Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connexion de serveurs MCP

Les serveurs MCP (Model Context Protocol) étendent les capacités d'investigation de l' AWS DevOps agent en fournissant un accès aux données provenant de vos outils d'observabilité externes, de vos systèmes de surveillance personnalisés et de vos sources de données opérationnelles. Ce guide explique comment connecter un serveur MCP à l' AWS DevOps agent.

Exigences

Avant de connecter un serveur MCP, assurez-vous que celui-ci répond aux exigences suivantes :

Considérations sur la sécurité

Lorsque vous connectez des serveurs MCP à l' AWS DevOps agent, tenez compte des aspects de sécurité suivants :

Veuillez noter que la longueur maximale du nom d'outil de tout outil MCP est de 64 caractères. Pour connaître le nombre maximal d'outils MCP autorisés par espace d'agent, consultezQuotas.

Consultez AWS DevOps Sécurité des agents pour plus d'informations sur l'injection rapide et le modèle de responsabilité partagée.

Enregistrement d'un serveur MCP (au niveau du compte)

Les serveurs MCP sont enregistrés au niveau du AWS compte et partagés entre tous les agents Spaces de ce compte. Chaque agent Spaces peut ensuite choisir les outils spécifiques dont il a besoin sur chaque serveur MCP.

Étape 1 : détails du serveur MCP

Étape 2 : flux d'autorisation

Sélectionnez la méthode d'authentification pour votre serveur MCP :

Informations d'identification du client OAuth — Si votre serveur MCP utilise le flux d'informations d'identification du client OAuth :

OAuth 3LO (Three-Legged OAuth) — Si votre serveur MCP utilise OAuth 3LO pour l'authentification :

Clé d'API — Si votre serveur MCP utilise l'authentification par clé d'API :

AWS SigV4 — Si votre serveur MCP utilise l'authentification AWS Signature Version 4 :

Étape 3 : Configuration de l'autorisation

Configurez des paramètres d'autorisation supplémentaires en fonction de la méthode d'authentification sélectionnée :

Pour les informations d'identification du client OAuth :

Pour OAuth 3LO :

Pour la clé API :

Pour AWS SigV4 :

AWS L'authentification SigV4 permet à AWS DevOps l'agent de se connecter aux serveurs MCP qui utilisent AWS Signature Version 4 pour la signature des demandes. Cela est utile pour les serveurs MCP hébergés derrière Amazon API Gateway ou d'autres AWS services prenant en charge l'authentification Sigv4.

Étape 4 : Réviser et soumettre

Configuration des outils MCP dans un espace d'agents

Après avoir enregistré un serveur MCP au niveau du compte, vous pouvez configurer les outils disponibles sur ce serveur pour des agents Spaces spécifiques :

AWS DevOps L'agent pourra désormais utiliser les outils autorisés de votre serveur MCP lors d'enquêtes dans cet espace d'agents.

Gestion des connexions au serveur MCP

Mise à jour des informations d'authentification — Si vos informations d'authentification doivent être mises à jour, vous devrez réenregistrer votre serveur MCP. Accédez à la page Capability Providers dans la console de l' AWS DevOps agent, localisez votre serveur MCP, supprimez toutes les associations actives et choisissez Désenregistrer. Enregistrez ensuite votre serveur MCP avec les nouvelles informations d'authentification et recréez toutes les associations nécessaires avec votre espace agent.

Affichage des serveurs MCP connectés : pour voir tous les serveurs MCP connectés à votre espace agent, sélectionnez votre espace agent, accédez à l'onglet Fonctionnalités et consultez la section Serveurs MCP. Vous pouvez également mettre à jour les outils sélectionnés ici.

Suppression des connexions au serveur MCP — Pour déconnecter un serveur MCP d'un espace agent, sélectionnez le serveur dans la section Serveurs MCP et choisissez Supprimer. Pour supprimer complètement un enregistrement de serveur MCP, supprimez-le d'abord de tous les agents Spaces, puis supprimez l'enregistrement au niveau du compte.

Création d'un rôle IAM pour l'authentification SigV4

Lorsque vous utilisez l'authentification AWS SigV4, AWS DevOps l'agent assume un rôle IAM dans votre compte pour signer les demandes adressées à votre serveur MCP. Ce rôle doit être régi par une politique de confiance qui permet au principal du service de l' AWS DevOps agent (aidevops.amazonaws.com) de l'assumer, avec confusion quant à la protection des adjoints.

Politique d’approbation

Créez un rôle IAM avec la politique de confiance suivante. Remplacez REGION par votre AWS région (par exemple,us-east-1) et ACCOUNT_ID par votre numéro de AWS compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

La politique de confiance inclut les conditions suivantes pour éviter le problème de confusion des adjoints :

Politique d’autorisations

Attachez au rôle une politique d'autorisation qui accorde les autorisations minimales requises pour appeler votre serveur MCP. Par exemple, si votre serveur MCP est hébergé derrière Amazon API Gateway, le rôle doit disposer d'une execute-api:Invoke autorisation sur la ressource API Gateway.

Multi-region signature (SigV4A)

Si votre serveur MCP est déployé dans plusieurs AWS régions, vous pouvez utiliser SigV4a (Signature Version 4a) pour la signature multirégionale. Pour l'activer, entrez * en tant que AWS région lors de la configuration de l'autorisation SigV4. SigV4a utilise la signature asymétrique, ce qui permet à une seule demande signée d'être valide dans plusieurs régions.

Rubriques en relation