msfabric-mcp

Ein Model Context Protocol Server für Microsoft Fabric, über stdio, in Python.

Er gibt einem Agenten eine einzige Verbindung, die beide Hälften von Fabric erreicht:

• die Control Plane über die öffentliche REST-API unter api.fabric.microsoft.com/v1 (Workspaces, Items, Lakehouses, Warehouses, Notebooks, den Job-Scheduler) und

• die Data Plane über den SQL-Analytics-Endpunkt eines Warehouses oder Lakehouses, hinter einer Allowlist-Read-only-Wache.

Zusätzlich optional DAX gegen ein Power BI-Semantikmodell.

Standardmäßig schreibgeschützt. Schreibvorgänge werden verweigert, es sei denn, der Betreiber setzt FABRIC_ALLOW_WRITES, und selbst dann müssen UPDATE und DELETE ein WHERE enthalten.

• Paket: msfabric-mcp auf PyPI

• Repository: https://github.com/NawafSheikh/fabric-mcp

• MCP-Registrierungsname: io.github.nawafsheikh/msfabric-mcp

• Lizenz: MIT

Ehrliche Positionierung

Fabric MCP ist ein überfülltes Regal (Stand 2026-08-22). Hier ist, was bereits existiert und wo sich dieses unterscheidet. Nichts unten ist eine Behauptung, dass die anderen schlecht sind.

Wo msfabric-mcp steht:

1. Ein Server über beide Ebenen. Microsofts Core-MCP-Server ist nur Control Plane; man braucht immer noch ein zweites Ding, um eine Abfrage auszuführen. Hier leben list_items und run_sql im selben Prozess und mit derselben Anmeldeinformation.

2. Lokales stdio, keine Vorschau-Anmeldung. Die Microsoft-Server sind remote und in der Vorschau. Dies läuft auf deinem Rechner gegen die allgemein verfügbare REST-API, funktioniert also in jedem Mandanten, bei dem du dich bereits anmelden kannst.

3. Die Wache ist das Produkt. run_sql ist eine Allowlist, keine Blocklist: Eine Anweisung wird nur ausgeführt, wenn sie positiv als Lesevorgang klassifiziert wird (oder als erlaubter Schreibvorgang, wenn Schreiben aktiviert ist). Kommentare werden zuerst entfernt, Anweisungsbatches werden verweigert, und Prozedurausführung, OPENROWSET/OPENQUERY, GRANT/REVOKE, BACKUP/RESTORE und SHUTDOWN werden in jedem Modus verweigert.

4. Begrenzte Ausgabe. Jedes Ergebnisset ist in Zeilen und Zellenbreite begrenzt und gibt an, wenn es abgeschnitten wurde, sodass ein breites SELECT * keinen Kontextfenster überfluten kann.

Wenn du nur Control-Plane-Durchsuchen in einem Mandanten mit aktivierter Vorschau benötigst, verwende Microsofts Core-MCP-Server; er ist First-Party und wird die API immer schneller verfolgen. Verwende diesen, wenn du SQL und Jobs im selben Server lokal mit einer harten Read-only-Standardeinstellung möchtest.

Related MCP server: Databricks MCP Server

Installation

pip install msfabric-mcp

SQL-Zugriff benötigt einen Treiber. Wähle einen:

pip install "msfabric-mcp[sql]"     # pyodbc, plus ODBC Driver 18 for SQL Server
pip install "msfabric-mcp[mssql]"   # mssql-python, no external ODBC manager

• pyodbc benötigt ODBC Driver 18 for SQL Server separat installiert (17 funktioniert auch). Das Entra-Token wird über das Verbindungsattribut SQL_COPT_SS_ACCESS_TOKEN (1256) übergeben.

• mssql-python ist Microsofts eigener Treiber, benötigt Python 3.10+, installiert seine Konnektivitätsschicht mit dem Wheel und unterstützt Fabric Data Warehouse und den Lakehouse-SQL-Analytics-Endpunkt.

Die REST-Tools benötigen keinen der Treiber. Du kannst den Server ohne jegliche SQL-Konfiguration ausführen und trotzdem Workspaces, Items und Jobs durchsuchen.

Erfordert Python 3.11 oder höher.

Konfiguration

Alles kommt aus Umgebungsvariablen. Nichts über einen Mandanten, Workspace, Warehouse oder Host ist in das Paket kompiliert. Siehe .env.example.

Authentifizierung

Drei Modi, alle auf azure-identity aufgebaut.

1. DefaultAzureCredential (die Standardeinstellung). Nichts setzen. Die Anmeldeinformationskette erkennt eine az login-Sitzung, eine VS-Code-Anmeldung, eine verwaltete Identität oder den Standard-AZURE_CLIENT_ID / AZURE_TENANT_ID / AZURE_CLIENT_SECRET-Umgebungsdienstprinzipal.

az login

2. Dienstprinzipal. Alle drei setzen und der Modus wird abgeleitet:

Der Dienstprinzipal muss dem Workspace mit Admin, Member oder Contributor hinzugefügt werden, und die Mandanteneinstellung Dienstprinzipale können Fabric-öffentliche APIs aufrufen muss aktiviert sein.

3. Gerätecode, für eine headless Box oder eine SSH-Sitzung:

FABRIC_AUTH_MODE=device_code
FABRIC_CLIENT_ID=<a public client app registration>

Tokens werden pro Bereich im Speicher zwischengespeichert und zwei Minuten vor Ablauf aktualisiert. Sie werden nie auf die Festplatte geschrieben, nie protokolliert und erscheinen nie in einer Fehlermeldung, die der Server zurückgibt.

Umfang und SQL

Sicherheit

Es wird nie ein Geheimnis ausgegeben. health meldet ob eine Mandanten-ID, Client-ID und ein Geheimnis konfiguriert sind, nie deren Werte, und Fehlermeldungen enthalten eine Ausnahmeklasse und eine kurze Dienstbeschreibung mit entfernter Abfragezeichenfolge.

Client-Konfiguration

Claude Desktop, Claude Code oder ein beliebiger stdio-MCP-Client:

{
  "mcpServers": {
    "fabric": {
      "command": "msfabric-mcp",
      "env": {
        "FABRIC_WORKSPACE_ID": "00000000-0000-0000-0000-000000000000",
        "FABRIC_SQL_ENDPOINT": "your-endpoint.datawarehouse.fabric.microsoft.com",
        "FABRIC_SQL_DATABASE": "your_warehouse"
      }
    }
  }
}

Setze FABRIC_CLIENT_SECRET nicht in eine Konfigurationsdatei, die in einem Repository liegt. Verwende az login, eine verwaltete Identität oder einen Geheimnisverwalter, der die Variable in den Serverprozess injiziert.

Werkzeuge

Notebook- und Lakehouse-Argumente akzeptieren entweder einen Anzeigenamen oder eine ID; ein Name wird dabei über list_items aufgelöst.

Die SQL-Absicherung, präzise

run_sql akzeptiert eine Anweisung pro Aufruf, wobei Kommentare vor jeder Entscheidung entfernt werden. Dann:

• Beginnt mit SELECT oder WITH und enthält kein SELECT ... INTO oder FOR UPDATE: als lesend eingestuft, immer erlaubt.

• Beginnt mit INSERT, UPDATE, DELETE, MERGE, CREATE, ALTER, DROP, TRUNCATE oder ist ein SELECT ... INTO: als schreibend eingestuft. Wird abgelehnt, es sei denn, FABRIC_ALLOW_WRITES ist gesetzt. UPDATE und DELETE erfordern zusätzlich eine WHERE-Klausel, selbst wenn Schreibvorgänge aktiviert sind.

• Alles andere: abgelehnt, da es keiner Form entspricht.

• EXEC/EXECUTE, sp_*, xp_*, OPENROWSET, OPENDATASOURCE, OPENQUERY, BULK INSERT, GRANT, REVOKE, DENY, BACKUP, RESTORE, SHUTDOWN, RECONFIGURE: in jedem Modus abgelehnt.

• Mehrere durch ; getrennte Anweisungen: abgelehnt, damit jede einzeln beurteilt werden kann.

Tabellen- und Schemanamen, die an describe_table übergeben werden, werden als einfache Bezeichner validiert, und die Suche selbst ist parametrisiert, sodass ein Name kein SQL enthalten kann.

Dies ist ein Schutz vor Fehlern eines Agenten, kein Ersatz für Berechtigungen. Gewähren Sie der Identität den geringstmöglichen Zugriff; die Arbeitsbereichsrolle und die Objektberechtigungen des Warehouses bleiben die eigentliche Grenze.

Hinweise zu execute_dax

Verwendet den JSON-executeQueries-Endpunkt anstelle der neueren Arrow-executeDaxQueries-API, da executeQueries mit Pro-, PPU- und Premium-/Fabric-Kapazitäten funktioniert und keine Arrow-Bibliothek benötigt. Das dokumentierte Limit liegt bei 100.000 Zeilen und 1.000.000 Werten pro Abfrage; FABRIC_MAX_ROWS gilt zusätzlich. Die Mandanteneinstellung Dataset Execute Queries REST API muss aktiviert sein, und der Aufrufer benötigt die Build-Berechtigung für das semantische Modell. Es werden nur EVALUATE- und DEFINE-Abfragen akzeptiert.

Was berührt wird

• Ausgehender HTTPS-Verkehr zu api.fabric.microsoft.com, api.powerbi.com und Microsoft Entra für Token.

• Ausgehendes TDS auf Port 1433 zu Ihrem SQL-Analytics-Endpunkt, nur wenn ein SQL-Tool aufgerufen wird und FABRIC_SQL_ENDPOINT gesetzt ist. Encrypt=yes, TrustServerCertificate=no.

• Keine lokalen Dateisystemzugriffe. Keine Telemetrie. Kein Drittanbieterdienst.

Entwickeln

git clone https://github.com/NawafSheikh/fabric-mcp
cd fabric-mcp
pip install -e ".[dev]"
pytest
python -m build

Die gesamte Testsuite läuft ohne Netzwerk, ohne Fabric-Mandanten und ohne installierten ODBC-Treiber: REST-Aufrufe laufen über ein httpx.MockTransport, und die SQL-Schicht verwendet eine injizierbare Verbindungsfabrik, die die Tests mit einer gefälschten DB-API-Verbindung füllen.

Mitwirken

Probleme und Pull-Requests sind willkommen unter https://github.com/NawafSheikh/fabric-mcp/issues.

Quellen

Geprüft am 22.08.2026.

• Fabric REST API: Items

• Fabric REST API: Workspaces

• Fabric REST API: Job Scheduler

• Manage and execute notebooks in Fabric with APIs

• Manage a lakehouse with the REST API (List Tables)

• OneLake catalog and Fabric REST APIs

• mssql-python support lifecycle (Fabric endpoints)

• Microsoft Python Driver for SQL Server

• Azure Identity client library for Python

• Power BI: Execute Queries

• Power BI: Execute DAX Queries (Arrow) overview

• Fabric Core MCP Server tools reference

• Remote Power BI MCP server