Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

MCP-Server verbinden

MCP-Server (Model Context Protocol) erweitern die Ermittlungsmöglichkeiten des AWS DevOps Agenten, indem sie den Zugriff auf Daten aus Ihren externen Observability-Tools, benutzerdefinierten Überwachungssystemen und betrieblichen Datenquellen ermöglichen. In dieser Anleitung wird erklärt, wie Sie einen MCP-Server mit dem Agenten verbinden. AWS DevOps

Voraussetzungen

Bevor Sie einen MCP-Server verbinden, stellen Sie sicher, dass Ihr Server die folgenden Anforderungen erfüllt:

Sicherheitsüberlegungen

Beachten Sie beim Verbinden von MCP-Servern mit dem AWS DevOps Agenten die folgenden Sicherheitsaspekte:

Bitte beachten Sie, dass die maximale Länge des Toolnamens eines MCP-Tools 64 Zeichen beträgt. Die maximal zulässige Anzahl von MCP-Tools pro Agentenbereich finden Sie unter. Kontingente

AWS DevOps AgentensicherheitWeitere Informationen zu Prompt Injection und dem Modell der gemeinsamen Verantwortung finden Sie unter.

Community-MCP-Server

Das AWS DevOps Agent Tools-Repository umfasst bereitstellbare MCP-Server, die dem Agenten benutzerdefinierte Tools für tiefgreifende Infrastrukturdiagnosen zur Verfügung stellen, wie z. B. die Erfassung von Node-Logs im Amazon Elastic Kubernetes Service (Amazon EKS), die Prüfung der DNS-Auflösung von Amazon Virtual Private Cloud (Amazon VPC) und Zustandsprüfungen der Amazon Relational Database Service (Amazon RDS) -Datenbanken. Das Repository wird vom AWS DevOps Agent-Serviceteam verwaltet, und alle Beiträge durchlaufen dieselbe Sicherheitsüberprüfungsleiste, bevor sie hinzugefügt werden. Informationen zum Angebot finden Sie im MCP-Server-Katalog auf der GitHub Website.

So verwenden Sie einen Community-MCP-Server:

Registrierung eines MCP-Servers (auf Kontoebene)

MCP-Server werden auf AWS Kontoebene registriert und von allen Agent Spaces in diesem Konto gemeinsam genutzt. Die einzelnen Agent Spaces können dann für jeden MCP-Server auswählen, welche spezifischen Tools sie benötigen.

Schritt 1: Angaben zum MCP-Server

Schritt 2: Ablauf der Autorisierung

Wählen Sie die Authentifizierungsmethode für Ihren MCP-Server aus:

OAuth-Client-Anmeldeinformationen — Wenn Ihr MCP-Server den OAuth-Client-Anmeldeinformationsfluss verwendet:

OAuth 3LO (OAuth) — Wenn Ihr MCP-Server Three-Legged OAuth 3LO zur Authentifizierung verwendet:

API-Schlüssel — Wenn Ihr MCP-Server die API-Schlüsselauthentifizierung verwendet:

AWS SigV4 — Wenn Ihr MCP-Server die AWS Signature Version 4-Authentifizierung verwendet:

Schritt 3: Konfiguration der Autorisierung

Konfigurieren Sie zusätzliche Autorisierungsparameter basierend auf der ausgewählten Authentifizierungsmethode:

Für OAuth-Client-Anmeldeinformationen:

Für OAuth 3LO:

Für den API-Schlüssel:

Für AWS SigV4:

AWS Die SigV4-Authentifizierung ermöglicht es dem AWS DevOps Agenten, eine Verbindung zu MCP-Servern herzustellen, die AWS Signature Version 4 für das Signieren von Anfragen verwenden. Dies ist nützlich für MCP-Server, die hinter Amazon API Gateway oder anderen AWS Diensten gehostet werden, die die SigV4-Authentifizierung unterstützen.

Schritt 4: Prüfen und abschicken

Konfiguration der MCP-Tools in einem Agentenbereich

Nachdem Sie einen MCP-Server auf Kontoebene registriert haben, können Sie konfigurieren, welche Tools von diesem Server für bestimmte Agent Spaces verfügbar sind:

AWS DevOps Der Agent kann nun bei Ermittlungen in diesem Agentenbereich die auf der Liste der zugelassenen Programme von Ihrem MCP-Server aus verwenden.

Verwaltung der MCP-Serververbindungen

Aktualisierung der Anmeldeinformationen — Sie können die Anmeldeinformationen eines registrierten MCP-Servers aktualisieren, ohne ihn abzumelden. Navigieren Sie in der AWS DevOps Agent-Konsole zur Seite „Capability Providers“, wählen Sie Ihren MCP-Server aus und wählen Sie im Menü „Aktionen“ die Option „Aktualisieren“. Ihre Agent Space-Zuordnungen werden beibehalten. Was Sie aktualisieren können, hängt von der Authentifizierungsmethode ab:

MCP-Server, die OAuth-Client-Anmeldeinformationen verwenden, können vor Ort nicht aktualisiert werden. Um diese Anmeldeinformationen zu ändern, entfernen Sie alle aktiven Zuordnungen, heben Sie die Registrierung des MCP-Servers auf und registrieren Sie ihn erneut mit den neuen Werten.

Verbundene MCP-Server anzeigen — Um alle MCP-Server zu sehen, die mit Ihrem Agent-Space verbunden sind, wählen Sie Ihren Agent-Space aus, gehen Sie zur Registerkarte Funktionen und überprüfen Sie den Abschnitt MCP-Server. Sie können hier auch ausgewählte Tools aktualisieren.

MCP-Serververbindungen entfernen — Um einen MCP-Server von einem Agent-Space zu trennen, wählen Sie den Server im Abschnitt MCP-Server aus und klicken Sie auf Entfernen. Um eine MCP-Serverregistrierung vollständig zu löschen, entfernen Sie sie zuerst aus allen Agent Spaces und löschen Sie dann die Registrierung auf Kontoebene.

Erstellen einer IAM-Rolle für die SigV4-Authentifizierung

Wenn Sie die AWS SigV4-Authentifizierung verwenden, übernimmt der AWS DevOps Agent eine IAM-Rolle in Ihrem Konto, um Anfragen an Ihren MCP-Server zu signieren. Diese Rolle muss über eine Vertrauensrichtlinie verfügen, die es dem AWS DevOps Agenten-Serviceprinzipal (aidevops.amazonaws.com) ermöglicht, sie zu übernehmen, wobei der stellvertretende Schutz verwechselt wird.

Vertrauensrichtlinie

Erstellen Sie eine IAM-Rolle mit der folgenden Vertrauensrichtlinie. REGIONErsetzen Sie durch Ihre AWS Region (z. B.us-east-1) und ACCOUNT_ID durch Ihre AWS Konto-ID.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

Die Vertrauensrichtlinie beinhaltet die folgenden Bedingungen, um das Problem mit den verwirrten Stellvertretern zu vermeiden:

Berechtigungsrichtlinie

Fügen Sie der Rolle eine Berechtigungsrichtlinie hinzu, die die Mindestberechtigungen gewährt, die zum Aufrufen Ihres MCP-Servers erforderlich sind. Wenn Ihr MCP-Server beispielsweise hinter Amazon API Gateway gehostet wird, sollte die Rolle über execute-api:Invoke Berechtigungen für die API-Gateway-Ressource verfügen.

Multi-region Signieren (SigV4A)

Wenn Ihr MCP-Server in mehreren AWS Regionen eingesetzt wird, können Sie SigV4A (Signature Version 4a) für das Signieren mehrerer Regionen verwenden. Um dies zu aktivieren, geben Sie bei der Konfiguration der * AWS SigV4-Autorisierung als Region ein. SigV4A verwendet eine asymmetrische Signatur, wodurch eine einzelne signierte Anfrage für mehrere Regionen gültig ist.

Cross-account Zugriff ohne eine dedizierte Rolle

Anstatt eine dedizierte IAM-Rolle für Ihren MCP-Server zu registrieren, können Sie die rollenlose Registrierung verwenden: Registrieren Sie den Server ohne Rolle und lassen Sie den AWS DevOps Agenten Anfragen mit einer IAM-Rolle von einem AWS Konto signieren, das bereits mit Ihrem Agent Space verknüpft ist. Dies ist nützlich, wenn Ihr MCP-Server auf Ressourcen zugreifen muss, die die primären und sekundären AWS Konten umfassen, die mit einem Agentenbereich verbunden sind, und nicht auf eine einzelne Rolle, die auf ein Konto beschränkt ist.

Funktionsweise

Cross-account Der Zugriff ohne eine dedizierte Rolle funktioniert wie folgt:

Voraussetzungen

Bevor Sie einen SigV4-MCP-Server ohne Rolle einem Agentenbereich zuordnen:

Fehlerbehebung

Die Zuordnung eines MCP-Servers ohne Rolle schlägt fehl: „erfordert eine primäre Kontozuordnung“

Wenn Sie einen MCP-Server ohne eine dedizierte Rolle registriert haben und die Zuordnung fehlschlägt, überprüfen Sie die Fehlermeldung. Wenn der Fehler besagt, dass der Server eine primäre Kontozuordnung im Agent Space benötigt, ist mit dem Agent Space kein primäres AWS Konto verknüpft.

AWS DevOps Der Agent validiert einen SigV4-MCP-Server ohne Rolle, wenn Sie ihn zuordnen, und verwendet dabei die IAM-Rolle des primären AWS Accounts des Agent Space. Um dieses Problem zu lösen:

Verwandte Themen