configurations essentielles restent les mêmes.

Avant de commencer

  • AI Data Engine est déployé. Le serveur MCP est déployé avec AI Data Engine ; vous n’avez donc pas besoin de l’installer séparément.

  • Vous avez accès au cluster sur lequel AI Data Engine s'exécute.

  • Vous disposez d'un nom de domaine DNS enregistré qui est vérifié dans votre locataire Microsoft Entra ID. Le nom de l'hôte du cluster AIDE doit appartenir à ce domaine. Reportez-vous à Exigence relative au domaine vérifié.

Exigence relative au domaine vérifié

Le nom de l'hôte du cluster AIDE doit se trouver sur un nom de domaine DNS enregistré et vérifié dans le tenant Microsoft Entra ID de votre entreprise. Le nom de l'hôte que le script d'entrée configure devient <host> dans l'URI d'ID d'application, le domaine doit donc être vérifié avant que vous n'enregistriez l'application.

AI Data Engine utilise https://<host>/mcp/tools comme URI d’ID d’application de l’application que vous enregistrez dans Microsoft Entra ID. Microsoft Entra ID n’accepte un URI d’ID d’application que s’il se trouve sur un domaine vérifié. Un hôte sur un domaine non vérifié, tel qu’un .cluster.local nom de l'hôte, ne peut pas être utilisé.

Pour vérifier quels domaines sont vérifiés, dans le centre d’administration Microsoft Entra, accédez à Entra ID > Domain names.

Exécutez le script ingress

Le script d’ingress configure les éléments suivants afin que les clients d’IA puissent accéder au serveur MCP depuis l’extérieur du cluster :

  • Le certificat

  • Le nom d'hôte du cluster

  • Une règle d'entrée Kubernetes qui achemine le trafic destiné au nom de l'hôte du cluster vers le serveur MCP

Étapes

  1. Sur le système où vous avez téléchargé le programme d'installation de AI Data Engine, ouvrez le dossier des scripts de l'installateur : /tmp/installer/runbook/ingress-manager-scripts/scripts/. Le script ingress est téléchargé avec l'installateur. Si le dossier est absent, reportez-vous à Restaurez le script ingress.

  2. Exécutez le script ingress :

    ./ingress-manager.sh

  3. Notez le nom d'hôte configuré par le script. Vous utiliserez ce nom d'hôte <host> dans l'URI d'ID d'application, la portée et la configuration du client AI.

Remarque Le nom de l'hôte configuré par le script est le nom de l'hôte du cluster AIDE. Une fois le script terminé, vous pouvez également voir le nom de l'hôte dans l'interface utilisateur de AI Data Engine. Accédez à Configuration > Collections MCP > Paramètres MCP, et vérifiez Nom d'hôte MCP.

Si le script crée un certificat auto-signé, chaque machine qui exécute un client AI doit faire confiance à ce certificat. Reportez-vous à Rendre l'hôte accessible depuis les machines clientes.

Restaurez le script ingress

Le dossier du programme d'installation se trouve par défaut dans un répertoire temporaire. Votre système d'exploitation peut supprimer ces répertoires temporaires lors d'un redémarrage. Si le dossier des scripts n'est plus présent sur votre système, téléchargez et extrayez à nouveau le programme d'installation, puis exécutez le script.

Étapes

  1. Sur le système où vous exécutez le script, téléchargez et extrayez le programme d'installation :

    curl -fsSL https://d13jb5dapseb36.cloudfront.net/aide/latest/aide-installer.tar.gz | tar -xzf - -C /tmp

  2. Ouvrez le dossier des scripts et exécutez le script ingress :

    cd /tmp/installer/runbook/ingress-manager-scripts/scripts/
./ingress-manager.sh

Pour conserver le script après un redémarrage, extrayez le programme d'installation dans un répertoire qui n'est pas vidé au redémarrage. Remplacez /tmp dans la commande tar et dans la commande cd par ce répertoire.

Rendre l'hôte accessible depuis les machines clientes

Chaque machine exécutant un client d'IA doit être capable de réaliser les opérations suivantes :

  • Résolvez le nom de l'hôte via le DNS.

  • Accédez à l'hôte sur le port 443 via HTTPS, depuis votre réseau d'entreprise ou via un VPN.

  • Faites confiance au certificat présenté par l'hôte. S'il s'agit d'un certificat auto-signé, installez-le comme certificat de confiance sur chaque machine cliente.

  • Accédez à la page de connexion Microsoft Entra ID (login.microsoftonline.com).

Vérifiez l'hôte

Vérifiez que le serveur MCP répond sur le nom de l'hôte du cluster AIDE. Le serveur MCP publie des métadonnées sur un point de terminaison connu. La réponse confirme que le nom de l'hôte, le domaine et le serveur MCP sont correctement configurés.

Étapes

  1. Depuis une machine cliente, demandez le point de terminaison bien connu du serveur MCP. Remplacez <host> par le nom de l'hôte du cluster AIDE:

    curl -sk https://<host>/.well-known/oauth-protected-resource/mcp/tools

  2. Vérifiez que la réponse est similaire à l'exemple suivant. Cet exemple présente la commande et la réponse pour le nom de l'hôte aide-cluster.contoso.com.

    curl -sk https://aide-cluster.contoso.com/.well-known/oauth-protected-resource/mcp/tools | python3 -m json.tool
{
    "resource": "https://aide-cluster.contoso.com/mcp/tools",
    "authorization_servers": [
        "https://login.microsoftonline.com/7f3e2a91-4b6c-4d58-9a0e-2c81d5f6b347/v2.0"
    ],
    "scopes_supported": [
        "https://aide-cluster.contoso.com/mcp/tools/power_users"
    ],
    "bearer_methods_supported": [
        "header"
    ],
    "resource_name": "NetApp AI Data Engine MCP Server"
}

    Dans votre réponse, vérifiez les éléments suivants :

  3. Facultatif : Pour une vérification supplémentaire, effectuez une requête https://<host>/mcp/tools sans jeton :

    curl -i https://<host>/mcp/tools

    Une réponse de 401 Unauthorized est attendue. Comme cette requête n’ignore pas la validation du certificat, elle confirme également que la machine cliente fait confiance au certificat.

Important Une 401 réponse à elle seule ne prouve pas que la configuration fonctionne. Si un autre ingress a été configuré précédemment, il peut renvoyer 401 même si le serveur MCP ne répond pas. Utilisez la réponse du point de terminaison well-known pour vérifier l'hôte.
Et ensuite

"Configurer Microsoft Entra ID".