Skip to main content
AI Data Engine
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Prepara l'host MCP per l'accesso all'IA governato da AI Data Engine

Collaboratori netapp-dbagwell
PDF

Configura il host name e il certificato del cluster AI Data Engine (AIDE) che i client AI usano per raggiungere il MCP server di AI Data Engine. Completa questa operazione prima di configurare Microsoft Entra ID, perché l'Application ID URI in Entra ID viene creato a partire dal host name del cluster AIDE.

In questa attività, esegui uno script per configurare il dominio e il certificato, assicurati che le macchine client possano raggiungere l'host e poi verifica l'host.

Nota Microsoft potrebbe modificare l'interfaccia utente di Microsoft Entra ID, pertanto i passaggi e i percorsi potrebbero differire da quelli visualizzati. Le configurazioni essenziali rimangono invariate.

Prima di iniziare

  • AI Data Engine è già distribuito. Il server MCP viene distribuito insieme ad AI Data Engine, quindi non devi installarlo separatamente.

  • Hai accesso al cluster in cui è in esecuzione AI Data Engine.

  • Hai un DNS domain name registrato e verificato nel tuo tenant Microsoft Entra ID. L'host name del cluster AIDE deve trovarsi in questo domain name. Consulta Requisito del dominio verificato.

Requisito del dominio verificato

L'host name del cluster AIDE deve trovarsi in un domain name DNS registrato e verificato nel tenant Microsoft Entra ID della tua azienda. L'host name configurato dallo script di ingresso diventa <host> nell'URI dell'ID applicazione, quindi il dominio deve essere verificato prima di registrare l'applicazione.

AI Data Engine utilizza https://<host>/mcp/tools come URI dell'ID applicazione dell'applicazione che registri in Microsoft Entra ID. Microsoft Entra ID accetta un URI dell'ID applicazione solo se si trova su un dominio verificato. Non puoi utilizzare un host su un dominio non verificato, ad esempio un .cluster.local host name.

Per verificare quali domini sono verificati, nel Microsoft Entra admin center, vai a Entra ID > Domain names.

Esegui lo script ingress

Lo script ingress configura i seguenti elementi in modo che i client AI possano raggiungere il server MCP dall'esterno del cluster:

  • Il certificato

  • Il cluster host name

  • Una regola di ingresso Kubernetes che instrada il traffico per il cluster host name al server MCP

Passaggi

  1. Sul sistema in cui hai scaricato l'installer di AI Data Engine, apri la cartella degli script dell'installer: /tmp/installer/runbook/ingress-manager-scripts/scripts/. Lo script di ingress viene scaricato come parte dell'installer. Se la cartella non è presente, fai riferimento a Ripristina lo script ingress.

  2. Esegui lo script di ingresso:

    ./ingress-manager.sh

  3. Annota l'host name impostato dallo script. Utilizzerai questo host name come <host> nell'URI dell'ID applicazione, nell'ambito e nella configurazione del client AI.

Nota L'host name che lo script configura è l'host name del cluster AIDE. Dopo che lo script ha terminato, puoi anche vedere l'host name nella UI di AI Data Engine. Vai a Configuration > MCP collections > MCP settings e controlla MCP hostname.

Se lo script crea un certificato autofirmato, ogni macchina che esegue un client AI deve considerare attendibile tale certificato. Consulta Rendere l'host raggiungibile dalle macchine client.

Ripristina lo script ingress

La cartella di installazione si trova per impostazione predefinita in una directory temporanea. Il sistema operativo potrebbe eliminare le directory temporanee al riavvio del sistema. Se la cartella degli script non è più presente nel sistema, scarica ed estrai di nuovo il programma di installazione, quindi esegui lo script.

Passaggi

  1. Sul sistema in cui esegui lo script, scarica ed estrai il programma di installazione:

    curl -fsSL https://d13jb5dapseb36.cloudfront.net/aide/latest/aide-installer.tar.gz | tar -xzf - -C /tmp

  2. Apri la cartella degli script ed esegui lo script ingress:

    cd /tmp/installer/runbook/ingress-manager-scripts/scripts/
./ingress-manager.sh

Per mantenere lo script dopo un riavvio, estrai il programma di installazione in una directory che non viene eliminata al riavvio. Sostituisci /tmp nel comando tar e nel comando cd con quella directory.

Rendere l'host raggiungibile dalle macchine client

Ogni macchina che esegue un client AI deve essere in grado di fare quanto segue:

  • Risolvi l'host name tramite DNS.

  • Raggiungi l'host sulla porta 443 tramite HTTPS, dalla tua rete aziendale o tramite VPN.

  • Affidati al certificato presentato dall'host. Se il certificato è autofirmato, installalo come certificato attendibile su ogni macchina client.

  • Vai all'accesso di Microsoft Entra ID (login.microsoftonline.com).

Verifica l'host

Conferma che il server MCP risponda sull'host name del cluster AIDE. Il server MCP pubblica metadati su un endpoint noto. La risposta conferma che l'host name, il dominio e il server MCP sono configurati correttamente.

Passaggi

  1. Da una macchina client, richiedi l'endpoint noto del server MCP. Sostituisci <host> con l'host name del cluster AIDE:

    curl -sk https://<host>/.well-known/oauth-protected-resource/mcp/tools

  2. Conferma che la risposta sia simile al seguente esempio. L'esempio mostra il comando e la risposta per l'host name aide-cluster.contoso.com.

    curl -sk https://aide-cluster.contoso.com/.well-known/oauth-protected-resource/mcp/tools | python3 -m json.tool
{
    "resource": "https://aide-cluster.contoso.com/mcp/tools",
    "authorization_servers": [
        "https://login.microsoftonline.com/7f3e2a91-4b6c-4d58-9a0e-2c81d5f6b347/v2.0"
    ],
    "scopes_supported": [
        "https://aide-cluster.contoso.com/mcp/tools/power_users"
    ],
    "bearer_methods_supported": [
        "header"
    ],
    "resource_name": "NetApp AI Data Engine MCP Server"
}

    Nella risposta, controlla quanto segue:

    • resource è https://<host>/mcp/tools, come in "resource": "https://aide-cluster.contoso.com/mcp/tools". Questo è l'URI dell'ID applicazione che registri in Microsoft Entra ID.

    • authorization_servers punta al tuo tenant Microsoft Entra ID, come in https://login.microsoftonline.com/7f3e2a91-4b6c-4d58-9a0e-2c81d5f6b347/v2.0.

    • scopes_supported`include l' `power_users`ambito nel tuo host name, come in `https://aide-cluster.contoso.com/mcp/tools/power_users.

    • resource_name è NetApp AI Data Engine MCP Server.

  3. Opzionale: per un controllo aggiuntivo, richiedi https://<host>/mcp/tools senza token:

    curl -i https://<host>/mcp/tools

    È prevista una risposta di 401 Unauthorized. Poiché questa richiesta non ignora la convalida del certificato, conferma anche che la macchina client si fida del certificato.

Importante Una 401 risposta da sola non dimostra che la configurazione funzioni. Se in precedenza è stato configurato un altro ingress, può restituire 401 anche se il server MCP non risponde. Usa la risposta del well-known endpoint per verificare l'host.
Cosa c'è dopo

"Configurare Microsoft Entra ID".