Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conectarse a los servidores remotos del DevOps agente

AWS DevOps El agente proporciona servidores remotos dedicados para los protocolos Model Context Protocol (MCP) y Agent-to-Agent (A2A). Utilice estos servidores para conectar sus integraciones de IDE, CLI o agentes personalizados a un Agent Space.

Protocolos admitidos

Puntos de conexión

Los servidores remotos están disponibles en una URL regional:

https://connect.aidevops.{region}.api.aws

Para ver la lista de regiones disponibles, consulteRegiones admitidas.

Autenticación

Hay dos métodos de autenticación disponibles para los puntos finales MCP y A2A:

Crea un token de acceso

Requisitos previos

Habilite los tokens de acceso

Crea un token

Tras crear un token, la aplicación web muestra un ejemplo de configuración que puede copiar directamente en su cliente.

Conéctate con Kiro

Para los usuarios de Kiro, hay disponible un poder de AWS DevOps agente dedicado en el IDE o en el mercado de Kiro Powers.

Paso 1: Instale la alimentación

Instale la potencia aws-devops-agent del mercado de Powers.

Paso 2: Defina las variables de entorno

Establezca las siguientes variables de entorno para configurar la conexión:

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Paso 3: Aprobar las variables en Kiro

Vaya a Configuración > Variables ambientales aprobadas por MCP y apruebe y. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION Kiro no transfiere variables de entorno a los servidores MCP hasta que se aprueban.

Paso 4: Reiniciar Kiro

Reinicia Kiro para aplicar los cambios.

La potencia de Kiro se incluye aws-mcp como alternativa, que proporciona acceso directo a la AWS API cuando el punto final del servidor remoto no está disponible.

Conéctese con Claude Code

Para los usuarios de Claude Code, AWS DevOps Agent está disponible en el complemento Claude aws-agents-for-devsecops, que incorpora las funciones de agente y agente de seguridad a Claude. AWS DevOps AWS Instálelo desde los complementos de Claude o desde el repositorio fuente.

Conéctese con otros clientes de MCP

Para cualquier MCP-compatible cliente, configure el servidor con:

Esta configuración también funciona con Kiro y Claude Code si prefieres configurar la conexión manualmente en lugar de utilizar la alimentación o el complemento dedicados.

Ejemplo de configuración de MCP:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}Sustitúyala por la región de tu espacio de agente (por ejemplous-east-1) y <your-access-token> por el valor del token.

Usa la autenticación SigV4

La autenticación SigV4 usa tus AWS credenciales en lugar de un token de acceso. El plugin Kiro power y Claude Code incluyen soporte integrado para SigV4mcp-proxy-for-aws, que permite firmar las solicitudes con tus credenciales locales. AWS

Cuando se usa SigV4

Requisitos previos

Configuración de ejemplo

Para configurar un cliente MCP para que utilice SiGv4 en lugar de un token de acceso, ejecute el servidor. mcp-proxy-for-aws {region}Sustitúyala por la región de tu espacio de agente (por ejemplo,us-east-1):

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

El proxy firma cada solicitud con tus AWS credenciales locales, por lo que no es necesario ningún token de acceso.

Multi-Agent-Space enrutamiento

En el modo SiGv4, agent_space_id transfiera cada llamada a la herramienta para especificar qué espacio de agente utilizar. Esto permite enrutar varios Agent Spaces desde un único cliente.

Integración A2A

El punto final A2A implementa la especificación A2A v1.0 mediante el enlace HTTP+JSON.

Detección de tarjetas de agente

Recupere la tarjeta de agente en:

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Operaciones admitidas

Habilidades

Consideraciones de seguridad

Alcance de los tokens

Lista de direcciones IP permitidas

Al crear un token de acceso, si lo desea, puede especificar una lista de direcciones IP permitidas. Cuando está configurado, el token solo se puede usar desde las direcciones IP o los rangos de CIDR especificados. Las solicitudes de otras IP se rechazan con un error de acceso denegado.

Rotación y revocación de los tokens

Responder a un token comprometido

Si sospechas que un token se ha visto comprometido, sigue estos pasos:

Revocar los tokens mediante programación

También puede revocar los tokens mediante programación utilizando. awscurl Los siguientes comandos utilizan la autenticación SigV4. Sustituya la región (us-east-1) por la región en la que se creó su espacio de agente.

Paso 1: Enumere sus espacios de agente

aws aidevops list-agent-spaces --region us-east-1

Paso 2: Enumere los tokens de acceso a un espacio de agente

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Paso 3: Revocar un token

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

Sustituya {agentSpaceId} y {accessTokenId} por los valores de las respuestas anteriores.

Trazabilidad

Cuando se utiliza un token de acceso, el AWS DevOps agente asume una función en su nombre para realizar acciones. Esta AssumeRole llamada se registra AWS CloudTrail con etiquetas de sesión que identifican al token y a la persona que llama:

Las invocaciones directas de los terminales MCP y A2A no se registran CloudTrail para ninguno de los dos métodos de autenticación. Cada invocación tiene iniciada una llamada a la AWS API descendente correspondiente CloudTrail, con un nombre de sesión de rol identificable en el formato. token_{spaceId}_{timestamp}_{tokenName}

Limitación de la política de puntos finales de VPC

Los puntos finales del servidor remoto no admiten las políticas de puntos finales de VPC. Las políticas de punto final de la VPC no pueden restringir las llamadas que utilizan tokens de acceso o autenticación SigV4.

Inhabilitar los tokens de acceso

La función de fichas de acceso está desactivada de forma predeterminada. Para deshabilitarla después de habilitarla:

La desactivación bloquea inmediatamente todos los accesos basados en tokens. Los tokens existentes no se eliminan, pero no se pueden usar hasta que se vuelva a activar la función.

Para evitar que los usuarios de su organización habiliten los tokens de acceso, cree una política de control de servicios (SCP) que deniegue las acciones de la API del token de acceso y la UpdateAgentSpace acción (que controla la activación de los tokens de acceso):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Resolución de problemas