Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conexión de servidores MCP

Los servidores del Model Context Protocol (MCP) amplían las capacidades de investigación del AWS DevOps agente al proporcionar acceso a los datos de sus herramientas de observabilidad externas, sistemas de monitoreo personalizados y fuentes de datos operativos. En esta guía se explica cómo conectar un servidor MCP al agente. AWS DevOps

Requisitos

Antes de conectar un servidor MCP, asegúrese de que el servidor cumple estos requisitos:

Consideraciones de seguridad

Al conectar los servidores MCP al AWS DevOps agente, tenga en cuenta los siguientes aspectos de seguridad:

Tenga en cuenta que la longitud máxima del nombre de cualquier herramienta de MCP es de 64 caracteres. Para conocer el número máximo de herramientas de MCP permitido por espacio de agente, consulte. Cuotas

Consulte AWS DevOps Seguridad del agente para obtener más información sobre la inyección inmediata y el modelo de responsabilidad compartida.

Servidores MCP comunitarios

El repositorio de AWS DevOps Agent Tools incluye servidores MCP desplegables que proporcionan al agente herramientas personalizadas para realizar diagnósticos profundos de la infraestructura, como la recopilación de registros de nodos de Amazon Elastic Kubernetes Service (Amazon EKS), el sondeo de la resolución de DNS de Amazon Virtual Private Cloud (Amazon VPC) y las comprobaciones del estado de las bases de datos de Amazon Relational Database Service (Amazon RDS). El equipo de servicio del AWS DevOps agente se encarga del mantenimiento del repositorio y todas las contribuciones pasan por la misma barra de revisión de seguridad antes de añadirse. Para ver lo que está disponible, consulte el catálogo de servidores MCP en el sitio GitHub web.

Para usar un servidor MCP comunitario:

Registrar un servidor MCP (a nivel de cuenta)

Los servidores MCP se registran a nivel de AWS cuenta y se comparten entre todos los espacios de agente de esa cuenta. Los Agent Spaces individuales pueden entonces elegir qué herramientas específicas necesitan de cada servidor MCP.

Paso 1: detalles del servidor MCP

Paso 2: Flujo de autorización

Seleccione el método de autenticación para su servidor MCP:

Credenciales de cliente de OAuth: si su servidor MCP usa el flujo de credenciales de cliente de OAuth:

OAuth 3LO (OAuth): si su servidor MCP usa Three-Legged OAuth 3LO para la autenticación:

Clave de API: si su servidor MCP usa la autenticación de clave de API:

AWS SigV4: si su servidor MCP utiliza la autenticación AWS Signature Version 4:

Paso 3: Configuración de la autorización

Configure los parámetros de autorización adicionales en función del método de autenticación seleccionado:

Para las credenciales del cliente de OAuth:

Para OAuth 3LO:

Para la clave de API:

Para AWS SIGv4:

AWS La autenticación Sigv4 permite al AWS DevOps agente conectarse a los servidores MCP que utilizan la versión 4 de AWS Signature para firmar las solicitudes. Esto resulta útil para los servidores MCP alojados en Amazon API Gateway u otros AWS servicios que admiten la autenticación SIGv4.

Paso 4: Revisa y envía

Configuración de las herramientas de MCP en un espacio de agentes

Tras registrar un servidor MCP a nivel de cuenta, puede configurar qué herramientas de ese servidor están disponibles para espacios de agente específicos:

AWS DevOps El agente ahora podrá usar las herramientas permitidas de su servidor MCP durante las investigaciones en este espacio de agente.

Administrar las conexiones al servidor MCP

Actualización de las credenciales de autenticación: puede actualizar las credenciales de autenticación de un servidor MCP registrado sin anular su registro. Navegue hasta la página de proveedores de capacidades de la consola del AWS DevOps agente, seleccione su servidor MCP y elija Actualizar en el menú Acciones. Las asociaciones de Agent Space se conservan. Lo que puede actualizar depende del método de autenticación:

Los servidores MCP que utilizan credenciales de cliente de OAuth no se pueden actualizar in situ. Para cambiar esas credenciales, elimine cualquier asociación activa, anule el registro del servidor MCP y vuelva a registrarlo con los nuevos valores.

Visualización de los servidores MCP conectados: para ver todos los servidores MCP conectados a su espacio de agente, seleccione su espacio de agente, vaya a la pestaña Capacidades y consulte la sección de servidores MCP. También puede actualizar las herramientas seleccionadas aquí.

Eliminar las conexiones del servidor MCP: para desconectar un servidor MCP de un espacio de agente, seleccione el servidor en la sección Servidores MCP y elija Eliminar. Para eliminar por completo el registro de un servidor MCP, elimínelo primero de todos los espacios de agente y, a continuación, elimine el registro a nivel de cuenta.

Crear una función de IAM para la autenticación SigV4

Al usar la autenticación AWS Sigv4, el AWS DevOps agente asume una función de IAM en su cuenta para firmar las solicitudes en su servidor MCP. Este rol debe tener una política de confianza que permita al principal del servicio del AWS DevOps agente (aidevops.amazonaws.com) asumirlo, con una confusa protección secundaria.

Política de confianza

Cree un rol de IAM con la siguiente política de confianza. REGIONSustitúyalo por su AWS región (por ejemplous-east-1) y ACCOUNT_ID por el identificador de su AWS cuenta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

La política de confianza incluye las siguientes condiciones para evitar el confuso problema del diputado:

Política de permisos

Adjunte al rol una política de permisos que otorgue los permisos mínimos necesarios para invocar su servidor MCP. Por ejemplo, si su servidor MCP está alojado en Amazon API Gateway, el rol debe tener execute-api:Invoke permiso en el recurso API Gateway.

Multi-region firma (SigV4a)

Si su servidor MCP está desplegado en varias AWS regiones, puede usar SigV4a (versión de firma 4a) para firmar en varias regiones. Para habilitarlo, introduzca la región * como AWS región al configurar la autorización de Sigv4. SigV4a utiliza la firma asimétrica, lo que permite que una sola solicitud firmada sea válida en varias regiones.

Cross-account acceda sin un rol dedicado

En lugar de registrar un rol de IAM dedicado para su servidor MCP, puede utilizar el registro sin roles: registre el servidor sin un rol y pida al AWS DevOps agente que firme las solicitudes utilizando un rol de IAM desde una AWS cuenta ya asociada a su espacio de agente. Esto resulta útil cuando su servidor MCP necesita acceder a recursos que abarcan las AWS cuentas principales y secundarias conectadas a un espacio de agente, en lugar de tener que acceder a un único rol asignado a una sola cuenta.

Funcionamiento

Cross-account el acceso sin un rol dedicado funciona de la siguiente manera:

Requisitos

Antes de asociar un servidor MCP de SigV4 sin funciones a un espacio de agente:

Resolución de problemas

No se puede asociar un servidor MCP sin funciones: «se requiere una asociación de cuenta principal»

Si ha registrado un servidor MCP sin una función dedicada y la asociación falla, compruebe el mensaje de error. Si el error indica que el servidor requiere una asociación de cuentas principales en el espacio de agentes, el espacio de agentes no tiene una AWS cuenta principal conectada a él.

AWS DevOps El agente valida un servidor MCP de SigV4 sin funciones al asociarlo, utilizando la función de IAM de la cuenta principal AWS del espacio de agente. Para resolverlo:

Temas relacionados