Aller au contenu principal
Dernière mise à jour le

Tutoriel : contrôlez l'accès de l'agent de codage au MCP GitHub

Dans ce tutoriel, vous régissez l'accès d'un agent de codage à GitHub à l'aide d'Unity Catalog et de l'AI Gateway. Supposons que votre équipe utilise un agent de codage tel que Claude Code ou Cursor pour lire les repository et les pull requests, mais que vous souhaitiez bloquer les opérations d'écriture et auditer chaque appel d'outil.

Vous utilisez le system.ai.github MCP Service fourni par Databricks, de sorte que vous n'hébergez ni n'enregistrez de serveur MCP et ne créez pas de connexion Unity Catalog. Vous attachez une politique de service intégrée pour bloquer les opérations d'écriture, accorder l'accès à votre équipe, connecter un agent de codage et confirmer que chaque appel d'outil est enregistré.

Prérequis​

Étape 1 : bloquer les Opérations d'écriture avec une politique intégrée​

Attachez la politique de service GitHub intégrée et activez Disallow writes . Cette action bloque les outils qui créent, modifient ou suppriment des données sur GitHub tout en autorisant les outils en lecture seule. La politique est gérée par la plateforme ; vous n'avez donc pas besoin d'écrire de fonction de politique.

  1. Dans la barre latérale du workspace, cliquez sur AI Gateway .
  2. Sur le tab MCPs , sélectionnez system.ai.github.
  3. Ouvrez l'tab Policies , puis cliquez sur New policy .
  4. Saisissez un nom de politique, tel que block_github_writes.
  5. Sous Guardrail type , sélectionnez GitHub .
  6. Sélectionnez Disallow writes , puis cliquez sur Create policy .

Une fois la politique associée, un tools/call pour un outil d'écriture est rejeté, y compris les outils qui créent des demandes d'extraction. Pour autoriser certains outils d'écriture tout en bloquant les opérations destructrices, créez plutôt une politique de service personnalisée. Pour en savoir plus sur les services disponibles et les contrôles de politiques, consultez Services MCP fournis par Databricks et Politiques de service.

Étape 2 : Partagez le service MCP avec votre équipe​

Suivez la section Share an MCP pour donner à votre équipe, telle que dev_team, accès à system.ai.github. Ce guide aborde les autorisations d'administrateur et l'accès hérité pour les MCP fournis par Databricks.

Étape 3 : Connecter votre agent de codage​

Installez un agent de codage compatible MCP si vous n'en possédez pas déjà un. Utilisez la CLI Unity Gateway (ug) pour configurer la connexion à la passerelle et lancer l'agent sur votre appareil. Par exemple, ug claude ouvre Claude Code avec cette configuration. Pour configurer vous-même un client, suivez la configuration manuelle ci-dessous.

  1. Si ug n'est pas installé, installez-le et vérifiez la version. Vous avez besoin de Python 3.12 ou version ultérieure et de uv. Consultez le guide de démarrage rapide de l'agent de codage pour obtenir des détails sur l'installation.

    Bash
    uv tool install git+https://github.com/databricks/unity-gateway
    ug --version

  2. Configurez votre agent de codage pour votre Workspace et connectez-vous lorsque vous y êtes invité. Si votre appareil est déjà configuré, passez cette étape.

    Bash
    ug configure --workspace https://<workspace-hostname>

  3. Ajoutez le service GitHub MCP à vos agents configurés. Si la configuration publiée par votre administrateur l'a déjà ajouté, passez cette étape.

    Bash
    ug mcp add --names system.ai.github

  4. Confirmez que le service apparaît dans vos connexions configurées :

    Bash
    ug mcp list

  5. Lancez ou redémarrez votre agent pour utiliser le service. Par exemple, lancez Claude Code :

    Bash
    ug claude

    Dans Claude Code, saisissez /mcp pour vérifier l'état de la connexion. Pour les autres commandes de lancement et options de configuration MCP, consultez Ajouter des outils et des compétences et la référence de la CLI ug.

Pour la configuration manuelle, choisissez votre client dans Supported coding agents. Utilisez cet Endpoint MCP pour le service intégré :

https://<workspace-url>/ai-gateway/mcp-services/system.ai.github

Pour des exemples d’invocation, notamment avec le SDK OpenAI Agents, consultez Utiliser des outils MCP dans un agent Python.

Étape 4 : Confirmez que l'activité est régie et enregistrée.​

Vérifiez que la gouvernance fonctionne des deux côtés :

  • Application des règles : depuis l'agent, un outil en lecture seule s'exécute correctement, tandis qu'un outil d'écriture, tel qu'un outil créant une pull request, est rejeté avec une erreur de règle.

  • Journalisation de l'utilisation : Interrogez la table système d'utilisation pour confirmer que les appels sont enregistrés :

    SQL
    SELECT service_name, mcp_metadata.tool_name AS tool_name, status_code, COUNT(*) AS calls
    FROM system.ai_gateway.usage
    WHERE service_type = 'MCP_SERVICE'
      AND service_name = 'system.ai.github'
    GROUP BY service_name, mcp_metadata.tool_name, status_code
    ORDER BY calls DESC;

Pour en savoir plus sur le monitoring, consultez Surveiller l'utilisation.

Étapes suivantes​

Sur cette page