本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

连接到 DevOps 代理远程服务器

AWS DevOps 代理为模型上下文协议 (MCP) 和 Agent-to-Agent (A2A) 协议提供专用的远程服务器。使用这些服务器将您的 IDE、CLI 或自定义代理集成连接到代理空间。

受支持的协议

端点

远程服务器可通过区域 URL 获得：

https://connect.aidevops.{region}.api.aws

有关可用区域的列表，请参阅支持的区域：。

身份验证

两种身份验证方法可用于 MCP 和 A2A 端点：

创建访问令牌

先决条件

启用访问令牌

创建代币

创建令牌后，Web 应用程序会显示一个配置示例，您可以将其直接复制到客户端。

与 Kiro 联系

对于 Kiro 用户，可从 IDE 或 K iro Powers 市场获得专用的AWS DevOps 代理权力。

第 1 步：安装电源

安装来自 Powers 市场的 aws-devops-agent 权力。

第 2 步：设置环境变量

设置以下环境变量来配置连接：

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

第 3 步：批准 Kiro 中的变量

前往 “设置” > “MCP 批准的环境变量”，然后批准和。DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION在环境变量获得批准之前，Kiro 不会将环境变量传递给 MCP 服务器。

第 4 步：重启 Kiro

重新启动 Kiro 以应用更改。

Kiro 功能包括aws-mcp作为备用功能，它在远程服务器端点不可用时提供直接的 AWS API 访问。

与 Claude Code 建立联系

对于 Claude Code 用户，可以通过 aws-agents-for-devsecops Claude 插件获得 AWS DevOps 代理，该插件为 Claude 带来了代理和安全代理功能。 AWS DevOps AWS 从 Claude 插件或源存储库中安装它。

连接其他 MCP 客户端

对于任何 MCP-compatible 客户机，使用以下命令配置服务器：

如果您更愿意手动配置连接，而不是使用专用电源或插件，则此配置也适用于 Kiro 和 Claude Code。

示例 MCP 配置：

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}替换为代理空间的区域（例如，us-east-1）<your-access-token>和代币值。

使用 SigV4 身份验证

SigV4 身份验证使用您的 AWS 凭据而不是访问令牌。Kiro 的强大功能和 Claude Code 插件包括内置的 SigV4 支持mcp-proxy-for-aws，该插件使用您的本地证书对请求进行签名。 AWS

当使用 SigV4 时

先决条件

示例配置

要将 MCP 客户端配置为使用 SigV4 而不是访问令牌，请运行服务器。mcp-proxy-for-aws{region}替换为您的代理空间的区域（例如，us-east-1）：

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

代理使用您的本地 AWS 证书对每个请求进行签名，因此不需要访问令牌。

Multi-Agent-Space 路由

在 SigV4 模式下，传递agent_space_id每个工具调用以指定要使用的代理空间。这使得从单个客户机跨越多个代理空间进行路由成为可能。

A2A 集成

A2A 端点使用 HTTP+JSON 绑定实现 A2A v1.0 规范。

请求标头

在 A2A 请求上传递以下标头。

代理卡发现

在以下地址取回代理卡：

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

支持的操作

技能

安全注意事项

代币范围界定

IP 许可名单

创建访问令牌时，您可以选择指定 IP 许可名单。配置后，该令牌只能在指定的 IP 地址或 CIDR 范围内使用。来自其他 IP 的请求因访问被拒绝错误而被拒绝。

代币轮换和撤销

回应受感染的代币

如果您怀疑代币已被盗用，请按照以下步骤操作：

以编程方式撤消令牌

您也可以使用编程方式撤消令牌。awscurl以下命令使用 SigV4 身份验证。将区域 (us-east-1) 替换为创建代理空间的区域。

第 1 步：列出您的代理空间

aws aidevops list-agent-spaces --region us-east-1

步骤 2：列出代理空间的访问令牌

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

第 3 步：撤销代币

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

将{agentSpaceId}和{accessTokenId}替换为先前响应中的值。

追溯性

AWS DevOps 代理在中记录远程服务器活动 AWS CloudTrail。使用这些记录来追踪谁调用了远程服务器以及代理因此做了什么。 AWS DevOps 代理向托管代理空间的 AWS 账户传送 CloudTrail 事件。

访问令牌身份验证事件

每次 AWS DevOps 代理对 MCP 或 A2A 端点的访问令牌进行身份验证时，它都会向发出一个事件。AuthenticateAccessToken CloudTrail AWS DevOps 代理记录成功和失败的身份验证。使用这些记录来审核合法使用情况并检测被拒绝的尝试。示例包括过期或已撤销的令牌，以及被 IP 许可名单阻止的请求。

该活动具有以下特点：

该活动包括以下关键字段：

下游操作事件

当您使用访问令牌时， AWS DevOps 代理会代您扮演一个角色来执行操作。 AWS DevOps 代理 CloudTrail 使用标识令牌和AssumeRole呼叫者的会话标签登录此呼叫：

代理代表您执行的每项操作都有一个相应的下游 AWS API 调用，用于 CloudTrail 记录。角色会话名称使用以下格式token_{spaceId}_{timestamp}_{tokenName}。此会话名称与AuthenticateAccessToken事件roleSessionName中的名称相匹配。使用它来跟踪从身份验证到随后的特定操作。

SigV4 调用

使用 AWS SigV4 身份验证而不是访问令牌的调用不会生成事件。AuthenticateAccessToken AWS DevOps 代理将 SigV4 请求归因于您的 AWS 身份和访问管理 (IAM) 身份。您可以通过代理触发的下游 AWS API 调用来跟踪代理执行的操作。

VPC 终端节点策略限制

远程服务器终端节点不支持 VPC 终端节点策略。VPC 终端节点策略无法限制使用访问令牌或 SigV4 身份验证的呼叫。

禁用访问令牌

默认情况下，访问令牌功能处于关闭状态。要在启用后将其禁用，请执行以下操作：

立即禁用会阻止所有基于令牌的访问。现有令牌不会被删除，但在重新启用该功能之前无法使用。

为防止组织中的用户启用访问令牌，请创建拒绝访问令牌 API 操作和操作（控制访问令牌切换）的UpdateAgentSpace服务控制策略 (SCP)：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

问题排查