D05 · Ato 2

Governança de MCP e tools (BYO MCP)

Núcleo valida intake, aprovação, uso e bloqueio de um BYO MCP via Tooling Gateway em um cliente suportado.

GAPreview

Núcleo de um cliente

Comece com Copilot Studio (ou outro cliente suportado explicitamente escolhido), consultar_limite e Agent 365 Tooling Gateway. Chamada direta ao MCP testa autenticação do backend, não governança no MAC.

APIM/Tools Gateway, controle por tool (V08), demais clientes, Work IQ e intake do MCP de teste são extensões condicionais. O APIM atual não é fallback equivalente pronto: MI para backend e filtro MCP por tool precisam de implementação/aceite próprios. Sem evidência de tenant anexada.

MCP público implantado manualmente, EntraOAuth configurado e permissões mínimas; não conceder escrita/pagamento para o núcleo somente leitura.
CLI Agent 365 compatível (documentação BYO: ≥ 1.1.165-preview), service principal provisionado e admin autorizado ao consent.
Identificar cliente, identidade, endpoint do gateway, backend e correlação. Cadastro manual de URL direta não satisfaz o gate.
Use tenant/manual/byo-mcp-aprovacao.md; para APIM, tenant/manual/tools-gateway-apim.md.

Progresso dos passos: 0/8

Registre ext_core_bancario pelo comando a365 develop-mcp register-external-mcp-server, com URL pública /mcp, EntraOAuth, escopo de leitura e snapshot de tools revisto conforme a referência CLI.
Antes de aprovar, confirme indisponibilidade no cliente escolhido pelo caminho governado (V06).
Em MAC > Agents > Tools > Requests, revise nomes, descrições, autenticação, permissões e origem. Aprove e conceda apenas o consent necessário.
No cliente, selecione a entrada do registry e complete a conexão. Registre propagação e invoque consultar_limite com dado sintético.
Bloqueie o servidor no MAC. Repita a chamada pelo mesmo gateway até observar a negação (V07); meça o tempo, sem prometer 30 minutos para bloquear.
Verifique outro fluxo legítimo independente. Expansão a outros clientes só após repetir seus gates.
V08 opcional: somente com controle granular suportado e comprovado, bloqueie uma tool e mantenha outra permitida. APIM ainda não qualificado permanece pendente.
Intake opcional: rejeite descrição de tool com instruções indevidas no mcp-malicioso. D08 exige aprovação excepcional de lab, cópia isolada e ingress verificada.

pwsh scripts/lab.ps1 up -Only infra # preparação; não faz deployment

Para verificar, seguir a Sessão autenticada de leitura: sequência do operador em infra/azure/README.md. Abrir apenas pwsh -NoProfile, importar módulos existentes, definir $configPath e autenticar Graph/Az manualmente com escopos já consentidos. Na mesma sessão com contexto conferido:

& ./scripts/lab.ps1 -Command verify -ConfigPath $configPath
$LASTEXITCODE

Não abrir novo pwsh/pwsh -File após os logins. verify não faz login, consentimento, elevação nem troca contexto; pedido de consent novo deve ser cancelado e aprovado separadamente. Gates manuais continuam pendentes. Deployment, aprovação, consent e bloqueio são manuais; ferramentas locais não comprovam a passagem pelo gateway.

pwsh scripts/reset/D05.ps1: reverta o bloqueio somente se autorizado, confirme consulta legítima e mantenha o MCP de teste inacessível fora da janela. Ingress manual pendente exige verificação. Não apagar evidências. Durante preview, mudança de versão BYO exige procedimento de novo registro, não republicação presumida.