Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conexión de servidores MCP

Los servidores Model Context Protocol (MCP) amplían las capacidades de investigación del AWS DevOps agente al proporcionar acceso a los datos de sus herramientas de observabilidad externas, sistemas de monitoreo personalizados y fuentes de datos operativos. Esta guía explica cómo conectar un servidor MCP a Agent. AWS DevOps

Requisitos

Antes de conectar un servidor MCP, asegúrese de que el servidor cumpla estos requisitos:

Consideraciones de seguridad

Al conectar los servidores MCP al agente, tenga en cuenta estos aspectos de seguridad: AWS DevOps

Tenga en cuenta que la longitud máxima de cualquier herramienta MCP es de 64.

Consulte AWS DevOps Seguridad del agente para obtener más información sobre la inyección rápida y el modelo de responsabilidad compartida.

Registrar un servidor MCP (a nivel de cuenta)

Los servidores MCP se registran a nivel de AWS cuenta y se comparten entre todos los espacios de agentes de esa cuenta. A continuación, los espacios de agentes individuales pueden elegir qué herramientas específicas necesitan de cada servidor MCP.

Paso 1: Detalles del servidor MCP

Paso 2: Flujo de autorización

Seleccione el método de autenticación para su servidor MCP:

OAuth Credenciales de cliente: si su servidor MCP usa el flujo de credenciales de OAuth cliente:

OAuth 3LO (de tres patas OAuth): si su servidor MCP utiliza OAuth 3LO para la autenticación:

Clave API: si su servidor MCP utiliza la autenticación mediante clave API:

AWS SigV4: si su servidor MCP utiliza la autenticación AWS Signature versión 4:

Paso 3: Configuración de la autorización

Configure parámetros de autorización adicionales en función del método de autenticación seleccionado:

Para las credenciales OAuth del cliente:

Para OAuth 3LO:

Para la clave de API:

Para AWS SiGv4:

AWS La autenticación SigV4 permite al AWS DevOps agente conectarse a los servidores MCP que utilizan la versión 4 de AWS Signature para la firma de solicitudes. Esto resulta útil para los servidores MCP alojados detrás de Amazon API Gateway u otros AWS servicios que admiten la autenticación SigV4.

Paso 4: Revisar y enviar

Configuración de las herramientas de MCP en un espacio de agentes

Tras registrar un servidor MCP a nivel de cuenta, puede configurar qué herramientas de ese servidor están disponibles en espacios de agente específicos:

AWS DevOps El agente ahora podrá utilizar las herramientas permitidas de su servidor MCP durante las investigaciones en este espacio de agentes.

Administrar las conexiones del servidor MCP

Actualización de las credenciales de autenticación: si es necesario actualizar sus credenciales de autenticación, tendrá que volver a registrar el servidor MCP. Vaya a la página Proveedores de capacidades de la consola del AWS DevOps agente, localice su servidor MCP, elimine cualquier asociación activa y haga clic en Anular el registro. A continuación, registre su servidor MCP con las nuevas credenciales de autenticación y vuelva a crear las asociaciones necesarias con su espacio de agente.

Visualización de los servidores MCP conectados: para ver todos los servidores MCP conectados a su espacio de agente, seleccione su espacio de agente, vaya a la pestaña Capacidades y consulte la sección Servidores MCP. También puede actualizar las herramientas seleccionadas aquí.

Eliminar las conexiones del servidor MCP: para desconectar un servidor MCP de un espacio de agentes, seleccione el servidor en la sección Servidores MCP y haga clic en Eliminar. Para eliminar por completo el registro de un servidor MCP, elimínelo primero de todos los Agent Spaces y, a continuación, elimine el registro a nivel de cuenta.

Crear un rol de IAM para la autenticación SigV4

Al utilizar la autenticación AWS SigV4, el AWS DevOps agente asume una función de IAM en su cuenta para firmar las solicitudes dirigidas a su servidor MCP. Esta función debe tener una política de confianza que permita que el director de servicio del AWS DevOps agente (aidevops.amazonaws.com) la asuma, con una confusa protección supletoria.

Política de confianza

Cree un rol de IAM con la siguiente política de confianza. REGIONSustitúyalo por tu AWS región (por ejemplous-east-1) y ACCOUNT_ID por tu ID de AWS cuenta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

La política de confianza incluye las siguientes condiciones para evitar el confuso problema de los diputados:

Política de permisos

Adjunte una política de permisos al rol que otorgue los permisos mínimos necesarios para invocar su servidor MCP. Por ejemplo, si su servidor MCP está alojado detrás de Amazon API Gateway, el rol debe tener execute-api:Invoke permiso en el recurso API Gateway.

Firma multirregional (SigV4a)

Si su servidor MCP está desplegado en varias AWS regiones, puede utilizar el SiGv4a (versión 4a de la firma) para la firma en varias regiones. Para habilitarlo, introduzca * como AWS región al configurar la autorización de SiGv4. SiGV4a utiliza la firma asimétrica, que permite que una sola solicitud firmada sea válida en varias regiones.

Temas relacionados