Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verbindung zu DevOps Agenten-Remoteservern herstellen

AWS DevOps Der Agent stellt dedizierte Remoteserver für das Model Context Protocol (MCP) - und Agent-to-Agent (A2A) -Protokoll bereit. Verwenden Sie diese Server, um Ihre IDE-, CLI- oder benutzerdefinierten Agentenintegrationen mit einem Agent Space zu verbinden.

Unterstützte Protokolle

Endpunkte

Remoteserver sind unter einer regionalen URL verfügbar:

https://connect.aidevops.{region}.api.aws

Die Liste der verfügbaren Regionen finden Sie unterUnterstützte Regionen.

Authentifizierung

Zwei Authentifizierungsmethoden sind sowohl für MCP- als auch für A2A-Endpunkte verfügbar:

Erstellen Sie ein Zugriffstoken

Voraussetzungen

Zugriffstoken aktivieren

Erstellen Sie ein Token

Nach dem Erstellen eines Tokens zeigt die Web-App ein Konfigurationsbeispiel an, das Sie direkt in Ihren Client kopieren können.

Verbinde dich mit Kiro

Für https://kiro.dev/ Kiro-Benutzer ist in der IDE oder auf dem Kiro Powers-Marktplatz ein eigener AWS DevOps Agent verfügbar.

Schritt 1: Installieren Sie die Stromversorgung

Installieren Sie den aws-devops-Agent Power vom Powers Marketplace.

Schritt 2: Umgebungsvariablen festlegen

Stellen Sie die folgenden Umgebungsvariablen ein, um die Verbindung zu konfigurieren:

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Schritt 3: Genehmigen Sie die Variablen in Kiro

Gehen Sie zu Einstellungen > MCP Approved Env Vars und genehmigen Sie und. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION Kiro übergibt keine Umgebungsvariablen an MCP-Server, bis sie genehmigt wurden.

Schritt 4: Starte Kiro neu

Starte Kiro neu, um die Änderungen zu übernehmen.

Die Kiro-Power ist aws-mcp als Fallback enthalten und bietet direkten AWS API-Zugriff, wenn der Remote-Server-Endpunkt nicht verfügbar ist.

Verbinde dich mit Claude Code

Für Claude Code-Benutzer ist AWS DevOps Agent über das Claude-Plugin aws-agents-for-devsecops verfügbar, das sowohl AWS DevOps Agenten- als auch Security Agent-Funktionen in Claude integriert. AWS Installieren Sie es über die Claude-Plugins oder das Quell-Repository. https://claude.com/plugins/aws-agents-for-devsecops https://github.com/aws/agent-toolkit-for-aws/tree/main/plugins/aws-agents-for-devsecops

Stellen Sie eine Verbindung zu anderen MCP-Clients her

Konfigurieren Sie den Server für jeden MCP-compatible Client mit:

Diese Konfiguration funktioniert auch mit Kiro und Claude Code, falls Sie es vorziehen, die Verbindung manuell zu konfigurieren, anstatt die dedizierte Stromversorgung oder das Plugin zu verwenden.

Beispiel für eine MCP-Konfiguration:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}Ersetzen Sie durch die Region Ihres Agentenbereichs (z. B.us-east-1) und <your-access-token> durch den Token-Wert.

Verwenden Sie die SigV4-Authentifizierung

Die SigV4-Authentifizierung verwendet Ihre AWS Anmeldeinformationen anstelle eines Zugriffstokens. Das Kiro Power- und das Claude Code-Plugin verfügen über eine integrierte SigV4-Unterstützungmcp-proxy-for-aws, die Anfragen mit Ihren lokalen Anmeldeinformationen signiert. AWS

Wenn SigV4 verwendet wird

Voraussetzungen

Beispielkonfiguration

Um einen MCP-Client so zu konfigurieren, dass er SigV4 anstelle eines Zugriffstokens verwendet, führen Sie den Server durch. mcp-proxy-for-aws {region}Ersetzen Sie durch die Region Ihres Agentenbereichs (z. B.us-east-1):

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

Der Proxy signiert jede Anfrage mit Ihren lokalen AWS Anmeldeinformationen, sodass kein Zugriffstoken erforderlich ist.

Multi-Agent-Space Routing

Geben Sie im SigV4-Modus agent_space_id bei jedem Toolaufruf an, welcher Agent Space verwendet werden soll. Dadurch ist es möglich, von einem einzigen Client aus mehrere Agent Spaces zu routen.

A2A-Integration

Der A2A-Endpunkt implementiert die A2A v1.0-Spezifikation mithilfe der HTTP+JSON-Bindung.

Anfordern von Headern

Übergeben Sie die folgenden Header bei A2A-Anfragen.

Entdeckung der Agentenkarte

Rufen Sie die Agentenkarte ab unter:

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Unterstützte Vorgänge

Skills

Sicherheitsüberlegungen

Umfang der Tokens

Liste zugelassener IP-Adressen

Beim Erstellen eines Zugriffstokens können Sie optional eine IP-Zulassungsliste angeben. Wenn das Token konfiguriert ist, kann es nur für die angegebenen IP-Adressen oder CIDR-Bereiche verwendet werden. Anfragen von anderen IP-Adressen werden mit dem Fehler „Zugriff verweigert“ abgelehnt.

Rotation und Widerruf des Tokens

Auf ein kompromittiertes Token reagieren

Wenn Sie vermuten, dass ein Token kompromittiert wurde, gehen Sie wie folgt vor:

Programmgesteuertes Widerrufen von Tokens

Sie können Token auch programmgesteuert mit widerrufen. awscurl Die folgenden Befehle verwenden die SigV4-Authentifizierung. Ersetzen Sie die Region (us-east-1) durch die Region, in der Ihr Agent Space erstellt wird.

Schritt 1: Listen Sie Ihre Agent Spaces auf

aws aidevops list-agent-spaces --region us-east-1

Schritt 2: Listet die Zugriffstoken für einen Agentenbereich auf

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Schritt 3: Widerrufen Sie ein Token

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

Ersetzen Sie {agentSpaceId} und {accessTokenId} durch die Werte aus den vorherigen Antworten.

Rückverfolgbarkeit

AWS DevOps Der Agent zeichnet die Aktivitäten des Remoteservers in auf AWS CloudTrail. Verwenden Sie diese Aufzeichnungen, um nachzuverfolgen, wer einen Remoteserver aufgerufen hat und was der Agent daraufhin getan hat. AWS DevOps Der Agent übermittelt CloudTrail Ereignisse an das AWS Konto, das den Agent Space hostet.

Ereignisse bei der Zugriffstoken-Authentifizierung

Jedes Mal, wenn der AWS DevOps Agent ein Zugriffstoken für einen MCP- oder A2A-Endpunkt authentifiziert, sendet er ein Ereignis an. AuthenticateAccessToken CloudTrail AWS DevOps Der Agent zeichnet sowohl erfolgreiche als auch fehlgeschlagene Authentifizierungen auf. Verwenden Sie diese Aufzeichnungen, um die legitime Nutzung zu überprüfen und abgelehnte Versuche zu erkennen. Beispiele hierfür sind abgelaufene oder widerrufene Tokens und Anfragen, die durch eine IP-Zulassungsliste blockiert wurden.

Das Ereignis weist die folgenden Merkmale auf:

Das Ereignis umfasst die folgenden Schlüsselfelder:

Ereignisse nachgelagerter Aktionen

Wenn Sie ein Zugriffstoken verwenden, übernimmt der AWS DevOps Agent in Ihrem Namen eine Rolle, um Aktionen auszuführen. AWS DevOps Der Agent meldet diesen AssumeRole Anruf CloudTrail mit Sitzungs-Tags an, die das Token und den Anrufer identifizieren:

Jede Aktion, die der Agent in Ihrem Namen ausführt, hat einen entsprechenden AWS Downstream-API-Aufruf, der CloudTrail protokolliert wird. Der Name der Rollensitzung verwendet das Formattoken_{spaceId}_{timestamp}_{tokenName}. Dieser Sitzungsname entspricht dem roleSessionName in der AuthenticateAccessToken Veranstaltung. Verwenden Sie ihn, um von einer Authentifizierung bis zu den spezifischen Aktionen, die darauf folgten, nachzuverfolgen.

SigV4-Aufrufe

Aufrufe, die die AWS SigV4-Authentifizierung anstelle eines Zugriffstokens verwenden, erzeugen keine Ereignisse. AuthenticateAccessToken AWS DevOps Der Agent ordnet SigV4-Anfragen Ihrer AWS Identity and Access Management (IAM) -Identität zu. Sie können die Aktionen, die der Agent ausführt, anhand der von ihm ausgelösten AWS Downstream-API-Aufrufe verfolgen.

Beschränkung der VPC-Endpunktrichtlinien

Die Remoteserver-Endpunkte unterstützen keine VPC-Endpunktrichtlinien. Aufrufe, die entweder Zugriffstoken oder SigV4-Authentifizierung verwenden, können nicht durch VPC-Endpunktrichtlinien eingeschränkt werden.

Zugriffstoken deaktivieren

Die Zugriffstoken-Funktion ist standardmäßig deaktiviert. Um sie nach der Aktivierung zu deaktivieren:

Durch die Deaktivierung wird sofort der gesamte tokenbasierte Zugriff gesperrt. Bestehende Token werden nicht gelöscht, können aber erst verwendet werden, wenn die Funktion wieder aktiviert wird.

Um zu verhindern, dass Benutzer in Ihrer Organisation Zugriffstoken aktivieren, erstellen Sie eine Service Control Policy (SCP), die die API-Aktionen für Zugriffstoken und die UpdateAgentSpace Aktion (die das Umschalten der Zugriffstoken steuert) verweigert:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Fehlerbehebung