Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connectez-vous aux serveurs distants de DevOps l'agent

AWS DevOps L'agent fournit des serveurs distants dédiés pour les protocoles Model Context Protocol (MCP) et Agent-to-Agent (A2A). Utilisez ces serveurs pour connecter votre IDE, votre CLI ou vos intégrations d'agents personnalisées à un agent Space.

Protocoles pris en charge

Points de terminaison

Les serveurs distants sont disponibles via une URL régionale :

https://connect.aidevops.{region}.api.aws

Pour consulter la liste des régions disponibles, consultezRégions prises en charge.

Authentification

Deux méthodes d'authentification sont disponibles pour les points de terminaison MCP et A2A :

Création d'un jeton d'accès

Conditions préalables

Activer les jetons d'accès

Création d'un jeton

Après avoir créé un jeton, l'application Web affiche un exemple de configuration que vous pouvez copier directement dans votre client.

Connect avec Kiro

Pour les utilisateurs de Kiro, un pouvoir d'AWS DevOps agent dédié est disponible depuis l'IDE ou sur le marché Kiro Powers.

Étape 1 : Installation de l'alimentation

Installez aws-devops-agent power depuis le Powers Marketplace.

Étape 2 : définir les variables d'environnement

Définissez les variables d'environnement suivantes pour configurer la connexion :

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

Étape 3 : Approuver les variables dans Kiro

Accédez à Paramètres > Variateurs d'environnement approuvés par MCP et approuvez et. DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION Kiro ne transmet pas les variables d'environnement aux serveurs MCP tant qu'elles ne sont pas approuvées.

Étape 4 : Redémarrer Kiro

Redémarrez Kiro pour appliquer les modifications.

La puissance de Kiro inclut aws-mcp une solution de secours, qui fournit un accès direct à l' AWS API lorsque le point de terminaison du serveur distant n'est pas disponible.

Connectez-vous à Claude Code

Pour les utilisateurs de Claude Code, AWS DevOps l'agent est disponible à partir du plugin aws-agents-for-devsecops Claude, qui intègre à la fois les fonctionnalités d'agent et d' AWS DevOps agent de sécurité dans Claude. AWS Installez-le à partir des plugins Claude ou du référentiel source.

Connectez-vous à d'autres clients MCP

Pour tout MCP-compatible client, configurez le serveur avec :

Cette configuration fonctionne également avec Kiro et Claude Code si vous préférez configurer la connexion manuellement au lieu d'utiliser l'alimentation ou le plugin dédié.

Exemple de configuration MCP :

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}Remplacez-le par la région de votre espace agent (par exemple,us-east-1) et <your-access-token> par la valeur du jeton.

Utiliser l'authentification SigV4

L'authentification SigV4 utilise vos AWS informations d'identification au lieu d'un jeton d'accès. Les plugins Kiro Power et Claude Code incluent le support SigV4 intégrémcp-proxy-for-aws, qui signe les demandes à l'aide de vos informations d'identification locales AWS .

Quand SigV4 est utilisé

Conditions préalables

Exemple de configuration

Pour configurer un client MCP afin qu'il utilise SigV4 au lieu d'un jeton d'accès, lancez le serveur. mcp-proxy-for-aws Remplacez {region} par la région de votre espace d'agent (par exemple,us-east-1) :

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

Le proxy signe chaque demande avec vos AWS informations d'identification locales, aucun jeton d'accès n'est donc requis.

Multi-Agent-Space routage

En mode SigV4, agent_space_id transmettez chaque appel d'outil pour spécifier l'espace agent à utiliser. Cela permet de naviguer entre plusieurs agents Spaces à partir d'un seul client.

Intégration A2A

Le point de terminaison A2A implémente la spécification A2A v1.0 à l'aide de la liaison HTTP/JSON.

Découverte des cartes d'agent

Récupérez la carte d'agent à l'adresse suivante :

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

Opérations prises en charge

Skills

Considérations sur la sécurité

Délimitation de la portée des jetons

Liste d'adresses IP autorisées

Lorsque vous créez un jeton d'accès, vous pouvez éventuellement spécifier une liste d'adresses IP autorisées. Une fois configuré, le jeton ne peut être utilisé qu'à partir des adresses IP ou des plages CIDR spécifiées. Les demandes provenant d'autres adresses IP sont rejetées avec un message d'erreur de refus d'accès.

Rotation et révocation des jetons

Répondre à un jeton compromis

Si vous pensez qu'un jeton a été compromis, procédez comme suit :

Révocation des jetons par programme

Vous pouvez également révoquer les jetons par programme à l'aide de. awscurl Les commandes suivantes utilisent l'authentification Sigv4. Remplacez la région (us-east-1) par la région dans laquelle votre espace d'agent est créé.

Étape 1 : Répertoriez vos espaces d'agent

aws aidevops list-agent-spaces --region us-east-1

Étape 2 : Répertorier les jetons d'accès pour un espace d'agents

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

Étape 3 : révoquer un jeton

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

Remplacez {agentSpaceId} et {accessTokenId} par les valeurs des réponses précédentes.

Traçabilité

Lorsqu'un jeton d'accès est utilisé, AWS DevOps l'agent assume un rôle en votre nom pour effectuer des actions. Cet AssumeRole appel est connecté AWS CloudTrail avec des balises de session qui identifient le jeton et l'appelant :

Les appels directs aux points de terminaison MCP et A2A ne sont enregistrés CloudTrail pour aucune des deux méthodes d'authentification. À chaque appel correspond un appel d' AWS API en aval connecté CloudTrail, avec un nom de session de rôle identifiable au formattoken_{spaceId}_{timestamp}_{tokenName}.

Limitation de la politique des points de terminaison VPC

Les points de terminaison du serveur distant ne prennent pas en charge les politiques de point de terminaison VPC. Les appels utilisant des jetons d'accès ou l'authentification Sigv4 ne peuvent pas être restreints par les politiques de point de terminaison du VPC.

Désactiver les jetons d'accès

La fonctionnalité des jetons d'accès est désactivée par défaut. Pour le désactiver après l'avoir activé :

La désactivation bloque immédiatement tous les accès basés sur des jetons. Les jetons existants ne sont pas supprimés mais ne peuvent pas être utilisés tant que la fonctionnalité n'est pas réactivée.

Pour empêcher les utilisateurs de votre organisation d'activer les jetons d'accès, créez une politique de contrôle des services (SCP) qui refuse les actions de l'API des jetons d'accès et l'UpdateAgentSpaceaction (qui contrôle le basculement des jetons d'accès) :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

Résolution des problèmes