本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

連接 MCP 伺服器

模型內容通訊協定 (MCP) 伺服器透過提供來自外部可觀測性工具、自訂監控系統和操作資料來源的資料存取權，來擴展 AWS DevOps 代理程式的調查功能。本指南說明如何將 MCP 伺服器連線至 AWS DevOps Agent。

要求

連接 MCP 伺服器之前，請確定您的伺服器符合下列要求：

安全考量

將 MCP 伺服器連線至 AWS DevOps 代理程式時，請考慮下列安全層面：

請注意，任何 MCP 工具的工具名稱長度上限為 64 個字元。如需每個客服人員空間允許的 MCP 工具數量上限，請參閱 配額。

AWS DevOps 代理程式安全性 如需提示注入和共同責任模型的詳細資訊，請參閱 。

社群 MCP 伺服器

AWS DevOps 代理程式工具儲存庫包含可部署的 MCP 伺服器，可提供代理程式自訂工具以進行深度基礎設施診斷，例如 Amazon Elastic Kubernetes Service (Amazon EKS) 節點日誌收集、Amazon Virtual Private Cloud (Amazon VPC) DNS 解析探查，以及 Amazon Relational Database Service (Amazon RDS) 資料庫運作狀態檢查。儲存庫由 AWS DevOps Agent 服務團隊維護，所有貢獻在新增之前都會經過相同的安全審查列。若要瀏覽可用的項目，請參閱 GitHub 網站上的 MCP 伺服器目錄。

若要使用社群 MCP 伺服器：

註冊 MCP 伺服器 （帳戶層級）

MCP 伺服器會在 AWS 帳戶層級註冊，並在該帳戶中的所有客服人員空間之間共用。個別客服人員空間接著可以從每個 MCP 伺服器選擇所需的特定工具。

步驟 1：MCP 伺服器詳細資訊

步驟 2：授權流程

選取 MCP 伺服器的身分驗證方法：

OAuth 用戶端登入資料 – 如果您的 MCP 伺服器使用 OAuth 用戶端登入資料流程：

OAuth 3LO （三引號 OAuth) – 如果您的 MCP 伺服器使用 OAuth 3LO 進行身分驗證：

API 金鑰 – 如果您的 MCP 伺服器使用 API 金鑰身分驗證：

AWS SigV4 – 如果您的 MCP 伺服器使用 AWS Signature 第 4 版身分驗證：

步驟 3：授權組態

根據選取的身分驗證方法設定其他授權參數：

對於 OAuth 用戶端登入資料：

對於 OAuth 3LO：

針對 API 金鑰：

For AWS SigV4：

AWS SigV4 身分驗證可讓 AWS DevOps 代理程式連線至使用 AWS Signature 第 4 版進行請求簽署的 MCP 伺服器。這對於託管於 Amazon API Gateway 的 MCP 伺服器或其他支援 SigV4 身分驗證 AWS 的服務非常有用。

步驟 4：檢閱並提交

在客服人員空間中設定 MCP 工具

在帳戶層級註冊 MCP 伺服器之後，您可以設定該伺服器的哪些工具可供特定 Agent Spaces 使用：

AWS DevOps 代理程式現在可以在此代理程式空間的調查期間，使用 MCP 伺服器的允許清單工具。

管理 MCP 伺服器連線

更新身分驗證憑證 – 您可以更新已註冊 MCP 伺服器的身分驗證憑證，而無需取消註冊。導覽至 AWS DevOps Agent 主控台中的功能提供者頁面，選取您的 MCP 伺服器，然後從動作功能表中選擇更新。您的客服人員空間關聯會保留。您可以更新的內容取決於身分驗證方法：

無法更新使用 OAuth 用戶端登入資料的 MCP 伺服器。若要變更這些登入資料，請移除任何作用中的關聯、取消註冊 MCP 伺服器，然後使用新值重新註冊。

檢視連線的 MCP 伺服器 – 若要查看所有連線至客服人員空間的 MCP 伺服器，請選取您的客服人員空間，前往功能索引標籤，然後檢查 MCP 伺服器區段。您也可以在這裡更新選取的工具。

移除 MCP 伺服器連線 – 若要中斷 MCP 伺服器與客服人員空間的連線，請在 MCP 伺服器區段中選取伺服器，然後選擇移除。若要完全刪除 MCP 伺服器註冊，請先將其從所有客服人員空間中移除，然後刪除帳戶層級註冊。

為 SigV4 身分驗證建立 IAM 角色

使用 AWS SigV4 身分驗證時， AWS DevOps 代理程式會在您的帳戶中擔任 IAM 角色，以簽署對 MCP 伺服器的請求。此角色必須具有信任政策，允許 AWS DevOps Agent 服務主體 (aidevops.amazonaws.com) 以混淆代理人保護來擔任該角色。

信任政策

使用下列信任政策建立 IAM 角色。將 取代REGION為您的 AWS 區域 （例如 us-east-1)，並將 取代ACCOUNT_ID為您的 AWS 帳戶 ID。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

信任政策包含下列條件，以防止混淆代理人問題 ：

許可政策

將許可政策連接至角色，授予叫用 MCP 伺服器所需的最低許可。例如，如果您的 MCP 伺服器託管在 Amazon API Gateway 後方，該角色應具有 API Gateway 資源的execute-api:Invoke許可。

多區域簽署 (SigV4a)

如果您的 MCP 伺服器部署在多個 AWS 區域，您可以使用 SigV4a （簽章版本 4a) 進行多區域簽署。若要啟用此功能，請在設定 SigV4 授權時，輸入 *做為 AWS 區域。SigV4a 使用非對稱簽署，允許單一簽署的請求跨多個區域有效。

沒有專用角色的跨帳戶存取

您可以不用為 MCP 伺服器註冊專用 IAM 角色，而是使用無角色註冊：在沒有角色的情況下註冊伺服器，並使用已與您的 Agent Space 建立關聯 AWS 之帳戶的 IAM 角色進行 AWS DevOps代理程式簽署請求。當您的 MCP 伺服器需要存取跨連線至客服人員空間之主要和次要 AWS 帳戶的資源，而不是單一角色的範圍限定在一個帳戶時，這會很有用。

運作方式

沒有專用角色的跨帳戶存取運作方式如下：

要求

將無角色 SigV4 MCP 伺服器與客服人員空間建立關聯之前：

疑難排解

關聯無角色 MCP 伺服器失敗：「需要主要帳戶關聯」

如果您註冊的 MCP 伺服器沒有專用角色且關聯失敗，請檢查錯誤訊息。如果錯誤指出伺服器在客服人員空間中需要主要帳戶關聯，則客服人員空間沒有與其連接的主要 AWS 帳戶。

AWS DevOps 代理程式會在建立關聯時，使用代理程式空間主要 AWS 帳戶的 IAM 角色來驗證無角色 SigV4 MCP 伺服器。若要解決此問題：

相關主題