---
title: Gerenciar túneis no Console
url: https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/console
description: Crie túneis, registre certificados de CA, recupere o token do túnel e anexe servidores MCP tunelados a agentes a partir do Claude Console.
---
Os "MCP tunnels" (túneis MCP) estão em prévia de pesquisa. [Solicite acesso](https://claude.com/form/mcp-tunnels) para experimentá-los.
Esta página cobre o lado do Console de uma implantação de túneis MCP: criar um túnel, registrar seu certificado de CA, recuperar o token do túnel e anexar os [servidores MCP upstream](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#components) a um agente. [Implantar túneis MCP com Helm](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/deploy-helm) e [Implantar túneis MCP com Docker Compose](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/deploy-compose) cobrem a execução da [pilha do túnel](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#components) (tunnel stack) dentro da sua rede.
## Pré-requisitos
* **Um ou mais servidores MCP** em execução na sua rede privada. O túnel roteia o tráfego para eles; ele não os hospeda. Consulte [Servidores MCP remotos](https://platform.claude.com/docs/pt-BR/agents-and-tools/remote-mcp-servers) para exemplos que você pode implantar.
* **Uma função do Console com a permissão Manage tunnels (Gerenciar túneis)**, para que você possa criar e arquivar túneis, rotacionar o token e gerenciar certificados. Administradores e proprietários da organização a têm por padrão; funções personalizadas e concessões por conta também podem incluí-la. Funções sem ela têm acesso somente leitura à página **MCP tunnels** e aos detalhes do túnel.
* **Uma forma de sua pilha se autenticar na Tunnels API.** Escolha uma:
* **[Acesso programático](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) (recomendado).** Configure a [Workload Identity Federation](https://platform.claude.com/docs/pt-BR/manage-claude/workload-identity-federation) (federação de identidade de carga de trabalho) durante a criação do túnel para que sua pilha emita tokens de API de curta duração a partir do seu provedor de identidade, busque o token do túnel e gere e registre um certificado de CA automaticamente. Requer permissão para gerenciar regras de federação, um emissor OIDC registrado e uma regra de federação com o escopo `workspace:manage_tunnels`.
* **[Manual](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#credential-provisioning).** Pule o acesso programático. Após criar o túnel, [obtenha o token do túnel](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/console#get-the-connection-details), gere e [registre um certificado de CA](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate) você mesmo, e forneça o token e seu certificado de servidor à sua pilha do túnel como segredos.
## Criar um túnel
No Claude Console, acesse a página [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Os túneis têm escopo de workspace; o novo túnel pertence ao workspace atualmente selecionado no Console. Selecione o workspace desejado no seletor de workspace na barra lateral.
Clique em **New tunnel** e insira um nome na caixa de diálogo **Create tunnel**. O nome é obrigatório e identifica o túnel na lista, na página de detalhes e no seletor de servidores MCP do agente. Um domínio no formato `abcd1234.tunnel.anthropic.com` é atribuído automaticamente.
Se sua função puder gerenciar regras de federação, um botão de alternância **Set up programmatic access** aparece (desativado por padrão). Caso contrário, o Console mostra um aviso em seu lugar e sua pilha do túnel usa o fluxo manual. O restante do fluxo de criação é o mesmo em ambos os casos.
O acesso programático depende da [Workload Identity Federation](https://platform.claude.com/docs/pt-BR/manage-claude/workload-identity-federation); leia essa página primeiro se emissores de federação, regras e contas de serviço não forem familiares para você. Para ativar o botão de alternância, você precisa de:
1. **Um emissor OIDC registrado** para o provedor de identidade a partir do qual sua pilha apresenta tokens (como um cluster Kubernetes, AWS IAM, Google Cloud ou GitHub Actions). Registre um na aba **Issuers** da página [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) no Claude Console se sua organização não tiver um.
2. **Uma regra de federação com o escopo `workspace:manage_tunnels`.** Ativar o botão de alternância revela um seletor **Federation rule**. Escolha uma regra existente com esse escopo ou clique em **Create federation rule** para criar uma inline.
3. **A conta de serviço da regra adicionada a este workspace.** A Tunnels API autoriza com base nas associações de workspace da conta de serviço. Se você estiver criando o túnel em um workspace diferente do padrão da organização, [adicione a conta de serviço a esse workspace](https://platform.claude.com/docs/pt-BR/manage-claude/workspaces#role-inheritance) e passe o ID do workspace no momento da implantação (`api.wif.workspaceId` para Helm, `ANTHROPIC_WORKSPACE_ID` para Compose).
Pular esta etapa é totalmente suportado; ambos os guias de implantação têm uma aba **Without programmatic access**.
Clique em **Create tunnel**. O Console provisiona o túnel e abre a página de detalhes.
Ambos os caminhos de implantação precisam de:
* O **ID do túnel** (`tnl_...`), mostrado na página de detalhes do túnel.
* O **domínio do túnel** (`abcd1234.tunnel.anthropic.com`), mostrado na página de detalhes do túnel. Usado como o `tunnel_domain` do proxy e no SAN do certificado de servidor.
O que mais você precisa depende do [modo de provisionamento de credenciais](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#credential-provisioning):
| Com acesso programático | Sem acesso programático |
| ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| O **ID da regra de federação** (`fdrl_...`) da regra que você selecionou. A regra é de nível organizacional, não armazenada no túnel; encontre-a na aba **Rules** da página [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) (`platform.claude.com/settings/workload-identity-federation?tab=rules`) no Claude Console. | O **token do túnel**, revelado com o ícone de olho ao lado de **Token** na página de detalhes. Trate-o como um segredo. Consulte [Obter os detalhes de conexão](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/console#get-the-connection-details). |
| O **ID da organização** (um UUID), exibido na página [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) no Claude Console. | Um **certificado de CA** que você gera e [registra no túnel](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate). |
Com acesso programático, sua pilha busca o token do túnel por meio da Tunnels API, gera a CA e o certificado de servidor localmente (a chave privada nunca sai do seu ambiente) e registra apenas o certificado público da CA na Anthropic. Você ainda é responsável por proteger as chaves privadas e renovar o certificado de servidor antes que ele expire.
Sua organização pode ter até 10 túneis ativos. Criar um túnel não estabelece nenhuma conectividade; isso acontece quando sua pilha se conecta com o token do túnel e um certificado de CA é registrado.
## Obter os detalhes de conexão
Abra o túnel. A página de detalhes mostra uma seção **Connection** com o domínio e o token e uma seção **Certificates**.
| Campo | Descrição |
| ---------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Domain** | Copie o valor `abcd1234.tunnel.anthropic.com` atribuído. As rotas do seu proxy são subdomínios deste domínio. |
| **Token** | Clique no ícone de olho (**Show token**) para buscar o token do túnel e, em seguida, use o ícone de copiar para copiá-lo para o armazenamento de segredos da sua pilha do túnel. Clique em **Rotate token** para invalidar o token atual e emitir um novo. |
Cada revelação e rotação é registrada no log de atividades da [Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api) da sua organização. A rotação não interrompe conexões cloudflared já estabelecidas, então você pode rotacionar, reimplantar com o novo valor e deixar as conexões antigas se esgotarem.
## Adicionar um certificado de CA
A Anthropic verifica o [TLS interno](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#components) (inner TLS) para o seu [proxy](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/concepts#components) em relação aos certificados de CA que você registra no túnel. Um túnel sem certificados ativos não pode aceitar conexões e não aparece no seletor de servidores MCP do agente até que um seja registrado.
Na página de detalhes do túnel, role até a seção **Certificates** e clique em **Add certificate**.
Clique em **Choose file** para selecionar um arquivo `.pem`, `.crt` ou `.cer`, arraste o arquivo para a área de texto ou cole o bloco PEM diretamente. O modal rejeita material de chave privada e conteúdo que não seja um bloco `-----BEGIN CERTIFICATE-----`. O arquivo deve ter 8 kB ou menos.
Clique em **Add certificate**. A impressão digital e a data de expiração aparecem na lista de certificados, e a contagem de slots no cabeçalho da seção é incrementada.
Um túnel mantém até dois certificados ativos para que você possa rotacionar sem tempo de inatividade: registre o novo certificado junto com o antigo, reimplante seu proxy com o novo par de chaves, confirme que o tráfego está fluindo e, em seguida, clique em **Revoke** na linha do certificado antigo. Certificados revogados permanecem visíveis na lista com um selo **Revoked**.
## Implantar a pilha do túnel
O túnel existe no Console, mas nenhum tráfego flui até que a pilha do túnel esteja em execução dentro da sua rede e conectada com o token do túnel. Siga um dos guias de implantação:
Execute a pilha do túnel em um único host. Fluxos com acesso programático e manual.
Execute a pilha do túnel em um cluster Kubernetes. Fluxos com acesso programático e manual.
## Usar o túnel em um agente
Quando sua pilha estiver em execução e tiver um ou mais servidores MCP configurados, anexe um servidor MCP upstream a uma sessão de Managed Agent. Para chamar os mesmos servidores a partir da Messages API, consulte [Usar os servidores MCP tunelados](https://platform.claude.com/docs/pt-BR/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers).
O seletor mostra apenas túneis com pelo menos um certificado ativo. Um túnel que ainda mostra **Needs certificate** na lista **MCP tunnels** não aparece no menu suspenso; registre um certificado de CA primeiro. O seletor também tem escopo de workspace: ele lista túneis no mesmo workspace da sessão, não de outros workspaces.
No Claude Console, acesse a página [Sessions](https://platform.claude.com/sessions) (`platform.claude.com/sessions`) e clique em **Create session**.
No seletor de agentes, escolha **Create new agent** para poder editar a lista de servidores MCP diretamente.
Clique em **+ MCP Server** e abra o menu suspenso. Os túneis criados no workspace atual aparecem no topo da lista, acima do catálogo público de conectores. Selecione o túnel que fica à frente do servidor que você deseja alcançar.
O cartão mostra dois campos opcionais: **Subdomain** (prefixado ao domínio do túnel) e **Path** (anexado após ele). Preencha um ou ambos, dependendo de como as rotas do seu proxy estão configuradas. A linha **Resolves to** mostra a URL completa do servidor MCP à qual o agente se conecta.
O túnel transporta o tráfego; ele não se autentica no servidor MCP upstream. Configure OAuth ou autenticação bearer no servidor MCP da mesma forma que para qualquer outro servidor MCP.
## Arquivar um túnel
O arquivamento impede imediatamente que o túnel aceite conexões e é permanente.
No Claude Console, acesse a página [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). No seletor de workspace na barra lateral, selecione o workspace que contém o túnel. Abra o menu da linha do túnel e escolha **Archive**. Túneis arquivados permanecem visíveis quando você filtra a lista por **Archived** ou **All**.
## Próximos passos
Instale em um cluster Kubernetes usando o chart Helm da Anthropic.
Orientações de hardening, rotação de credenciais e resposta a violações.