--- title: 在 Console 中管理通道 url: https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/console description: 從 Claude Console 建立通道、註冊 CA 憑證、取得通道權杖，並將經由通道連線的 MCP 伺服器附加至代理。 --- 「MCP tunnels」（MCP 通道）目前處於研究預覽階段。[申請存取權限](https://claude.com/form/mcp-tunnels)即可試用。 本頁涵蓋 MCP 通道（MCP tunnels）部署中 Console 端的部分：建立通道、註冊您的 CA 憑證、取得通道權杖（tunnel token），以及將[上游 MCP 伺服器](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#components)附加至代理。[使用 Helm 部署 MCP 通道](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/deploy-helm)與[使用 Docker Compose 部署 MCP 通道](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/deploy-compose)則說明如何在您的網路內執行[通道堆疊（tunnel stack）](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#components)。 ## 先決條件 * **一個或多個 MCP 伺服器**在您的私有網路中執行。通道會將流量路由至這些伺服器；它並不託管它們。請參閱[遠端 MCP 伺服器](https://platform.claude.com/docs/zh-TW/agents-and-tools/remote-mcp-servers)以取得可部署的範例。 * **具有「管理通道」權限的 Console 角色**，讓您可以建立與封存通道、輪替權杖，以及管理憑證。組織管理員與擁有者預設即具備此權限；自訂角色與個別帳戶授權也可以包含此權限。沒有此權限的角色對 **MCP tunnels** 頁面與通道詳細資訊僅有唯讀存取權。 * **讓您的堆疊向 Tunnels API 進行驗證的方式。**請擇一： * **[程式化存取](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)（建議）。**在建立通道時設定 [Workload Identity Federation](https://platform.claude.com/docs/zh-TW/manage-claude/workload-identity-federation)（工作負載身分聯合），讓您的堆疊從您的身分提供者鑄造短效期的 API 權杖、擷取通道權杖，並自動產生與註冊 CA 憑證。需要管理聯合規則的權限、一個已註冊的 OIDC 簽發者，以及一條具有 `workspace:manage_tunnels` 範圍的聯合規則。 * **[手動](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)。**略過程式化存取。建立通道後，自行[取得通道權杖](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/console#get-the-connection-details)、產生並[註冊 CA 憑證](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate)，然後將權杖與您的伺服器憑證以機密的形式提供給您的通道堆疊。 ## 建立通道 在 Claude Console 中，前往 [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) 頁面（`platform.claude.com/settings/workspaces/default/mcp-tunnels`）。通道的範圍限定於工作區；新通道屬於 Console 中目前選取的工作區。請在側邊欄的工作區選擇器中選取您要的工作區。 點擊 **New tunnel**，並在 **Create tunnel** 對話方塊中輸入名稱。名稱為必填，用於在清單、詳細資訊頁面以及代理 MCP 伺服器選擇器中識別該通道。系統會自動指派一個形式為 `abcd1234.tunnel.anthropic.com` 的網域。 如果您的角色可以管理聯合規則，會出現一個 **Set up programmatic access** 切換開關（預設為關閉）。若否，Console 會在該位置顯示一則通知，而您的通道堆疊將改用手動流程。無論哪種方式，建立流程的其餘部分都相同。 程式化存取仰賴 [Workload Identity Federation](https://platform.claude.com/docs/zh-TW/manage-claude/workload-identity-federation)；如果您不熟悉聯合簽發者、規則與服務帳戶，請先閱讀該頁面。要開啟此切換開關，您需要： 1. **已註冊的 OIDC 簽發者**，對應您的堆疊所出示權杖的身分提供者（例如 Kubernetes 叢集、AWS IAM、Google Cloud 或 GitHub Actions）。如果您的組織尚未擁有，請在 Claude Console 的 [Workload identity](https://platform.claude.com/settings/workload-identity-federation) 頁面（`platform.claude.com/settings/workload-identity-federation`）的 **Issuers** 分頁中註冊一個。 2. **一條具有 `workspace:manage_tunnels` 範圍的聯合規則。**開啟切換開關後會顯示 **Federation rule** 選擇器。選擇一條具有該範圍的現有規則，或點擊 **Create federation rule** 以內嵌方式建立一條。 3. **已將規則的服務帳戶加入此工作區。**Tunnels API 會依據服務帳戶的工作區成員資格進行授權。如果您在組織預設工作區以外的工作區中建立通道，請[將服務帳戶加入該工作區](https://platform.claude.com/docs/zh-TW/manage-claude/workspaces#role-inheritance)，並在部署時傳入工作區 ID（Helm 使用 `api.wif.workspaceId`，Compose 使用 `ANTHROPIC_WORKSPACE_ID`）。 完全支援略過此步驟；兩份部署指南都有 **Without programmatic access** 分頁。 點擊 **Create tunnel**。Console 會佈建通道並開啟詳細資訊頁面。 兩種部署路徑都需要： * **通道 ID**（`tnl_...`），顯示於通道詳細資訊頁面。 * **通道網域**（`abcd1234.tunnel.anthropic.com`），顯示於通道詳細資訊頁面。用作代理伺服器的 `tunnel_domain`，並用於伺服器憑證的 SAN 中。 您還需要什麼取決於[憑證佈建模式](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#credential-provisioning)： | 使用程式化存取 | 不使用程式化存取 | | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 您所選規則的**聯合規則 ID**（`fdrl_...`）。該規則屬於組織層級，不會儲存在通道上；請在 Claude Console 的 [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) 頁面（`platform.claude.com/settings/workload-identity-federation?tab=rules`）的 **Rules** 分頁中找到它。 | **通道權杖**，可透過詳細資訊頁面上 **Token** 旁的眼睛圖示顯示。請將其視為機密。請參閱[取得連線詳細資訊](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/console#get-the-connection-details)。 | | **組織 ID**（UUID），顯示於 Claude Console 的 [Organization](https://platform.claude.com/settings/organization) 頁面（`platform.claude.com/settings/organization`）。 | 一個由您產生並[註冊至通道](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate)的 **CA 憑證**。 | 使用程式化存取時，您的堆疊會透過 Tunnels API 擷取通道權杖、在本機產生 CA 與伺服器憑證（私密金鑰永遠不會離開您的環境），並僅向 Anthropic 註冊 CA 的公開憑證。您仍須負責保護私密金鑰，並在伺服器憑證到期前進行更新。 您的組織最多可擁有 10 個作用中的通道。建立通道並不會建立任何連線；連線會在您的堆疊使用通道權杖撥入且已註冊 CA 憑證後才建立。 ## 取得連線詳細資訊 開啟通道。詳細資訊頁面會顯示包含網域與權杖的 **Connection** 區段，以及 **Certificates** 區段。 | 欄位 | 說明 | | ---------- | --------------------------------------------------------------------------------------------- | | **Domain** | 複製所指派的 `abcd1234.tunnel.anthropic.com` 值。您的代理伺服器的路由是此網域的子網域。 | | **Token** | 點擊眼睛圖示（**Show token**）以擷取通道權杖，然後使用複製圖示將其複製到您的通道堆疊的機密儲存區。點擊 **Rotate token** 可使目前的權杖失效並簽發新的權杖。 | 每次顯示與輪替都會記錄在您組織的 [Compliance API](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-api) 活動日誌中。輪替不會切斷已建立的 cloudflared 連線，因此您可以先輪替、使用新值重新部署，然後讓舊連線自然排空。 ## 新增 CA 憑證 Anthropic 會依據您在通道上註冊的 CA 憑證，驗證連往您的[代理伺服器（proxy）](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#components)的[內層 TLS（inner TLS）](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/concepts#components)。沒有作用中憑證的通道無法接受連線，且在註冊憑證之前不會出現在代理 MCP 伺服器選擇器中。 在通道的詳細資訊頁面上，捲動至 **Certificates** 區段並點擊 **Add certificate**。 點擊 **Choose file** 以選取 `.pem`、`.crt` 或 `.cer` 檔案，將檔案拖曳至文字區域，或直接貼上 PEM 區塊。此對話方塊會拒絕私密金鑰內容以及非 `-----BEGIN CERTIFICATE-----` 區塊的內容。檔案大小必須為 8 kB 或更小。 點擊 **Add certificate**。指紋與到期日會出現在憑證清單中，且區段標題上的插槽計數會遞增。 一個通道最多可持有兩個作用中的憑證，讓您可以在不停機的情況下進行輪替：將新憑證與舊憑證一併註冊、使用新的金鑰對重新部署您的代理伺服器、確認流量正常流通，然後在舊憑證的列上點擊 **Revoke**。已撤銷的憑證仍會顯示在清單中，並帶有 **Revoked** 標記。 ## 部署通道堆疊 通道已存在於 Console 中，但在通道堆疊於您的網路內執行並使用通道權杖撥入之前，不會有任何流量流通。請依循其中一份部署指南： 在單一主機上執行通道堆疊。涵蓋程式化存取與手動兩種流程。 在 Kubernetes 叢集上執行通道堆疊。涵蓋程式化存取與手動兩種流程。 ## 在代理中使用通道 一旦您的堆疊正在執行且已設定一個或多個 MCP 伺服器，即可將上游 MCP 伺服器附加至 Managed Agent 工作階段。若要改從 Messages API 呼叫相同的伺服器，請參閱[使用經由通道連線的 MCP 伺服器](https://platform.claude.com/docs/zh-TW/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers)。 選擇器只會顯示至少具有一個作用中憑證的通道。在 **MCP tunnels** 清單中仍顯示 **Needs certificate** 的通道不會出現在下拉式選單中；請先註冊 CA 憑證。選擇器的範圍也限定於工作區：它會列出與工作階段位於同一工作區的通道，而非其他工作區的通道。 在 Claude Console 中，前往 [Sessions](https://platform.claude.com/sessions) 頁面（`platform.claude.com/sessions`）並點擊 **Create session**。 在代理選擇器中，選擇 **Create new agent**，以便直接編輯 MCP 伺服器清單。 點擊 **+ MCP Server** 並開啟下拉式選單。在目前工作區中建立的通道會出現在清單頂端，位於公開連接器目錄之上。選取位於您想連線之伺服器前端的通道。 卡片會顯示兩個選填欄位：**Subdomain**（加在通道網域之前）與 **Path**（附加在其後）。依據您的代理伺服器路由的設定方式，填入其中一個或兩個。**Resolves to** 這一行會顯示代理所連線的完整 MCP 伺服器 URL。 通道負責承載流量；它不會向上游 MCP 伺服器進行驗證。請以與任何其他 MCP 伺服器相同的方式，在 MCP 伺服器上設定 OAuth 或 bearer 驗證。 ## 封存通道 封存會立即停止通道接受連線，且為永久性操作。 在 Claude Console 中，前往 [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) 頁面（`platform.claude.com/settings/workspaces/default/mcp-tunnels`）。在側邊欄的工作區選擇器中，選取包含該通道的工作區。開啟該通道的列選單並選擇 **Archive**。當您依 **Archived** 或 **All** 篩選清單時，已封存的通道仍會顯示。 ## 後續步驟 使用 Anthropic Helm chart 安裝於 Kubernetes 叢集上。 強化指引、憑證輪替與外洩應變。