As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando servidores MCP

Os servidores Model Context Protocol (MCP) ampliam os recursos de investigação do AWS DevOps Agente fornecendo acesso aos dados de suas ferramentas externas de observabilidade, sistemas de monitoramento personalizados e fontes de dados operacionais. Este guia explica como conectar um servidor MCP ao AWS DevOps Agente.

Requisitos

Antes de conectar um servidor MCP, certifique-se de que seu servidor atenda aos seguintes requisitos:

Considerações sobre segurança

Ao conectar servidores MCP ao AWS DevOps Agente, considere estes aspectos de segurança:

Observe que o tamanho máximo do nome da ferramenta de qualquer ferramenta MCP é de 64 caracteres. Para saber o número máximo de ferramentas MCP permitidas por espaço de agente, consulteCotas.

Consulte AWS DevOps Segurança do agente para obter mais informações sobre injeção imediata e o modelo de responsabilidade compartilhada.

Servidores MCP comunitários

O repositório AWS DevOps Agent Tools inclui servidores MCP implantáveis que fornecem ao agente ferramentas personalizadas para diagnósticos profundos de infraestrutura, como coleta de logs de nós do Amazon Elastic Kubernetes Service (Amazon EKS), verificação de resolução de DNS do Amazon Virtual Private Cloud (Amazon VPC) e verificações de integridade do banco de dados do Amazon Relational Database Service (Amazon RDS). O repositório é mantido pela equipe de serviço do AWS DevOps agente e todas as contribuições passam pela mesma barra de análise de segurança antes de serem adicionadas. Para ver o que está disponível, consulte o catálogo de servidores MCP no GitHub site.

Para usar um servidor MCP comunitário:

Registrando um servidor MCP (nível de conta)

Os servidores MCP são registrados no nível da AWS conta e compartilhados entre todos os espaços do agente nessa conta. Os Espaços de Agentes Individuais podem então escolher quais ferramentas específicas precisam de cada servidor MCP.

Etapa 1: detalhes do servidor MCP

Etapa 2: fluxo de autorização

Selecione o método de autenticação para seu servidor MCP:

Credenciais do cliente OAuth — Se o seu servidor MCP usa o fluxo de credenciais do cliente OAuth:

OAuth 3LO (Three-Legged OAuth) — Se o seu servidor MCP usa OAuth 3LO para autenticação:

Chave de API — Se seu servidor MCP usa autenticação de chave de API:

AWS SigV4 — Se o seu servidor MCP usa autenticação AWS Signature Versão 4:

Etapa 3: configuração de autorização

Configure parâmetros de autorização adicionais com base no método de autenticação selecionado:

Para credenciais do cliente OAuth:

Para OAuth 3LO:

Para chave de API:

Para AWS SigV4:

AWS A autenticação SigV4 permite que o AWS DevOps Agente se conecte aos servidores MCP que usam o AWS Signature Version 4 para assinatura de solicitações. Isso é útil para servidores MCP hospedados por trás do Amazon API Gateway ou outros AWS serviços que oferecem suporte à autenticação SigV4.

Etapa 4: revisar e enviar

Configurando ferramentas MCP em um Agent Space

Depois de registrar um servidor MCP no nível da conta, você pode configurar quais ferramentas desse servidor estão disponíveis para espaços de agente específicos:

AWS DevOps Agora, o agente poderá usar as ferramentas permitidas do seu servidor MCP durante investigações neste Espaço do Agente.

Gerenciando conexões de servidor MCP

Atualizando credenciais de autenticação — Você pode atualizar as credenciais de autenticação de um servidor MCP registrado sem cancelar o registro. Navegue até a página Provedores de Capacidade no console do AWS DevOps Agente, selecione seu servidor MCP e escolha Atualizar no menu Ações. Suas associações do Agent Space são preservadas. O que você pode atualizar depende do método de autenticação:

Os servidores MCP que usam as credenciais do cliente OAuth não podem ser atualizados no local. Para alterar essas credenciais, remova todas as associações ativas, cancele o registro do servidor MCP e registre-o novamente com os novos valores.

Visualizando servidores MCP conectados — Para ver todos os servidores MCP conectados ao seu Espaço do Agente, selecione seu Espaço do Agente, vá até a guia Capacidades e verifique a seção Servidores MCP. Você também pode atualizar as ferramentas selecionadas aqui.

Removendo conexões do servidor MCP — Para desconectar um servidor MCP de um Espaço do Agente, selecione o servidor na seção Servidores MCP e escolha Remover. Para excluir completamente um registro de servidor MCP, remova-o primeiro de todos os Espaços do Agente e, em seguida, exclua o registro no nível da conta.

Criação de uma função do IAM para autenticação SigV4

Ao usar a autenticação AWS SigV4, o AWS DevOps Agente assume uma função do IAM em sua conta para assinar solicitações no seu servidor MCP. Essa função deve ter uma política de confiança que permita que o diretor de serviço do AWS DevOps agente (aidevops.amazonaws.com) a assuma, com uma proteção delegada confusa.

Política de confiança

Crie uma função do IAM com a seguinte política de confiança. REGIONSubstitua pela sua AWS região (por exemplo,us-east-1) e ACCOUNT_ID pelo ID AWS da sua conta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

A política de confiança inclui as seguintes condições para evitar o confuso problema do deputado:

Política de permissões

Anexe uma política de permissões à função que conceda as permissões mínimas necessárias para invocar seu servidor MCP. Por exemplo, se seu servidor MCP estiver hospedado atrás do Amazon API Gateway, a função deverá ter execute-api:Invoke permissão no recurso API Gateway.

Multi-region assinatura (SigV4a)

Se o seu servidor MCP estiver implantado em várias AWS regiões, você poderá usar o Sigv4a (Signature Version 4a) para assinatura multirregional. Para habilitar isso, insira * como AWS Região ao configurar a autorização SigV4. O SigV4a usa assinatura assimétrica, o que permite que uma única solicitação assinada seja válida em várias regiões.

Cross-account acesso sem uma função dedicada

Em vez de registrar uma função dedicada do IAM para seu servidor MCP, você pode usar o registro sem função: registre o servidor sem uma função e faça com que o AWS DevOps agente assine solicitações usando uma função do IAM de uma AWS conta já associada ao seu espaço do agente. Isso é útil quando seu servidor MCP precisa acessar recursos que abrangem as AWS contas primárias e secundárias conectadas a um Espaço do Agente, em vez de uma única função com escopo em uma conta.

Como funciona

Cross-account o acesso sem uma função dedicada funciona da seguinte maneira:

Requisitos

Antes de associar um servidor SigV4 MCP sem função a um Agent Space:

Solução de problemas

A associação de um servidor MCP sem função falha: “requer uma associação de conta primária”

Se você registrou um servidor MCP sem uma função dedicada e a associação falhar, verifique a mensagem de erro. Se o erro indicar que o servidor exige uma associação de conta primária no Espaço do Agente, o Espaço do Agente não tem uma AWS conta principal conectada a ele.

AWS DevOps O agente valida um servidor SigV4 MCP sem função quando você o associa, usando a função IAM da conta primária do Agent Space. AWS Para resolver esse problema:

Tópicos relacionados