Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menghubungkan Server MCP

Server Model Context Protocol (MCP) memperluas kemampuan investigasi AWS DevOps Agen dengan menyediakan akses ke data dari alat pengamatan eksternal Anda, sistem pemantauan khusus, dan sumber data operasional. Panduan ini menjelaskan cara menghubungkan server MCP ke AWS DevOps Agen.

Persyaratan

Sebelum menghubungkan server MCP, pastikan server Anda memenuhi persyaratan berikut:

Pertimbangan keamanan

Saat menghubungkan server MCP ke AWS DevOps Agen, pertimbangkan aspek keamanan berikut:

Harap dicatat bahwa panjang nama alat maksimum alat MCP apa pun adalah 64 karakter. Untuk jumlah maksimum alat MCP yang diizinkan per ruang agen, lihatKuota.

Lihat AWS DevOps Keamanan Agen untuk informasi lebih lanjut tentang injeksi cepat dan model tanggung jawab bersama.

Komunitas MCP server

Repositori Alat AWS DevOps Agen mencakup server MCP yang dapat digunakan yang memberikan alat kustom agen untuk diagnostik infrastruktur mendalam seperti pengumpulan log node Amazon Elastic Kubernetes Service (Amazon EKS), pemeriksaan resolusi DNS Amazon Virtual Private Cloud (Amazon VPC), dan pemeriksaan kesehatan database Amazon Relational Database Service (Amazon RDS). Repositori dikelola oleh tim layanan AWS DevOps Agen, dan semua kontribusi melewati bilah peninjauan keamanan yang sama sebelum ditambahkan. Untuk menelusuri apa yang tersedia, lihat katalog server MCP di GitHub situs web.

Untuk menggunakan server MCP komunitas:

Mendaftarkan server MCP (tingkat akun)

Server MCP terdaftar di tingkat AWS akun dan dibagi di antara semua Ruang Agen di akun tersebut. Individual Agent Spaces kemudian dapat memilih alat spesifik mana yang mereka butuhkan dari setiap server MCP.

Langkah 1: Detail server MCP

Langkah 2: Alur otorisasi

Pilih metode otentikasi untuk server MCP Anda:

KredenSIAL Klien OAuth - Jika server MCP Anda menggunakan aliran KredenSIAL Klien OAuth:

OAuth 3LO (Three-Legged OAuth) - Jika server MCP Anda menggunakan OAuth 3LO untuk otentikasi:

Kunci API - Jika server MCP Anda menggunakan otentikasi kunci API:

AWS SIGv4 - Jika server MCP Anda menggunakan otentikasi AWS Signature Versi 4:

Langkah 3: Konfigurasi otorisasi

Konfigurasikan parameter otorisasi tambahan berdasarkan metode otentikasi yang dipilih:

Untuk KredenSIAL Klien OAuth:

Untuk OAuth 3LO:

Untuk Kunci API:

Untuk AWS SIGv4:

AWS Otentikasi SIGv4 memungkinkan AWS DevOps Agen untuk terhubung ke server MCP yang menggunakan AWS Signature Version 4 untuk penandatanganan permintaan. Ini berguna untuk server MCP yang dihosting di belakang Amazon API Gateway atau AWS layanan lain yang mendukung otentikasi SIGv4.

Langkah 4: Tinjau dan kirimkan

Mengkonfigurasi alat MCP di Ruang Agen

Setelah mendaftarkan server MCP di tingkat akun, Anda dapat mengonfigurasi alat mana dari server tersebut yang tersedia untuk Ruang Agen tertentu:

AWS DevOps Agen sekarang akan dapat menggunakan alat yang terdaftar yang diizinkan dari server MCP Anda selama penyelidikan di Ruang Agen ini.

Mengelola koneksi server MCP

Memperbarui kreden tif otentikasi — Anda dapat memperbarui kredentif otentikasi server MCP terdaftar tanpa membatalkan pendaftaran. Arahkan ke halaman Penyedia Kemampuan di konsol AWS DevOps Agen, pilih server MCP Anda, dan pilih Per barui dari menu Tind akan. Asosiasi Agen Space Anda dipertahankan. Apa yang dapat Anda perbarui tergantung pada metode otentikasi:

Server MCP yang menggunakan Kredensi Klien OAuth tidak dapat diperbarui di tempat. Untuk mengubah kredenSIAL tersebut, hapus asosiasi aktif, deregistrasikan server MCP, dan daftarkan ulang dengan nilai-nilai baru.

Melihat server MCP yang terhubung — Untuk melihat semua server MCP yang terhubung ke Ruang Agen Anda, pilih Ruang Agen Anda, buka tab Kem ampuan, dan periksa bagian Server MCP. Anda juga dapat memperbarui alat yang dipilih di sini.

Menghapus koneksi server MCP — Untuk memutuskan koneksi server MCP dari Ruang Agen, pilih server di bagian Server MCP dan pilih Hapus. Untuk sepenuhnya menghapus pendaftaran server MCP, hapus dari semua Ruang Agen terlebih dahulu, lalu hapus pendaftaran tingkat akun.

Membuat peran IAM untuk otentikasi SIGv4

Saat menggunakan otentikasi AWS SIGv4, AWS DevOps Agen mengambil peran IAM di akun Anda untuk menandatangani permintaan ke server MCP Anda. Peran ini harus memiliki kebijakan kepercayaan yang memungkinkan prinsipal layanan AWS DevOps Agen (aidevops.amazonaws.com) untuk mengasumsinya, dengan perlindungan wakil yang membingungkan.

Kebijakan kepercayaan

Buat peran IAM dengan kebijakan kepercayaan berikut. Ganti REGION dengan AWS Wilayah Anda (misalnya,us-east-1) dan ACCOUNT_ID dengan ID AWS akun Anda.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

Kebijakan kepercayaan mencakup kondisi berikut untuk mencegah masalah wakil yang membingungkan:

Kebijakan izin

Lampirkan kebijakan izin ke peran yang memberikan izin minimum yang diperlukan untuk memanggil server MCP Anda. Misalnya, jika server MCP Anda dihosting di belakang Amazon API Gateway, peran tersebut harus memiliki execute-api:Invoke izin pada sumber daya API Gateway.

Multi-region penandatanganan (SigV4a)

Jika server MCP Anda digunakan di beberapa Wil AWS ayah, Anda dapat menggunakan SIGV4a (Signature Version 4a) untuk penandatanganan multi-wilayah. Untuk mengaktifkan ini, masukkan * sebagai Wil AWS ayah saat mengonfigurasi otorisasi SIGv4. SigV4a menggunakan penandatanganan asimetris, yang memungkinkan permintaan tunggal yang ditandatangani menjadi valid di beberapa Wilayah.

Cross-account akses tanpa peran khusus

Alih-alih mendaftarkan peran IAM khusus untuk server MCP Anda, Anda dapat menggunakan pendaftaran tanpa peran: mendaftarkan server tanpa peran dan meminta AWS DevOps Agen menandatangani permintaan menggunakan peran IAM dari AWS akun yang sudah terkait dengan Ruang Agen Anda. Ini berguna ketika server MCP Anda perlu mengakses sumber daya yang mencakup AWS akun primer dan sekunder yang terhubung ke Ruang Agen, bukan peran tunggal yang dicakup ke satu akun.

Cara kerjanya

Cross-account akses tanpa peran khusus berfungsi sebagai berikut:

Persyaratan

Sebelum Anda mengaitkan server MCP SigV4 tanpa peran dengan Ruang Agen:

Pemecahan masalah

Mengaitkan server MCP tanpa peran gagal: “memerlukan asosiasi akun utama”

Jika Anda mendaftarkan server MCP tanpa peran khusus dan asosiasi gagal, periksa pesan kesalahan. Jika kesalahan menyatakan bahwa server memerlukan asosiasi akun utama di Ruang Agen, Ruang Agen tidak memiliki AWS akun utama yang terhubung dengannya.

AWS DevOps Agen memvalidasi server MCP SIGv4 tanpa peran saat Anda mengaitkannya, menggunakan peran IAM dari akun utama AWS Ruang Agen. Untuk mengatasi hal ini:

Topik terkait