Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione ai server remoti DevOps dell'agente

AWS DevOps L'agente fornisce server remoti dedicati per il protocollo Model Context Protocol (MCP) e Agent-to-Agent (A2A). Usa questi server per connettere le tue integrazioni IDE, CLI o agenti personalizzati a un Agent Space.

Protocolli supportati

Endpoints

I server remoti sono disponibili a un URL regionale:

https://connect.aidevops.{region}.api.aws

Per l'elenco delle regioni disponibili, consulta. Regioni supportate

Autenticazione

Sono disponibili due metodi di autenticazione per gli endpoint MCP e A2A:

Crea un token di accesso

Prerequisiti

Abilita i token di accesso

Crea un token

Dopo aver creato un token, l'app Web mostra un esempio di configurazione che puoi copiare direttamente nel tuo client.

Connettiti con Kiro

Per gli utenti di Kiro, un AWS DevOps Agent Power dedicato è disponibile nell'IDE o nel marketplace di Kiro Powers.

Fase 1: Installare l'alimentazione

Installa la potenza di aws-devops-agent dal marketplace di Powers.

Fase 2: Impostazione delle variabili di ambiente

Imposta le seguenti variabili di ambiente per configurare la connessione:

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Fase 3: Approva le variabili in Kiro

Vai su Impostazioni > MCP Approved Env Vars e approva e. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION Kiro non passa le variabili di ambiente ai server MCP finché non vengono approvate.

Fase 4: Riavviare Kiro

Riavvia Kiro per applicare le modifiche.

La potenza di Kiro include aws-mcp come riserva l'accesso diretto alle AWS API quando l'endpoint del server remoto non è disponibile.

Connettiti con Claude Code

Per gli utenti di Claude Code, AWS DevOps Agent è disponibile tramite il plugin Claude aws-agents-for-devsecops, che integra le funzionalità di Agent e Security Agent in Claude. AWS DevOps AWS Installalo dai plugin Claude o dal repository dei sorgenti.

Connettiti con altri client MCP

Per qualsiasi MCP-compatible client, configura il server con:

Questa configurazione funziona anche con Kiro e Claude Code se preferisci configurare la connessione manualmente invece di utilizzare l'alimentazione o il plug-in dedicati.

Esempio di configurazione MCP:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

Sostituisci {region} con la regione del tuo Agent Space (ad esempious-east-1) e <your-access-token> con il valore del token.

Usa l'autenticazione SIGv4

L'autenticazione SIGv4 utilizza AWS le tue credenziali anziché un token di accesso. I plugin Kiro power e Claude Code includono il supporto Sigv4 integratomcp-proxy-for-aws, che firma le richieste utilizzando le credenziali locali. AWS

Quando si usa Sigv4

Prerequisiti

Configurazione di esempio

Per configurare un client MCP per utilizzare SIGv4 anziché un token di accesso, esegui il server tramite. mcp-proxy-for-aws Sostituisci {region} con la regione del tuo Agent Space (ad esempio,): us-east-1

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

Il proxy firma ogni richiesta con le tue AWS credenziali locali, quindi non è richiesto alcun token di accesso.

Multi-Agent-Space routing

In modalità Sigv4, agent_space_id trasmetti ogni chiamata allo strumento per specificare quale Agent Space utilizzare. Ciò rende possibile il routing su più Agent Spaces da un singolo client.

Integrazione A2A

L'endpoint A2A implementa la specifica A2A v1.0 utilizzando l'associazione HTTP+JSON.

Intestazioni della richiesta

Passa le seguenti intestazioni alle richieste A2A.

Rilevamento della carta dell'agente

Recupera la carta dell'agente all'indirizzo:

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Operazioni supportate

Competenze

Considerazioni relative alla sicurezza

Scoping dei token

Elenco degli indirizzi IP consentiti

Quando si crea un token di accesso, è possibile specificare facoltativamente un elenco di indirizzi IP consentiti. Se configurato, il token può essere utilizzato solo dagli indirizzi IP o dagli intervalli CIDR specificati. Le richieste provenienti da altri IP vengono rifiutate con un errore di accesso negato.

Rotazione e revoca dei token

Rispondere a un token compromesso

Se sospetti che un token sia stato compromesso, segui questi passaggi:

Revoca dei token a livello di codice

Puoi anche revocare i token a livello di codice utilizzando. awscurl I seguenti comandi utilizzano l'autenticazione SIGv4. Sostituisci la regione (us-east-1) con la regione in cui viene creato il tuo spazio agente.

Fase 1: Elenca i tuoi Agent Spaces

aws aidevops list-agent-spaces --region us-east-1

Fase 2: Elenca i token di accesso per un Agent Space

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Passaggio 3: revoca di un token

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

Sostituisci {agentSpaceId} e {accessTokenId} con i valori delle risposte precedenti.

Tracciabilità

AWS DevOps L'agente registra l'attività del server remoto in. AWS CloudTrail Utilizza questi record per tracciare chi ha richiamato un server remoto e cosa ha fatto di conseguenza l'agente. AWS DevOps L'agente invia CloudTrail gli eventi all' AWS account che ospita l'Agent Space.

Eventi di autenticazione tramite token di accesso

Ogni volta che l' AWS DevOps agente autentica un token di accesso per un endpoint MCP o A2A, emette un evento a. AuthenticateAccessToken CloudTrail AWS DevOps L'agente registra sia le autenticazioni riuscite che quelle non riuscite. Utilizza questi record per verificare l'uso legittimo e rilevare i tentativi rifiutati. Gli esempi includono token scaduti o revocati e richieste bloccate da un elenco di indirizzi IP consentiti.

L'evento ha le seguenti caratteristiche:

L'evento include i seguenti campi chiave:

Eventi di azione a valle

Quando si utilizza un token di accesso, l' AWS DevOps agente assume un ruolo per conto dell'utente per eseguire le azioni. AWS DevOps L'agente registra questa AssumeRole chiamata CloudTrail con tag di sessione che identificano il token e il chiamante:

A ogni azione eseguita dall'agente per conto dell'utente corrisponde una chiamata AWS API downstream che viene registrata CloudTrail . Il nome della sessione di ruolo utilizza il formatotoken_{spaceId}_{timestamp}_{tokenName}. Questo nome di sessione corrisponde roleSessionName a in the AuthenticateAccessToken event. Utilizzalo per tracciare da un'autenticazione alle azioni specifiche che l'hanno seguita.

Invocazioni SIGv4

Le chiamate che utilizzano l'autenticazione AWS SigV4 anziché un token di accesso non producono eventi. AuthenticateAccessToken AWS DevOps L'agente attribuisce le richieste Sigv4 all'identità IAM ( AWS Identity and Access Management) dell'utente. È possibile tracciare le azioni eseguite dall'agente tramite le chiamate AWS API downstream che attivano.

Limitazione della politica degli endpoint VPC

Gli endpoint del server remoto non supportano le policy degli endpoint VPC. Le chiamate che utilizzano token di accesso o autenticazione SIGv4 non possono essere limitate dalle politiche degli endpoint VPC.

Disattivazione dei token di accesso

La funzionalità dei token di accesso è disattivata per impostazione predefinita. Per disattivarla dopo l'attivazione:

La disabilitazione blocca immediatamente tutti gli accessi basati su token. I token esistenti non vengono eliminati ma non possono essere utilizzati finché la funzionalità non viene riattivata.

Per impedire agli utenti della tua organizzazione di abilitare i token di accesso, crea una Service Control Policy (SCP) che neghi le azioni dell'API del token di accesso e l'UpdateAgentSpaceazione (che controlla l'attivazione dei token di accesso):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Risoluzione dei problemi