Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conéctese a los servidores remotos del DevOps agente

AWS DevOps El agente proporciona servidores remotos dedicados para los protocolos Model Context Protocol (MCP) y Agent-to-Agent (A2A). Utilice estos servidores para conectar su IDE, CLI o integraciones de agentes personalizados a un espacio de agentes.

Protocolos admitidos

Puntos de conexión

Los servidores remotos están disponibles en una URL regional:

https://connect.aidevops.{region}.api.aws

Para ver la lista de regiones disponibles, consulteRegiones admitidas.

Autenticación

Hay dos métodos de autenticación disponibles para los terminales MCP y A2A:

Crea un token de acceso

Requisitos previos

Habilite los tokens de acceso

Crea un token

Tras crear un token, la aplicación web muestra un ejemplo de configuración que puedes copiar directamente en tu cliente.

Conéctese con Kiro

Para los usuarios de Kiro, hay disponible un poder de AWS DevOps agente dedicado en el IDE o en el mercado de Kiro Powers.

Paso 1: Instalar la alimentación

Instale la potencia de aws-devops-agent del mercado de Powers.

Paso 2: Establecer las variables de entorno

Establezca las siguientes variables de entorno para configurar la conexión:

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Paso 3: Aprobar las variables en Kiro

Vaya a Configuración > Variables de entorno aprobadas por MCP y apruebe y. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION Kiro no pasa las variables de entorno a los servidores MCP hasta que se aprueban.

Paso 4: Reiniciar Kiro

Reinicia Kiro para aplicar los cambios.

aws-mcpComo alternativa, se incluye la potencia de Kiro, que proporciona acceso directo a la AWS API cuando el punto final del servidor remoto no está disponible.

Conéctese con Claude Code

Para los usuarios de Claude Code, AWS DevOps Agent está disponible en el complemento Claude aws-agents-for-devsecops, que incorpora a Claude las funciones de agente y agente de seguridad. AWS DevOps AWS Instálelo desde los complementos de Claude o desde el repositorio de código fuente. https://claude.com/plugins/aws-agents-for-devsecops https://github.com/aws/agent-toolkit-for-aws/tree/main/plugins/aws-agents-for-devsecops

Conéctese con otros clientes de MCP

Para cualquier MCP-compatible cliente, configure el servidor con:

Esta configuración también funciona con Kiro y Claude Code si prefieres configurar la conexión manualmente en lugar de usar la alimentación o el complemento dedicados.

Ejemplo de configuración de MCP:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}Sustitúyala por la región de tu espacio de agente (por ejemplous-east-1) y <your-access-token> por el valor del token.

Utilice la autenticación SigV4

La autenticación Sigv4 utiliza sus AWS credenciales en lugar de un token de acceso. Los complementos Kiro Power y Claude Code incluyen soporte integrado para SigV4mcp-proxy-for-aws, que firma las solicitudes con tus credenciales locales. AWS

Cuando se usa SigV4

Requisitos previos

Configuración de ejemplo

Para configurar un cliente MCP para que utilice SIGv4 en lugar de un token de acceso, ejecute el servidor mediante. mcp-proxy-for-aws {region}Sustitúyalo por la región de su espacio de agente (por ejemplo,us-east-1):

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

El proxy firma cada solicitud con tus AWS credenciales locales, por lo que no se requiere ningún token de acceso.

Multi-Agent-Space enrutamiento

En el modo Sigv4, transfiera agent_space_id cada llamada a la herramienta para especificar qué espacio de agente usar. Esto permite enrutar varios espacios de agente desde un solo cliente.

Integración A2A

El punto final A2A implementa la especificación https://a2a-protocol.org/latest/specification/ A2A v1.0 mediante el enlace HTTP+JSON.

Encabezados de solicitudes

Pase los siguientes encabezados a las solicitudes A2A.

Descubrimiento de tarjetas de agente

Recupere la tarjeta de agente en:

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Operaciones admitidas

Habilidades

Consideraciones de seguridad

Alcance del token

Lista de direcciones IP permitidas

Al crear un token de acceso, si lo desea, puede especificar una lista de direcciones IP permitidas. Cuando está configurado, el token solo se puede usar desde las direcciones IP o los rangos de CIDR especificados. Las solicitudes de otras IP se rechazan con un error de acceso denegado.

Rotación y revocación de tokens

Responder a un token comprometido

Si sospechas que un token se ha visto comprometido, sigue estos pasos:

Revocar los tokens mediante programación

También puede revocar los tokens mediante programación utilizando. awscurl Los siguientes comandos utilizan la autenticación SigV4. Sustituya la región (us-east-1) por la región en la que se creó su espacio de agente.

Paso 1: Enumere sus espacios de agente

aws aidevops list-agent-spaces --region us-east-1

Paso 2: Enumere los tokens de acceso a un espacio de agentes

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Paso 3: Revocar un token

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

Sustituya {agentSpaceId} y {accessTokenId} por los valores de las respuestas anteriores.

Trazabilidad

AWS DevOps El agente registra la actividad del servidor remoto en AWS CloudTrail. Utilice estos registros para rastrear quién invocó un servidor remoto y qué hizo el agente como resultado. AWS DevOps El agente envía CloudTrail los eventos a la AWS cuenta que aloja el espacio de agente.

Acceda a los eventos de autenticación del token

Cada vez que el AWS DevOps agente autentica un token de acceso para un punto final MCP o A2A, emite un evento para. AuthenticateAccessToken CloudTrail AWS DevOps El agente registra tanto las autenticaciones exitosas como las fallidas. Utilice estos registros para auditar el uso legítimo y detectar los intentos rechazados. Algunos ejemplos son los tokens caducados o revocados y las solicitudes bloqueadas por una lista de direcciones IP permitidas.

El evento tiene las siguientes características:

El evento incluye los siguientes campos clave:

Eventos de acción posteriores

Cuando usas un token de acceso, el AWS DevOps agente asume una función en tu nombre para realizar acciones. AWS DevOps El agente inicia sesión en esta AssumeRole llamada CloudTrail con etiquetas de sesión que identifican el token y la persona que llama:

Cada acción que el agente realiza en tu nombre tiene una llamada a la AWS API descendente correspondiente que se CloudTrail registra. El nombre de la sesión de rol usa el formatotoken_{spaceId}_{timestamp}_{tokenName}. Este nombre de sesión coincide con roleSessionName el del AuthenticateAccessToken evento. Úselo para rastrear desde una autenticación hasta las acciones específicas que la siguieron.

Invocaciones de SigV4

Las invocaciones que utilizan la autenticación AWS Sigv4 en lugar de un token de acceso no producen eventos. AuthenticateAccessToken AWS DevOps El agente atribuye las solicitudes de SigV4 a su AWS identidad de administración de acceso e identidad (IAM). Puede rastrear las acciones que realiza el agente a través de las llamadas posteriores a la AWS API que desencadena.

Limitación de la política de terminales de la VPC

Los puntos finales del servidor remoto no admiten las políticas de puntos finales de la VPC. Las políticas de punto final de la VPC no pueden restringir las llamadas que utilizan tokens de acceso o autenticación SigV4.

Inhabilitar los tokens de acceso

La función de tokens de acceso está desactivada de forma predeterminada. Para deshabilitarla después de habilitarla:

La desactivación bloquea inmediatamente todos los accesos basados en tokens. Los tokens existentes no se eliminan, pero no se pueden usar hasta que se vuelva a habilitar la función.

Para evitar que los usuarios de su organización habiliten los tokens de acceso, cree una política de control de servicios (SCP) que niegue las acciones de la API del token de acceso y la UpdateAgentSpace acción (que controla los tokens de acceso) alterne:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Resolución de problemas