翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

DevOps Agent リモートサーバーに接続する

AWS DevOps エージェントは、モデルコンテキストプロトコル (MCP) およびAgent-to-Agent (A2A) プロトコル専用のリモートサーバーを提供します。これらのサーバーを使用して、IDE、CLI、またはカスタムエージェント統合をエージェントスペースに接続します。

サポートされるプロトコル

エンドポイント

リモートサーバーは、リージョン URL で利用できます。

https://connect.aidevops.{region}.api.aws

使用可能なリージョンのリストについては、「」を参照してくださいサポートされるリージョン。

認証

MCP エンドポイントと A2A エンドポイントの両方で 2 つの認証方法を使用できます。

アクセストークンを作成する

前提条件

アクセストークンを有効にする

トークンを作成する

トークンを作成すると、ウェブアプリにクライアントに直接コピーできる設定例が表示されます。

Kiro との接続

Kiro ユーザーには、IDE または Kiro Powers マーケットプレイスから専用の AWS DevOps Agent パワーを利用できます。 https://kiro.dev/powers/#aws-devops-agent

ステップ 1: 電源をインストールする

Powers Marketplace から aws-devops-agent power をインストールします。

ステップ 2: 環境変数を設定する

接続を設定するには、次の環境変数を設定します。

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

ステップ 3: Kiro で変数を承認する

設定 > MCP 承認済み Env Vars に移動し、 DEVOPS_AGENT_TOKENと を承認しますDEVOPS_AGENT_REGION。Kiro は、環境変数が承認されるまで MCP サーバーに渡しません。

ステップ 4: Kiro を再起動する

Kiro を再起動して変更を適用します。

Kiro パワーにはフォールバックaws-mcpとして が含まれており、リモートサーバーエンドポイントが使用できない場合に直接 AWS API アクセスを提供します。

Claude コードで接続する

Claude Code ユーザーの場合、 AWS DevOps エージェントは aws-agents-for-devsecops Claude プラグインから使用できます。これにより、 AWS DevOps エージェントと AWS セキュリティエージェントの両方の機能が Claude に取り込まれます。Claude プラグインまたはソースリポジトリからインストールします。

他の MCP クライアントに接続する

MCP 互換クライアントの場合は、以下を使用してサーバーを設定します。

この設定は、専用の電源やプラグインを使用する代わりに、手動で接続を設定する場合は、Kiro および Claude Code でも機能します。

MCP 設定の例:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

をエージェントスペースのリージョン ( などus-east-1) {region}に、 をトークン値<your-access-token>に置き換えます。

SigV4 認証を使用する

SigV4 認証は、アクセストークンの代わりに AWS 認証情報を使用します。Kiro power および Claude Code プラグインには、ローカル AWS 認証情報を使用してリクエストに署名するmcp-proxy-for-aws、 を介した組み込み SigV4 サポートが含まれています。

SigV4 を使用する場合

前提条件

設定例

アクセストークンの代わりに SigV4 を使用するように MCP クライアントを設定するには、 を介してサーバーを実行しますmcp-proxy-for-aws。をエージェントスペースのリージョン ( などus-east-1) {region}に置き換えます。

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

プロキシはローカル AWS 認証情報を使用して各リクエストに署名するため、アクセストークンは必要ありません。

Multi-Agent-Spaceルーティング

SigV4 モードでは、各ツール呼び出しagent_space_idを渡して、使用するエージェントスペースを指定します。これにより、1 つのクライアントから複数のエージェントスペースにルーティングできます。

A2A 統合

A2A エンドポイントは、HTTP+JSON バインディングを使用して A2A v1.0 仕様を実装します。

エージェントカード検出

エージェントカードは次の場所から取得します。

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

サポートされているオペレーション

スキル

セキュリティに関する考慮事項

トークンスコープ

IP 許可リスト

アクセストークンを作成するときは、オプションで IP 許可リストを指定できます。設定すると、トークンは指定された IP アドレスまたは CIDR 範囲からのみ使用できます。他の IPsは、アクセス拒否エラーで拒否されます。

トークンのローテーションと取り消し

侵害されたトークンへの対応

トークンが侵害された疑いがある場合は、次の手順に従います。

プログラムによるトークンの取り消し

を使用してプログラムでトークンを取り消すこともできますawscurl。次のコマンドは SigV4 認証を使用します。リージョン (us-east-1) を、エージェントスペースが作成されたリージョンに置き換えます。

ステップ 1: エージェントスペースを一覧表示する

aws aidevops list-agent-spaces --region us-east-1

ステップ 2: エージェントスペースのアクセストークンを一覧表示する

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

ステップ 3: トークンを取り消す

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

{agentSpaceId} と を前のレスポンスの値{accessTokenId}に置き換えます。

トレーサビリティ

AWS DevOps Agent は AWS CloudTrail にリモートサーバーアクティビティを記録します。これらのレコードを使用して、リモートサーバーを呼び出したユーザーと、その結果エージェントが何をしたかを追跡します。 AWS DevOps エージェントは、エージェントスペースをホストする AWS アカウントに CloudTrail イベントを配信します。

アクセストークン認証イベント

AWS DevOps エージェントが MCP または A2A エンドポイントのアクセストークンを認証するたびに、CloudTrail にAuthenticateAccessTokenイベントを発行します。 AWS DevOps エージェントは、成功した認証と失敗した認証の両方を記録します。これらのレコードを使用して正当な使用を監査し、拒否された試行を検出します。例としては、期限切れまたは取り消されたトークン、IP 許可リストによってブロックされたリクエストなどがあります。

イベントには次の特性があります。

イベントには、次のキーフィールドが含まれます。

ダウンストリームアクションイベント

アクセストークンを使用すると、 AWS DevOps Agent はユーザーに代わってアクションを実行するロールを引き受けます。 AWS DevOps Agent は、トークンと発信者を識別するセッションタグを使用して CloudTrail でこのAssumeRole呼び出しを記録します。

エージェントがユーザーに代わって実行する各アクションには、CloudTrail がログに記録する対応するダウンストリーム AWS API コールがあります。ロールセッション名は 形式を使用しますtoken_{spaceId}_{timestamp}_{tokenName}。このセッション名は、AuthenticateAccessTokenイベントの と一致しroleSessionNameます。これを使用して、認証からそれに従った特定のアクションをトレースします。

SigV4 呼び出し

アクセストークンの代わりに AWS SigV4 認証を使用する呼び出しはAuthenticateAccessTokenイベントを生成しません。 AWS DevOps Agent は、SigV4 リクエストを AWS Identity and Access Management (IAM) ID に属性付けします。エージェントがトリガーするダウンストリーム AWS API コールを通じて実行するアクションを追跡できます。

VPC エンドポイントポリシーの制限

リモートサーバーエンドポイントは VPC エンドポイントポリシーをサポートしていません。アクセストークンまたは SigV4 認証のいずれかを使用した呼び出しは、VPC エンドポイントポリシーでは制限できません。

アクセストークンの無効化

アクセストークン機能はデフォルトでオフになっています。有効にした後で無効にするには:

を無効にすると、すべてのトークンベースのアクセスがすぐにブロックされます。既存のトークンは削除されませんが、機能を再度有効にするまで使用できません。

組織内のユーザーがアクセストークンを有効にできないようにするには、アクセストークン API アクションと UpdateAgentSpaceアクション (アクセストークンの切り替えを制御する) を拒否するサービスコントロールポリシー (SCP) を作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

トラブルシューティング