Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Servidor MCP

Descripción general de

AWS El servidor MCP admite la autorización de OAuth mediante. AWS Sign-In Con la autorización de OAuth, los agentes pueden acceder AWS con las mismas identidades, permisos y modelo de gobierno que ya utilizas con y. Consola de administración de AWS AWS CLI Cuando autorizas a un agente, este puede acceder al servidor AWS MCP en tu nombre. La autorización no otorga al agente AWS permisos adicionales.

Utilice esta guía para configurar el acceso de OAuth al servidor AWS MCP. Abarca los modelos de autorización compatibles, los permisos de IAM necesarios y cómo controlar y supervisar el acceso de OAuth.

Para obtener más información sobre la compatibilidad con OAuth, consulte. AWS Sign-In Sign-In con OAuth 2.0

Requisitos previos

Antes de conectar un agente al servidor AWS MCP, asegúrese de que:

Concede los permisos necesarios adjuntando la política gestionada AWS :

aws iam attach-role-policy \
  --role-name MyRole \
  --policy-arn arn:aws:iam::aws:policy/AWSMCPSignInOAuthAccessPolicy

Esta política gestionada otorga:

Si se autentica como usuario Cuenta de AWS raíz, no se requieren permisos de IAM adicionales.

URIs de redireccionamiento compatibles para DCR

Los agentes pueden registrarse AWS Sign-In y utilizar uno o más URI de redireccionamiento aprobados durante el proceso de autorización de OAuth.

Conectar un agente a AWS Servidor MCP

Los pasos para configurar un OAuth-compatible agente varían en función de la aplicación. Para obtener instrucciones sobre los agentes compatibles, consulte la Guía del servidor AWS MCP.

El flujo de trabajo general es:

Modelos de autorización

AWS El servidor MCP admite los modelos de autorización proporcionados por AWS Sign-In.

Autorización interactiva

La autorización interactiva está destinada a los desarrolladores que utilizan agentes en estaciones de trabajo locales.

Cuando un agente requiere autorización:

Permisos de IAM necesarios:

Non-interactive autorización

Non-interactive la autorización utiliza la concesión de credenciales de cliente de OAuth 2.0. Está destinada a agentes y aplicaciones que ya poseen AWS credenciales y no pueden realizar una autenticación basada en un navegador.

Las aplicaciones se autentican con las credenciales de la versión 4 (SigV4) existentes AWS y obtienen los tokens de acceso de OAuth a través de la API. CreateOAuth2TokenWithIAM

A diferencia del flujo interactivo, solo se emiten tokens de acceso. Las aplicaciones solicitan un nuevo token de acceso cuando el token actual caduca.

Permiso de IAM obligatorio:

El siguiente ejemplo muestra cómo obtener un token de acceso mediante: AWS CLI

aws signin create-oauth2-token-with-iam \
    --grant-type client_credentials \
    --resource aws-mcp.amazonaws.com \
    --region us-east-1

Tipos de recursos de OAuth

AWS Sign-In representa los objetivos de autorización de OAuth y los clientes públicos de OAuth como recursos de IAM. En las políticas de IAM, se hace referencia a estos recursos para conceder o controlar la autorización de OAuth.

Actualmente se admiten los siguientes tipos de recursos.

ciclo de vida del token

AWS Sign-In gestiona el ciclo de vida de los tokens de OAuth emitidos para el servidor AWS MCP.

Administrar los tokens de OAuth

AWS Sign-In proporciona API para validar y gestionar las autorizaciones de OAuth.

Supervisión de la actividad de OAuth

OAuth-related las actividades se registran en. AWS CloudTrail

CloudTrail registra eventos que incluyen:

CloudTrail también registra el cliente de OAuth, el URI de redireccionamiento, el flujo de autorización, el recurso del servidor AWS MCP y la AWS Sign-In sesión asociada, lo que permite a los administradores correlacionar la actividad de la AWS API con la autorización de OAuth originaria.

Hay ejemplos de eventos disponibles para: CloudTrail

Ejemplo: AuthorizeOAuth2Access evento:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAEXAMPLE:testuser",
        "arn": "arn:aws:sts::111111111111:assumed-role/Admin/testuser",
        "accountId": "111111111111",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAEXAMPLE",
                "arn": "arn:aws:iam::111111111111:role/Admin",
                "accountId": "111111111111",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2026-06-09T05:06:39Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2026-06-09T05:09:00Z",
    "eventSource": "signin.amazonaws.com",
    "eventName": "AuthorizeOAuth2Access",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.1",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) ...",
    "requestParameters": {
        "resource": "https://aws-mcp.us-west-2.api.aws/mcp",
        "redirect_uri": "http://127.0.0.1:60432/oauth/callback",
        "code_challenge_method": "S256",
        "client_id": "arn:aws:signin:us-west-2::external-client/dcr/b3f2c8a1-9d4e-4f7a-8c6b-2e1f5a3d9b7c"
    },
    "responseElements": null,
    "additionalEventData": {
        "success": "true"
    },
    "requestID": "4fb4ff7b-6yu7-9090-78i9-9c0088a65134",
    "eventID": "bb05b222-31ec-4237-b8e7-8eb26d4fd48b",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111111111111",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "us-west-2.oauth.signin.aws"
    }
}

Ejemplo: CreateOAuth2Token evento:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAEXAMPLE:testuser",
        "arn": "arn:aws:sts::111111111111:assumed-role/Admin/testuser",
        "accountId": "111111111111",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAEXAMPLE",
                "arn": "arn:aws:iam::111111111111:role/Admin",
                "accountId": "111111111111",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2026-06-09T05:06:39Z",
                "mfaAuthenticated": "false"
            },
            "signInSessionArn": "arn:aws:signin:us-west-2:111111111111:session/daff060f-7871-4ab6-92cd-a07bbdabe61a"
        }
    },
    "eventTime": "2026-06-09T05:10:04Z",
    "eventSource": "signin.amazonaws.com",
    "eventName": "CreateOAuth2Token",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.1",
    "userAgent": "curl/8.7.1",
    "requestParameters": {
        "resource": "https://aws-mcp.us-west-2.api.aws/mcp",
        "client_id": "arn:aws:signin:us-west-2::external-client/dcr/b3f2c8a1-9d4e-4f7a-8c6b-2e1f5a3d9b7c"
    },
    "responseElements": null,
    "additionalEventData": {
        "signInSessionArn": "arn:aws:signin:us-west-2:111111111111:session/daff060f-7871-4ab6-92cd-a07bbdabe61a",
        "grant_type": "refresh_token",
        "success": "true"
    },
    "requestID": "44d6d7ce-e4r5-4cbf-0909-bfb8a8295a76",
    "eventID": "f79cc63f-b383-4e3c-a1e5-97c7db1ab833",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111111111111",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "us-west-2.oauth.signin.aws"
    }
}

En la guía de registro del servidor AWS MCP encontrará información adicional sobre los eventos de auditoría y los detalles de registro de las llamadas realizadas mediante tokens de acceso OAuth al servidor AWS MCP. CloudTrail

Resolución de problemas

Permiso denegado al conectarse a AWS Servidor MCP

Compruebe que su identidad de IAM tiene los signin:CreateOAuth2Token permisos signin:AuthorizeOAuth2Access y los permisos para el recurso de concesión de autorización del servidor AWS MCP.

El token de acceso ha caducado

La autorización interactiva actualiza automáticamente los tokens de acceso mientras el token de actualización asociado sigue siendo válido. Si el token de actualización ha caducado o se ha revocado, vuelva a autenticarse a través de su agente.

Para una autorización no interactiva, puedes solicitar un nuevo token de acceso desde el punto de enlace del token.

Recurso de destino no válido

Al llamarCreateOAuth2TokenWithIAM, compruebe que el resource parámetro identifica un servicio de destino compatible. Para el servidor AWS MCP, utilice el principal de servicio del servidor AWS MCP.

El agente no puede registrarse como cliente de OAuth

Solo los agentes aprobados pueden registrarse mediante el registro dinámico de clientes (DCR). Si está creando un MCP-compatible agente, póngase en contacto con el servicio de AWS asistencia.

La política de condiciones clave de OAuth no está surtiendo efecto

Compruebe que la clave de condición se aplica a la acción de IAM que se está evaluando. Algunas claves de condición solo son compatibles con acciones específicas de OAuth. Para obtener más información, consulte Sign-In con OAuth 2.0.

Se ha revocado la sesión, pero el agente sigue teniendo acceso

La revocación de un token de actualización impide inmediatamente que se emitan nuevos tokens de acceso. Los tokens de acceso existentes siguen siendo válidos hasta que caduquen (hasta una hora).

Para una contención inmediata, aplique una política de IAM utilizando la clave de condición aws:SignInSessionArn global para denegar las solicitudes asociadas a la sesión de inicio de sesión afectada.

Temas relacionados