翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

MCP サーバーの接続

Model Context Protocol (MCP) サーバーは、外部オブザーバビリティツール、カスタムモニタリングシステム、運用データソースからのデータへのアクセスを提供することで、 AWS DevOps Agent の調査機能を拡張します。このガイドでは、MCP サーバーを AWS DevOps エージェントに接続する方法について説明します。

要件

MCP サーバーを接続する前に、サーバーが次の要件を満たしていることを確認してください。

セキュリティに関する考慮事項

MCP サーバーを AWS DevOps エージェントに接続するときは、次のセキュリティ面を考慮してください。

MCP ツールの最大ツール名の長さは 64 文字です。エージェントスペースごとに許可される MCP ツールの最大数については、「」を参照してくださいクォータ。

プロンプトインジェクションと責任共有モデルの詳細については、AWS DevOps エージェントセキュリティ「」を参照してください。

MCP サーバーの登録 (アカウントレベル)

MCP サーバーは AWS アカウントレベルで登録され、そのアカウントのすべてのエージェントスペース間で共有されます。個々のエージェントスペースは、各 MCP サーバーから必要な特定のツールを選択できます。

ステップ 1: MCP サーバーの詳細

ステップ 2: 認可フロー

MCP サーバーの認証方法を選択します。

OAuth クライアント認証情報 – MCP サーバーが OAuth クライアント認証情報フローを使用している場合:

OAuth 3LO (Three-Legged OAuth) – MCP サーバーが認証に OAuth 3LO を使用している場合:

API キー – MCP サーバーが API キー認証を使用している場合:

AWS SigV4 – MCP サーバーが AWS 署名バージョン 4 認証を使用している場合:

ステップ 3: 認可設定

選択した認証方法に基づいて追加の認可パラメータを設定します。

OAuth クライアント認証情報の場合:

OAuth 3LO の場合:

API キーの場合:

For AWS SigV4:

AWS SigV4 認証により、 AWS DevOps Agent は AWS 署名バージョン 4 を使用してリクエスト署名を行う MCP サーバーに接続できます。これは、Amazon API Gateway または SigV4 認証をサポートする他の AWS サービスでホストされている MCP サーバーに役立ちます。

ステップ 4: 確認して送信する

エージェントスペースでの MCP ツールの設定

アカウントレベルで MCP サーバーを登録したら、そのサーバーのどのツールを特定のエージェントスペースで使用できるかを設定できます。

AWS DevOps Agent は、このエージェントスペースでの調査中に MCP サーバーから許可リストに登録されたツールを使用できるようになりました。

MCP サーバー接続の管理

認証情報の更新 – 認証情報を更新する必要がある場合は、MCP サーバーを再登録する必要があります。 AWS DevOps Agent コンソールの Capability Providers ページに移動し、MCP サーバーを見つけてアクティブな関連付けを削除し、Actions メニューから登録解除を選択します。次に、新しい認証情報で MCP サーバーを登録し、エージェントスペースと必要な関連付けを再作成します。

接続された MCP サーバーの表示 – エージェントスペースに接続されているすべての MCP サーバーを表示するには、エージェントスペースを選択し、機能タブに移動して MCP サーバーセクションを確認します。選択したツールをここで更新することもできます。

MCP サーバー接続の削除 – MCP サーバーをエージェントスペースから切断するには、MCP サーバーセクションでサーバーを選択し、削除を選択します。MCP サーバー登録を完全に削除するには、まずすべてのエージェントスペースから削除してから、アカウントレベルの登録を削除します。

SigV4 認証用の IAM ロールの作成

AWS SigV4 認証を使用する場合、 AWS DevOps Agent はアカウントの IAM ロールを引き受けて MCP サーバーへのリクエストに署名します。このロールには、 AWS DevOps エージェントサービスプリンシパル (aidevops.amazonaws.com) が混乱した代理保護で引き受けることを許可する信頼ポリシーが必要です。

信頼ポリシー

次の信頼ポリシーを使用して IAM ロールを作成します。を AWS リージョン ( などus-east-1) REGIONに、 を AWS アカウント ID ACCOUNT_IDに置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

信頼ポリシーには、混乱した代理問題を防ぐための以下の条件が含まれています。

アクセス許可ポリシー

MCP サーバーの呼び出しに必要な最小限のアクセス許可を付与するアクセス許可ポリシーをロールにアタッチします。例えば、MCP サーバーが Amazon API Gateway の背後でホストされている場合、ロールには API Gateway リソースに対するexecute-api:Invokeアクセス許可が必要です。

マルチリージョン署名 (SigV4a)

MCP サーバーが複数の AWS リージョンにデプロイされている場合は、SigV4a (署名バージョン 4a) を使用してマルチリージョン署名を行うことができます。これを有効にするには、SigV4 認可を設定するときに AWS リージョン*として を入力します。SigV4a は非対称署名を使用します。これにより、1 つの署名付きリクエストを複数のリージョンで有効にできます。

関連トピック