Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione dei server MCP

I server Model Context Protocol (MCP) estendono le capacità di indagine AWS DevOps dell'agente fornendo l'accesso ai dati provenienti dagli strumenti di osservabilità esterni, dai sistemi di monitoraggio personalizzati e dalle fonti di dati operative. Questa guida spiega come connettere un server MCP all'agente. AWS DevOps

Requisiti

Prima di connettere un server MCP, assicurati che il server soddisfi questi requisiti:

Considerazioni relative alla sicurezza

Quando connetti i server MCP all'agente, considera questi aspetti di sicurezza: AWS DevOps

Si noti che la lunghezza massima del nome dello strumento di qualsiasi strumento MCP è di 64 caratteri. Per il numero massimo di strumenti MCP consentiti per spazio agente, vedere. Quote

AWS DevOps Sicurezza degli agentiPer ulteriori informazioni sull'iniezione immediata e sul modello di responsabilità condivisa, vedere.

Server MCP comunitari

Il repository AWS DevOps Agent Tools include server MCP distribuibili che forniscono all'agente strumenti personalizzati per una diagnostica approfondita dell'infrastruttura, come la raccolta di log dei nodi di Amazon Elastic Kubernetes Service (Amazon EKS), il sondaggio della risoluzione DNS di Amazon Virtual Private Cloud (Amazon VPC) e i controlli sullo stato del database Amazon Relational Database Service (Amazon RDS). Il repository è gestito dal team di assistenza degli AWS DevOps agenti e tutti i contributi vengono esaminati dalla stessa barra di revisione della sicurezza prima di essere aggiunti. Per vedere cosa è disponibile, consultate il catalogo dei server MCP sul GitHub sito Web.

Per utilizzare un server MCP di comunità:

Registrazione di un server MCP (a livello di account)

I server MCP sono registrati a livello di AWS account e condivisi tra tutti gli Agent Spaces di quell'account. I singoli Agent Spaces possono quindi scegliere gli strumenti specifici di cui hanno bisogno da ciascun server MCP.

Fase 1: dettagli del server MCP

Fase 2: Flusso di autorizzazione

Seleziona il metodo di autenticazione per il tuo server MCP:

Credenziali client OAuth: se il server MCP utilizza il flusso di credenziali client OAuth:

OAuth 3LO (OAuth): se il Three-Legged server MCP utilizza OAuth 3LO per l'autenticazione:

Chiave API: se il server MCP utilizza l'autenticazione con chiave API:

AWS SIGv4 — Se il server MCP utilizza l'autenticazione AWS Signature Version 4:

Fase 3: Configurazione dell'autorizzazione

Configura parametri di autorizzazione aggiuntivi in base al metodo di autenticazione selezionato:

Per le credenziali del client OAuth:

Per OAuth 3LO:

Per la chiave API:

Per AWS SIGv4:

AWS L'autenticazione Sigv4 consente all' AWS DevOps agente di connettersi ai server MCP che utilizzano la versione 4 di Signature per AWS la firma delle richieste. Ciò è utile per i server MCP ospitati dietro Amazon API Gateway o altri AWS servizi che supportano l'autenticazione SigV4.

Fase 4: Rivedi e invia

Configurazione degli strumenti MCP in un Agent Space

Dopo aver registrato un server MCP a livello di account, è possibile configurare quali strumenti di quel server sono disponibili per specifici Agent Spaces:

AWS DevOps L'agente sarà ora in grado di utilizzare gli strumenti consentiti del server MCP durante le indagini in questo Agent Space.

Gestione delle connessioni al server MCP

Aggiornamento delle credenziali di autenticazione: è possibile aggiornare le credenziali di autenticazione di un server MCP registrato senza annullare la registrazione. Accedere alla pagina Capability Providers nella console dell' AWS DevOps agente, selezionare il server MCP e scegliere Aggiorna dal menu Azioni. Le tue associazioni con Agent Space vengono mantenute. Ciò che è possibile aggiornare dipende dal metodo di autenticazione:

I server MCP che utilizzano le credenziali client OAuth non possono essere aggiornati sul posto. Per modificare tali credenziali, rimuovi tutte le associazioni attive, annulla la registrazione del server MCP e registralo nuovamente con i nuovi valori.

Visualizzazione dei server MCP connessi: per vedere tutti i server MCP connessi al tuo Agent Space, seleziona il tuo Agent Space, vai alla scheda Funzionalità e controlla la sezione Server MCP. Puoi anche aggiornare gli strumenti selezionati qui.

Rimozione delle connessioni al server MCP: per disconnettere un server MCP da un Agent Space, seleziona il server nella sezione Server MCP e scegli Rimuovi. Per eliminare completamente la registrazione di un server MCP, rimuovila prima da tutti gli Agent Spaces, quindi elimina la registrazione a livello di account.

Creazione di un ruolo IAM per l'autenticazione SIGv4

Quando si utilizza l'autenticazione AWS Sigv4, l' AWS DevOps agente assume un ruolo IAM nel tuo account per firmare le richieste al tuo server MCP. Questo ruolo deve avere una politica di fiducia che consenta al responsabile del servizio AWS DevOps Agent (aidevops.amazonaws.com) di assumerlo, con una protezione sostitutiva confusa.

Policy di attendibilità

Crea un ruolo IAM con la seguente politica di fiducia. Sostituiscilo REGION con la tua AWS regione (ad esempious-east-1) e ACCOUNT_ID con l'ID AWS del tuo account.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

La politica di fiducia include le seguenti condizioni per prevenire il problema della confusione dei sostituti:

Policy delle autorizzazioni

Allega una politica di autorizzazione al ruolo che concede le autorizzazioni minime richieste per richiamare il tuo server MCP. Ad esempio, se il server MCP è ospitato su Amazon API Gateway, il ruolo deve disporre dell'execute-api:Invokeautorizzazione sulla risorsa API Gateway.

Multi-region firma (SigV4a)

Se il server MCP è distribuito in più AWS regioni, è possibile utilizzare Sigv4a (Signature Version 4a) per la firma in più regioni. Per abilitarlo, inserisci * come Regione quando configuri l' AWS autorizzazione SIGv4. Sigv4a utilizza la firma asimmetrica, che consente a una singola richiesta firmata di essere valida in più regioni.

Cross-account accesso senza un ruolo dedicato

Invece di registrare un ruolo IAM dedicato per il server MCP, puoi utilizzare la registrazione senza ruolo: registra il server senza un ruolo e fai in modo che l' AWS DevOps agente firmi le richieste utilizzando un ruolo IAM da un AWS account già associato al tuo Agent Space. Ciò è utile quando il server MCP deve accedere a risorse che comprendono AWS gli account primario e secondario connessi a un Agent Space, anziché a un singolo ruolo con ambito di un account.

Come funziona

Cross-account l'accesso senza un ruolo dedicato funziona come segue:

Requisiti

Prima di associare un server MCP SIGv4 senza ruoli a un Agent Space:

Risoluzione dei problemi

L'associazione di un server MCP senza ruoli non riesce: «richiede un'associazione di account principale»

Se hai registrato un server MCP senza un ruolo dedicato e l'associazione fallisce, controlla il messaggio di errore. Se l'errore indica che il server richiede un'associazione di account primario in Agent Space, all'Agent Space non è collegato un AWS account primario.

AWS DevOps L'agente convalida un server MCP SIGv4 senza ruoli quando lo si associa, utilizzando il ruolo IAM dell'account primario AWS di Agent Space. Per risolvere questo problema:

Argomenti correlati