As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conecte-se aos servidores remotos do DevOps Agente

AWS DevOps O agente fornece servidores remotos dedicados para os protocolos Model Context Protocol (MCP) e Agent-to-Agent (A2A). Use esses servidores para conectar seu IDE, CLI ou integrações de agentes personalizados a um Agent Space.

Protocolos compatíveis

Endpoints

Os servidores remotos estão disponíveis em uma URL regional:

https://connect.aidevops.{region}.api.aws

Para ver a lista de regiões disponíveis, consulteRegiões aceitas.

Autenticação

Dois métodos de autenticação estão disponíveis para endpoints MCP e A2A:

Crie um token de acesso

Pré-requisitos

Habilitar tokens de acesso

Crie um token

Depois de criar um token, o aplicativo web exibe um exemplo de configuração que você pode copiar diretamente no seu cliente.

Conecte-se com Kiro

Para usuários do Kiro, um AWS DevOps Agent Power dedicado está disponível no IDE ou no mercado Kiro Powers.

Etapa 1: instalar a alimentação

Instale o aws-devops-agent power do Powers Marketplace.

Etapa 2: definir variáveis de ambiente

Defina as seguintes variáveis de ambiente para configurar a conexão:

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Etapa 3: aprove as variáveis no Kiro

Vá para Configurações > MCP Approved Env Vars e aprove e. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION O Kiro não passa variáveis de ambiente para servidores MCP até que elas sejam aprovadas.

Etapa 4: reinicie o Kiro

Reinicie o Kiro para aplicar as alterações.

O Kiro power inclui aws-mcp um substituto, que fornece acesso direto à AWS API quando o endpoint do servidor remoto não está disponível.

Conecte-se com Claude Code

Para usuários do Claude Code, o AWS DevOps Agent está disponível no plugin aws-agents-for-devsecops Claude, que traz os recursos do Agente e do Agente de Segurança para o Claude. AWS DevOps AWS Instale-o a partir dos plug-ins Claude ou do repositório https://github.com/aws/agent-toolkit-for-aws/tree/main/plugins/aws-agents-for-devsecops de origem.

Conecte-se com outros clientes MCP

Para qualquer MCP-compatible cliente, configure o servidor com:

Essa configuração também funciona com o Kiro e o Claude Code se você preferir configurar a conexão manualmente em vez de usar a alimentação ou o plug-in dedicado.

Exemplo de configuração MCP:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}Substitua pela região do seu espaço do agente (por exemplo,us-east-1) e <your-access-token> pelo valor do token.

Use a autenticação SigV4

A autenticação SigV4 usa suas AWS credenciais em vez de um token de acesso. O plug-in Kiro power e Claude Code inclui suporte SigV4 integradomcp-proxy-for-aws, que assina solicitações usando suas credenciais locais. AWS

Quando o SigV4 é usado

Pré-requisitos

Exemplo de configuração

Para configurar um cliente MCP para usar SigV4 em vez de um token de acesso, execute o servidor. mcp-proxy-for-aws {region}Substitua pela região do seu espaço do agente (por exemplo,us-east-1):

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

O proxy assina cada solicitação com suas AWS credenciais locais, portanto, nenhum token de acesso é necessário.

Multi-Agent-Space roteamento

No modo SigV4, transmita agent_space_id cada chamada de ferramenta para especificar qual espaço do agente usar. Isso possibilita o roteamento entre vários Agent Spaces a partir de um único cliente.

Integração A2A

O endpoint A2A implementa a especificação A2A v1.0 usando vinculação HTTP+JSON.

Cabeçalhos de solicitação

Passe os seguintes cabeçalhos nas solicitações A2A.

Descoberta do cartão do agente

Recupere o cartão do agente em:

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Operações compatíveis

Habilidades

Considerações sobre segurança

Escopo do token

Lista de permissões de IP

Ao criar um token de acesso, você pode, opcionalmente, especificar uma lista de permissões de IP. Quando configurado, o token só pode ser usado a partir dos endereços IP ou intervalos CIDR especificados. As solicitações de outros IPs são rejeitadas com um erro de acesso negado.

Rotação e revogação de tokens

Respondendo a um token comprometido

Se você suspeitar que um token foi comprometido, siga estas etapas:

Revogando tokens programaticamente

Você também pode revogar tokens programaticamente usando. awscurl Os comandos a seguir usam a autenticação SigV4. Substitua a região (us-east-1) pela região em que seu espaço do agente foi criado.

Etapa 1: Listar seus espaços de agente

aws aidevops list-agent-spaces --region us-east-1

Etapa 2: Listar tokens de acesso para um Agent Space

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Etapa 3: revogar um token

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

{accessTokenId}Substitua {agentSpaceId} e pelos valores das respostas anteriores.

Rastreabilidade

AWS DevOps O agente registra a atividade do servidor remoto em AWS CloudTrail. Use esses registros para rastrear quem invocou um servidor remoto e o que o agente fez como resultado. AWS DevOps O agente entrega CloudTrail eventos para a AWS conta que hospeda o Espaço do Agente.

Eventos de autenticação de token de acesso

Sempre que o AWS DevOps Agente autentica um token de acesso para um endpoint MCP ou A2A, ele emite um evento para o. AuthenticateAccessToken CloudTrail AWS DevOps O agente registra autenticações bem-sucedidas e fracassadas. Use esses registros para auditar o uso legítimo e detectar tentativas rejeitadas. Os exemplos incluem tokens expirados ou revogados e solicitações bloqueadas por uma lista de permissões de IP.

O evento tem as seguintes características:

O evento inclui os seguintes campos principais:

Eventos de ação downstream

Quando você usa um token de acesso, o AWS DevOps Agente assume uma função em seu nome para realizar ações. AWS DevOps O agente registra essa AssumeRole chamada CloudTrail com tags de sessão que identificam o token e o chamador:

Cada ação que o agente realiza em seu nome tem uma chamada de AWS API downstream correspondente que é registrada CloudTrail . O nome da sessão de função usa o formatotoken_{spaceId}_{timestamp}_{tokenName}. O nome dessa sessão corresponde roleSessionName ao do AuthenticateAccessToken evento. Use-o para rastrear de uma autenticação até as ações específicas que a seguiram.

invocações SigV4

As invocações que usam autenticação AWS SigV4 em vez de um token de acesso não produzem eventos. AuthenticateAccessToken AWS DevOps O agente atribui as solicitações SigV4 à sua AWS identidade de Gerenciamento de Identidade e Acesso (IAM). Você pode rastrear as ações que o agente executa por meio das chamadas de AWS API downstream que elas acionam.

Limitação da política de endpoint de VPC

Os endpoints do servidor remoto não oferecem suporte às políticas de endpoint de VPC. As chamadas usando tokens de acesso ou autenticação SigV4 não podem ser restringidas pelas políticas de endpoint da VPC.

Desativando tokens de acesso

O recurso de tokens de acesso está desativado por padrão. Para desativá-lo depois de habilitá-lo:

A desativação bloqueia imediatamente todo o acesso baseado em tokens. Os tokens existentes não são excluídos, mas não podem ser usados até que o recurso seja reativado.

Para evitar que os usuários da sua organização habilitem tokens de acesso, crie uma Política de Controle de Serviços (SCP) que negue as ações da API do token de acesso e a UpdateAgentSpace ação (que controla a alternância dos tokens de acesso):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Solução de problemas