1. Azure MCP Server 是什么为什么本地 AI 客户端需要它Azure MCP Server 是一个实现了 MCPModel Context Protocol规范的服务端程序它把 Azure 上的资源操作封装成一组标准工具让本地 AI 客户端比如 VS Code 里的 Copilot Agent、Cline、Claude Code 这类支持 MCP 的工具能够以自然语言的方式去查询和操作 Azure 资源。简单说它是 AI 与 Azure 服务之间的一层连接层AI 负责理解你的意图Azure MCP Server 负责把意图翻译成真正的 Azure API 调用。它适合谁如果你手头有 Azure 订阅经常需要查 AKS 集群、翻 App Configuration 的键值、看 RBAC 角色分配又不想每次切到 Portal 点来点去那这套东西就很对口。你可以在 AI 对话里直接说“列出我订阅下的 AKS 集群”Agent 会调用 Azure MCP Server 暴露的工具去执行把结果带回来。需要先明确一点Azure MCP Server 目前处于公开预览阶段正式发布前接口和命令可能还会有较大变化。所以本文的配置以当前可用的azure/mcp包为准你实际跑的时候如果发现参数名变了以官方仓库的最新说明为准。它的能力覆盖比较广AKS、App Configuration、Authorization RBAC、Datadog 集成等都有对应的命令组。命令系统支持批量操作、资源列表查询、详细配置管理。认证这块集成了 Azure AD支持跨租户操作和权限管理还有缓存机制来提升查询性能。架构上是模块化的方便后续加新的服务区域。我试过把它接到 VS Code 的 Copilot Agent 模式里整个链路跑通之后查资源确实省事。下面从环境准备开始一步步把配置和验证走完。2. 前置准备Node.js、Azure 凭据与 TaoToken 接入配置在配 Azure MCP Server 之前有几样东西要先到位。第一是 Node.js建议用最新 LTS 版本因为azure/mcp是通过 npx 拉起的Node 版本太老会报模块解析错误。第二是 Azure CLI用来做登录和凭据管理az login之后本地会缓存凭据Azure MCP Server 默认会读取这份凭据。第三是你的 AI 客户端本文以 VS Code GitHub Copilot含 Copilot Chat 扩展为主其他客户端会单独给配置。Azure 凭据这块是重点。Azure MCP Server 走的是 Azure Identity 的默认凭据链也就是说它会依次尝试环境变量、托管身份、Azure CLI 登录态等。本地开发最省事的方式就是先az login然后确认az account show能正常返回当前订阅。如果你有多个订阅记得用az account set --subscription 订阅ID切到目标订阅否则 MCP Server 拿到的可能是默认订阅查出来的资源对不上。# 登录 Azure az login # 查看当前账号下的订阅列表 az account list --output table # 切换到目标订阅 az account set --subscription xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx # 确认当前订阅 az account show --query {name:name, id:id, tenantId:tenantId} --output json如果你希望 AI 客户端本身也走统一的模型接入层可以在客户端侧配置 TaoToken 的 API 地址。TaoToken 的 API 端点是https://taotoken.net/api模型对话入口在https://taotoken.net/api-keys可以拿到 Key。这样你的 AI 客户端负责对话Azure MCP Server 负责 Azure 操作两边各司其职。需要说明的是TaoToken 在这里承担的是模型调用入口的角色Azure 资源的实际操作仍然由 Azure MCP Server 通过 Azure 官方凭据完成两者不冲突。对于长期做编码和 Agent 任务的场景可以考虑 Coding Plan入口在https://taotoken.net/coding-plan。它的定位是给持续性的编码会话提供稳定的模型调用额度配合 MCP 工具链用起来比较顺。环境检查清单大致是这样Node.js LTS 装好、npx --version能输出、Azure CLI 登录成功、目标订阅已切换、AI 客户端已安装并启用 MCP 支持。这几项都过了再往下配 MCP Server 就不会卡在环境问题上。3. 可复制配置mcp.json、settings 与三件套参数配置分两块一块是 AI 客户端怎么拉起 Azure MCP Server另一块是 Azure 凭据怎么传进去。先看 VS Code 的配置。在项目根目录建.vscode/mcp.json写入{ servers: { Azure MCP Server: { command: npx, args: [-y, azure/mcplatest, server, start] } } }这段配置的意思是VS Code 在启动 MCP 服务时执行npx -y azure/mcplatest server start-y表示自动确认安装latest拉最新版。保存后 VS Code 会在 MCP 面板里显示这个 Server点刷新就能看到它暴露的工具列表。如果你用的是 Windsurf配置文件在~/.codeium/windsurf/mcp_config.json结构略有不同键名是mcpServers{ mcpServers: { Azure MCP Server: { command: npx, args: [-y, azure/mcplatest, server, start] } } }Cline 的配置也是mcpServers结构通常放在 Cline 的 MCP 设置里可以直接粘贴上面这段 JSON。Claude Code 的话用claude mcp add命令或者编辑它的 MCP 配置文件命令部分同样是npx -y azure/mcplatest server start。这里要强调三件套Base URL、Key、Model ID。虽然 Azure MCP Server 本身不直接吃这三个参数它靠 Azure 凭据但你的 AI 客户端在调用模型时需要它们。以 TaoToken 为例Base URL 填https://taotoken.net/apiKey 从https://taotoken.net/api-keys获取Model ID 按你选的模型填。这三件套配对了AI 客户端才能正常发起对话进而触发 MCP 工具调用。如果你需要把 Azure 凭据显式传给 MCP Server比如不想依赖az login的缓存可以在配置里加环境变量{ servers: { Azure MCP Server: { command: npx, args: [-y, azure/mcplatest, server, start], env: { AZURE_SUBSCRIPTION_ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, AZURE_TENANT_ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx } } } }注意环境变量里不要硬编码客户端密钥本地开发用az login的凭据链更安全。生产或 CI 场景再考虑服务主体加环境变量的方式。配置保存后重启 AI 客户端或刷新 MCP 面板。如果工具列表里出现了 Azure 相关的命令说明 Server 已经拉起来了。这一步没成功的话先看下一节的排错。4. 验证请求从 AI 工具发起一次 Azure 服务调用配置就绪后来跑一次完整验证。打开 VS Code 的 Copilot Chat切到 Agent 模式点工具列表里的刷新按钮确认 Azure MCP Server 的工具已经加载。然后在对话里输入列出我当前订阅下的 AKS 集群Agent 应该会调用 Azure MCP Server 的 AKS 列表工具返回集群名称、资源组、位置等信息。如果返回了真实数据说明链路打通了。如果返回空列表可能是订阅里确实没有 AKS 集群换个有资源的订阅再试。除了自然语言触发你也可以直接在终端里跑底层命令来验证 Server 本身是否正常。Azure MCP Server 暴露了一组azmcp-前缀的命令# 列出 AKS 集群 azmcp-aks-cluster-list --subscription 订阅ID # 获取 App Configuration 的键值 azmcp-appconfig-kv-show --account 配置存储名称 --key 键名 # 列出角色分配 azmcp-role-assignment-list --subscription 订阅ID --scope 范围这些命令能跑通说明 Azure 凭据和 Server 逻辑都没问题。再回到 AI 客户端里触发就是端到端的验证了。从代码层面看AKS 服务的实现大致是这样的结构它继承自BaseAzureService实现了IAksService接口列表方法里先校验参数再生成缓存键优先从缓存取缓存没有再调 Azure SDK// AzureMcp.Aks.Services.AksService public sealed class AksService : BaseAzureService, IAksService { public async TaskListCluster ListClusters( string subscription, string? tenant null, RetryPolicyOptions? retryPolicy null) { ValidateRequiredParameters(subscription); var cacheKey string.IsNullOrEmpty(tenant) ? $clusters_{subscription} : $clusters_{subscription}_{tenant}; var cachedClusters await _cacheService.GetAsyncListCluster( aks, cacheKey, TimeSpan.FromHours(1)); if (cachedClusters ! null) { return cachedClusters; } var subscriptionResource await _subscriptionService .GetSubscription(subscription, tenant, retryPolicy); var clusters new ListCluster(); await foreach (var cluster in subscriptionResource .GetContainerServiceManagedClustersAsync()) { // 处理集群数据 } return clusters; } }App Configuration 的服务接口也是类似风格提供账号查询、键值列表、单键查询等方法// AzureMcp.AppConfig.Services.IAppConfigService public interface IAppConfigService { TaskListAppConfigurationAccount GetAppConfigAccounts( string subscriptionId, string? tenant null, RetryPolicyOptions? retryPolicy null); TaskListKeyValueSetting ListKeyValues( string accountName, string subscriptionId, string? key null, string? label null, string? tenant null, RetryPolicyOptions? retryPolicy null); TaskKeyValueSetting GetKeyValue( string accountName, string key, string subscriptionId, string? tenant null, RetryPolicyOptions? retryPolicy null, string? label null); }验证成功的标志很明确AI 对话里能拿到 Azure 的真实资源数据终端里azmcp-命令能正常输出。两者都过链路就算真正打通了。5. 常见报错排查401、local proxy failed 与 reading choices配 MCP 的过程中报错基本集中在几类。下面按真实遇到的错误对照排查。第一类是 401 未授权。典型表现是 AI 客户端里触发工具后返回401 Unauthorized或者终端跑azmcp-命令时报认证失败。原因通常是 Azure 凭据没生效。先确认az account show能正常返回如果报Please run az login就重新登录。如果登录了还是 401检查是不是订阅切错了或者租户 ID 和订阅不匹配。跨租户场景下--tenant参数要显式传对。第二类是local proxy failed或连接被拒。这类错误一般出现在 MCP Server 启动阶段客户端连不上本地拉起的进程。排查顺序先确认npx -y azure/mcplatest server start能在终端里单独跑起来如果这一步就报错多半是 Node 版本或网络问题。Node 版本太低会报模块解析失败升级到 LTS 即可。如果终端能跑但客户端连不上检查配置文件路径对不对VS Code 是.vscode/mcp.jsonWindsurf 是~/.codeium/windsurf/mcp_config.json路径错了客户端根本读不到配置。第三类是reading choices相关报错。这通常出现在模型返回结构解析阶段AI 客户端在读取模型响应里的 choices 字段时失败。原因可能是模型返回格式和客户端预期不一致或者 Base URL / Model ID 配错了。检查三件套Base URL 是不是https://taotoken.net/apiKey 有没有过期Model ID 是不是客户端支持的。如果用的是兼容层确认接口路径拼对了少个/v1或者多一层路径都会导致解析失败。第四类是 OAuth 相关报错。Azure MCP Server 集成 Azure AD 认证如果出现 OAuth token 获取失败先看az login的账号有没有目标订阅的权限。权限不足时即使认证过了操作也会被拒。用az role assignment list确认当前账号的角色。另外条件访问策略Conditional Access也可能拦截这种情况需要管理员侧调整。第五类是工具列表为空。MCP Server 起来了但客户端里看不到 Azure 工具。先刷新 MCP 面板再检查 Server 日志。如果日志里有启动异常按上面的顺序排查。有时候是latest拉到了不兼容的新版本可以锁定一个已知可用的版本号试试。排错时建议开两个窗口一个跑终端命令验证 Server 本身一个在 AI 客户端里触发。这样能快速定位问题出在 Server 侧还是客户端侧。Server 侧通了、客户端侧不通基本就是配置路径或三件套的问题。6. 把链路用起来模型对话、接入文档与长期编码入口链路打通之后日常用法就围绕几个入口展开。需要验证模型返回是否正常、快速试一次对话用模型对话入口https://taotoken.net/api-keys拿 Key 后直接调https://taotoken.net/api。需要查接入细节、参数说明、错误码对照看接入文档https://taotoken.net/doc。需要长期跑编码和 Agent 任务用 Coding Planhttps://taotoken.net/coding-plan它更适合持续性的会话场景。控制台在https://taotoken.net/consoleAPI Keys 管理在https://taotoken.net/api-keys。实际用下来Azure MCP Server 的价值在于把 Azure 操作收敛到 AI 对话里省掉了在 Portal 和终端之间来回切的时间。配置本身不复杂卡人的往往是凭据和路径这些细节。把az login做对、把 mcp.json 路径放对、把三件套配对基本就顺了。剩下的就是按需去用那些azmcp-命令组AKS、App Configuration、RBAC 这些常用场景都有覆盖。