MCP ネットワーキング
モデル コンテキスト プロトコル（MCP）クライアントからワークスペースへ、およびワークスペースから外部 MCP サーバーへという、双方向のネットワーク アクセスを確認します。サインインと ID については、MCP 認証を参照してください。
クライアントからワークスペースへ
MCP 要求は、ワークスペースのインバウンドネットワーク制御によって許可されている必要があります。ワークスペース IP アクセスリストが有効になっている場合は、要求の発信元となるパブリック IP アドレスを許可するように管理者に依頼してください：
MCPクライアントがランする場所 | 許可するアドレス |
|---|---|
Claude Code、Codex CLI、Cursorなど、ご自身のコンピュータで | ネットワークのパブリックアウトバウンドIP。トラフィックが企業VPNまたはプロキシを経由する場合は、そのネットワークの出力IPを使用します。ネットワーク管理者に問い合わせて入手してください。 |
Claude コネクタや ChatGPT などのホスト型サービスでは | プロバイダーが公開しているアウトバウンドIP範囲。ClaudeのアウトバウンドIPおよびChatGPTのアウトバウンドIPをご覧ください。 |
ホスト型クライアントの場合、ブラウザのサインインはネットワークから行われ、MCP呼び出しはプロバイダーのサーバーから行われます。両方を許可する必要があります。たとえば、企業VPNから正常にサインインしても、ChatGPTがMCPに到達できるとは限りません。
組織がコンテキストベースのイングレス制御を使用している場合、リクエストはそのポリシーも満たす必要があります。アカウントIPアクセスリストは、管理者がOAuthアプリを作成する場合など、アカウントコンソールおよびアカウントAPIのアクセスに適用されます。
外部 MCP サーバーへのワークスペース
Unity Gateway経由で外部MCPプロバイダーを呼び出すと、ワークスペースのServerlessコンピュートプレーンが使用されます。これは、登録済みの外部サーバーとDatabricksが提供する外部サービス用MCPに適用されます。
Serverlessネットワークポリシー が アクセス制限 を使用している場合は、サーバーの完全修飾ドメイン名（FQDN）を 許可ドメイン に追加します。MCPのUnity Catalog接続のホストから起動します。ブロックされたその他の宛先については、system.access.outbound_networkを確認してください。ネットワークポリシーの管理およびアウトバウンドネットワークLogsを参照してください。
- Unity Catalog接続は、自動的にその宛先を許可しません。
- フルアクセス は、defaultでアウトバウンドのインターネット接続を許可するServerlessネットワークポリシーのモードです。明示的にブロックされたドメインは拒否されたままになります。たとえば、
mcp.example.comをブロックするポリシーを設定すると、その MCP サーバーへの呼び出しが防止されます。管理者にそのポリシーのブロックされた宛先を確認するよう依頼してください。 - MCPトラフィックをドライランモードでテストするには、 すべての製品 を選択します。 Databricks SQL および AI モデルサービング オプションでは、MCP トラフィックはドライランになりません。
プライベート接続
クラウドネットワーク内の MCP サーバーに到達するために、Databricks Serverless コンピュートの接続方法を選択します。
- プライベートEndpoint： Private Linkを使用して、プライベート接続でトラフィックを維持します。アカウント管理者は、サーバーのドメインのプライベートEndpointルールを、ワークスペースに添付されたネットワーク接続構成 (NCC) に追加します。クラウド管理者がEndpoint接続を承認します。プライベート接続を構成するを参照してください。
- ファイアウォールを使用したパブリック Endpoint: ワークスペースのクラウドとリージョンの Databricks Serverless 送信 IP を許可するようにサーバーのファイアウォールを構成します。これらの IP は Databricks の顧客間で共有されるため、サーバーでの認証は有効のままにしておいてください。「 送信 IP を検索し、ファイアウォールを構成する」を参照してください。
プライベートEndpointルールに追加されたドメインは、ネットワークポリシーによって自動的に許可されるため、 許可されたドメイン に個別にリストに追加する必要はありません。パブリックEndpointの場合は、「 ワークスペースから外部 MCP サーバーへ」の手順に従ってください。