View a markdown version of this page

为亚马逊 SageMaker 统一工作室 MCP 配置接口 VPC 终端节点 - Amazon EMR
步骤 1：为 Amazon Un SageMaker ified Studio MCP 创建接口 VPC 终端节点第 2 步：为 Amazon Un SageMaker ified Studio MCP 创建 VPC 终端节点策略第 3 步：测试您的 VPC第 4 步：开始使用 MCP VPC 终端节点

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为亚马逊 SageMaker 统一工作室 MCP 配置接口 VPC 终端节点

通过创建接口 VPC 终端节点，您可以在 VPC 和 Amazon U SageMaker nified Studio MCP 服务之间建立私有连接。接口终端节点由 Amazon VPC 提供支持，这使您无需互联网网关、NAT 设备、VPN 连接或连接即可私下访问 VPC 中的 MCP 服务器。您的 VPC 中的实例不需要公有 IP 地址即可与 MCP 服务通信，您的 VPC 和 MCP 服务之间的流量不会离开亚马逊网络。

每个接口终端节点由您的 VPC 子网中的一个或多个弹性网络接口表示。有关更多信息，请参阅 Amazon VPC 用户指南中的接口 VPC 终端节点。

步骤 1：为 Amazon Un SageMaker ified Studio MCP 创建接口 VPC 终端节点

您可以使用亚马逊 VPC 控制台或 Amazon U SageMaker nified Studio MCP 服务创建 VPC 终端节点。 AWS CLI有关更多信息，请参阅《Amazon VPC User Guide》中的 Creating an interface endpoint。

使用以下服务名称为亚马逊 SageMaker 统一工作室 MCP 创建 VPC 终端节点：

  • com.amazonaws。<aws-region>.sagemaker-unified-studio-mcp

如果您为终端节点启用私有 DNS，则可以使用亚马逊 SageMaker 统一工作室 MCP 在该地区的默认 DNS 名称向 Amazon Unified Studio MCP 发出 API 请求，例如，sagemaker-unified-studio-mcp.us-east-1.api.aws

有关更多信息，请参阅《Amazon VPC 用户指南》中的通过接口端点访问服务。

第 2 步：为 Amazon Un SageMaker ified Studio MCP 创建 VPC 终端节点策略

您可以将终端节点策略附加到您的 VPC 终端节点，以控制对 Amazon Un SageMaker ified Studio MCP 的访问权限。该策略指定以下信息：

  • 可执行操作的主体。

  • 可执行的操作。

  • 可对其执行操作的资源。

有关更多信息，请参阅《Amazon VPC 用户指南》中的使用 VPC 端点控制对服务的访问。

示例：允许 MCP 访问特定 IAM 角色的 VPC 终端节点策略

以下是亚马逊 SageMaker 统一工作室 MCP 访问的终端节点策略示例。当连接到终端节点时，此策略向特定 IAM 角色委托人授予对所有资源上列出的 Amazon U SageMaker nified Studio MCP 操作的访问权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/YourRoleName"
      },
      "Action": [
        "sagemaker-unified-studio-mcp:InvokeMcp",
        "sagemaker-unified-studio-mcp:CallReadOnlyTool",
        "sagemaker-unified-studio-mcp:CallPrivilegedTool"
      ],
      "Resource": "*"
    }
  ]
}

第 3 步：测试您的 VPC

该curl命令通过发出 HTTP/HTTPS 请求来验证从您的 VPC 网络 (EC2) 到 VPC 终端节点的端到端网络连接。收到来自 MCP 服务器的消息的 curl 响应将确认完整的网络路径正常运行。

方法 1：启用私有 DNS（推荐）

curl https://sagemaker-unified-studio-mcp.us-east-1.api.aws/spark-upgrade/mcp

方法 2：未启用私有 DNS

curl -k https://vpce-0069xxxx-ejwh6xxx.sagemaker-unified-studio-mcp.us-east-1.vpce.amazonaws.com/spark-upgrade/mcp
注意

由于 VPC 终端节点 DNS 名称和证书的公用名 (CN) 之间的主机名不匹配，该-k标志绕过了 SSL 证书验证。

在这两种情况下，curl 命令都会返回响应：{"Message":"...."}。以消息返回验证网络路径成功连接到 MCP 服务的 VPC 终端节点。

第 4 步：开始使用 MCP VPC 终端节点

验证连接后，您可以按照步骤在中升级代理的设置配置 MCP。只需在 MCP 配置中使用私有 VPC 终端节点即可。