Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS Server MCP

Panoramica di

AWS MCP Server supporta l'autorizzazione OAuth tramite. AWS Sign-In Con l'autorizzazione OAuth, gli agenti possono accedere AWS utilizzando le stesse identità, autorizzazioni e modello di governance già utilizzati con and. AWS Management Console AWS CLI Quando autorizzi un agente, questo può accedere al server AWS MCP per tuo conto. L'autorizzazione non concede all'agente autorizzazioni aggiuntive AWS .

Utilizzate questa guida per configurare l'accesso OAuth al AWS server MCP. Descrive i modelli di autorizzazione supportati, le autorizzazioni IAM richieste e come gestire e monitorare l'accesso OAuth.

Per ulteriori informazioni sul supporto OAuth in, vedere. AWS Sign-In Sign-In con OAuth 2.0

Prerequisiti

Prima di connettere un agente a AWS MCP Server, assicuratevi che:

Concedi le autorizzazioni richieste allegando la policy gestita:AWS

aws iam attach-role-policy \
  --role-name MyRole \
  --policy-arn arn:aws:iam::aws:policy/AWSMCPSignInOAuthAccessPolicy

Questa politica gestita garantisce:

Se ti autentichi come utente Account AWS root, non sono necessarie autorizzazioni IAM aggiuntive.

URI di reindirizzamento supportati per DCR

Gli agenti possono registrarsi AWS Sign-In e utilizzare uno o più URI di reindirizzamento approvati durante il processo di autorizzazione OAuth.

Connect un agente a AWS Server MCP

I passaggi per configurare un OAuth-compatible agente variano a seconda dell'applicazione. Per istruzioni sugli agenti supportati, consultate la AWS MCP Server Guide.

Il flusso di lavoro generale è:

Modelli di autorizzazione

AWS MCP Server supporta i modelli di autorizzazione forniti da AWS Sign-In.

Autorizzazione interattiva

L'autorizzazione interattiva è destinata agli sviluppatori che utilizzano agenti su workstation locali.

Quando un agente richiede l'autorizzazione:

Autorizzazioni IAM richieste:

Non-interactive autorizzazione

Non-interactive l'autorizzazione utilizza la concessione delle credenziali del client OAuth 2.0. È destinata agli agenti e alle applicazioni che già possiedono AWS credenziali e non possono eseguire l'autenticazione basata su browser.

Le applicazioni si autenticano utilizzando le credenziali AWS Signature Version 4 (SigV4) esistenti e ottengono i token di accesso OAuth tramite l'API. CreateOAuth2TokenWithIAM

A differenza del flusso interattivo, vengono emessi solo token di accesso. Le applicazioni richiedono un nuovo token di accesso alla scadenza del token corrente.

Autorizzazione IAM richiesta:

L'esempio seguente mostra come ottenere un token di accesso utilizzando AWS CLI:

aws signin create-oauth2-token-with-iam \
    --grant-type client_credentials \
    --resource aws-mcp.amazonaws.com \
    --region us-east-1

tipi di risorse OAuth

AWS Sign-In rappresenta gli obiettivi di autorizzazione OAuth e i client OAuth pubblici come risorse IAM. Fai riferimento a queste risorse nelle politiche IAM per concedere o controllare l'autorizzazione OAuth.

Attualmente sono supportati i seguenti tipi di risorse.

Ciclo di vita dei token

AWS Sign-In gestisce il ciclo di vita dei token OAuth emessi per MCP Server. AWS

Gestione dei token OAuth

AWS Sign-In fornisce API per la convalida e la gestione delle autorizzazioni OAuth.

Monitoraggio dell'attività OAuth

OAuth-related le attività vengono registrate in. AWS CloudTrail

CloudTrail registra eventi tra cui:

CloudTrail registra inoltre il client OAuth, l'URI di reindirizzamento, il flusso di autorizzazione, la risorsa del server AWS MCP e la AWS Sign-In sessione associata, consentendo agli amministratori di correlare l'attività dell' AWS API con l'autorizzazione OAuth di origine.

Sono disponibili eventi di esempio per: CloudTrail

Esempio: AuthorizeOAuth2Access evento:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAEXAMPLE:testuser",
        "arn": "arn:aws:sts::111111111111:assumed-role/Admin/testuser",
        "accountId": "111111111111",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAEXAMPLE",
                "arn": "arn:aws:iam::111111111111:role/Admin",
                "accountId": "111111111111",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2026-06-09T05:06:39Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2026-06-09T05:09:00Z",
    "eventSource": "signin.amazonaws.com",
    "eventName": "AuthorizeOAuth2Access",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.1",
    "userAgent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) ...",
    "requestParameters": {
        "resource": "https://aws-mcp.us-west-2.api.aws/mcp",
        "redirect_uri": "http://127.0.0.1:60432/oauth/callback",
        "code_challenge_method": "S256",
        "client_id": "arn:aws:signin:us-west-2::external-client/dcr/b3f2c8a1-9d4e-4f7a-8c6b-2e1f5a3d9b7c"
    },
    "responseElements": null,
    "additionalEventData": {
        "success": "true"
    },
    "requestID": "4fb4ff7b-6yu7-9090-78i9-9c0088a65134",
    "eventID": "bb05b222-31ec-4237-b8e7-8eb26d4fd48b",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111111111111",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "us-west-2.oauth.signin.aws"
    }
}

Esempio: CreateOAuth2Token evento:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAEXAMPLE:testuser",
        "arn": "arn:aws:sts::111111111111:assumed-role/Admin/testuser",
        "accountId": "111111111111",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAEXAMPLE",
                "arn": "arn:aws:iam::111111111111:role/Admin",
                "accountId": "111111111111",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2026-06-09T05:06:39Z",
                "mfaAuthenticated": "false"
            },
            "signInSessionArn": "arn:aws:signin:us-west-2:111111111111:session/daff060f-7871-4ab6-92cd-a07bbdabe61a"
        }
    },
    "eventTime": "2026-06-09T05:10:04Z",
    "eventSource": "signin.amazonaws.com",
    "eventName": "CreateOAuth2Token",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.1",
    "userAgent": "curl/8.7.1",
    "requestParameters": {
        "resource": "https://aws-mcp.us-west-2.api.aws/mcp",
        "client_id": "arn:aws:signin:us-west-2::external-client/dcr/b3f2c8a1-9d4e-4f7a-8c6b-2e1f5a3d9b7c"
    },
    "responseElements": null,
    "additionalEventData": {
        "signInSessionArn": "arn:aws:signin:us-west-2:111111111111:session/daff060f-7871-4ab6-92cd-a07bbdabe61a",
        "grant_type": "refresh_token",
        "success": "true"
    },
    "requestID": "44d6d7ce-e4r5-4cbf-0909-bfb8a8295a76",
    "eventID": "f79cc63f-b383-4e3c-a1e5-97c7db1ab833",
    "readOnly": true,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111111111111",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_128_GCM_SHA256",
        "clientProvidedHostHeader": "us-west-2.oauth.signin.aws"
    }
}

Ulteriori eventi di controllo e dettagli di registrazione per le chiamate effettuate utilizzando i token di accesso OAuth al server AWS MCP sono disponibili nella guida alla registrazione del AWS server MCP. CloudTrail

Risoluzione dei problemi

Autorizzazione negata durante la connessione a AWS Server MCP

Verifica che la tua identità IAM disponga delle autorizzazioni signin:AuthorizeOAuth2Access e delle signin:CreateOAuth2Token autorizzazioni per la risorsa di concessione dell'autorizzazione del server AWS MCP.

Token di accesso scaduto

L'autorizzazione interattiva aggiorna automaticamente i token di accesso mentre il token di aggiornamento associato rimane valido. Se il token di aggiornamento è scaduto o è stato revocato, esegui nuovamente l'autenticazione tramite il tuo agente.

Per l'autorizzazione non interattiva, puoi richiedere un nuovo token di accesso dall'endpoint del token.

Risorsa di destinazione non valida

Durante la chiamataCreateOAuth2TokenWithIAM, verificate che il resource parametro identifichi un servizio di destinazione supportato. Per AWS MCP Server, utilizzate il servizio principale AWS MCP Server.

L'agente non può registrarsi come client OAuth

Solo gli agenti approvati possono registrarsi tramite Dynamic Client Registration (DCR). Se stai sviluppando un MCP-compatible agente, contatta l' AWS assistenza.

La politica relativa alla chiave condizionale OAuth non ha effetto

Verifica che la chiave condizionale si applichi all'azione IAM oggetto di valutazione. Alcune chiavi di condizione sono supportate solo da azioni OAuth specifiche. Per ulteriori informazioni, consulta Sign-In con OAuth 2.0.

Sessione revocata ma l'agente ha ancora accesso

La revoca di un token di aggiornamento impedisce immediatamente l'emissione di nuovi token di accesso. I token di accesso esistenti rimangono validi fino alla loro scadenza (fino a un'ora).

Per un contenimento immediato, applica una policy IAM utilizzando la chiave aws:SignInSessionArn global condition per negare le richieste associate alla sessione di accesso interessata.

Argomenti correlati