Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione dei server MCP

I server Model Context Protocol (MCP) estendono le capacità di indagine di AWS DevOps Agent fornendo l'accesso ai dati provenienti da strumenti di osservabilità esterni, sistemi di monitoraggio personalizzati e fonti di dati operative. Questa guida spiega come connettere un server MCP all'agente. AWS DevOps

Requisiti

Prima di connettere un server MCP, assicuratevi che il server soddisfi questi requisiti:

Considerazioni relative alla sicurezza

Quando connetti i server MCP all'agente, considera questi aspetti di sicurezza: AWS DevOps

Si noti che la lunghezza massima del nome dell'utensile di qualsiasi strumento MCP è di 64 caratteri. Per il numero massimo di strumenti MCP consentiti per spazio agente, vedere. Quote

AWS DevOps Sicurezza degli agentiPer ulteriori informazioni sull'iniezione tempestiva e sul modello di responsabilità condivisa, vedere.

Registrazione di un server MCP (a livello di account)

I server MCP sono registrati a livello di AWS account e condivisi tra tutti gli Agent Spaces di quell'account. I singoli Agent Spaces possono quindi scegliere gli strumenti specifici di cui hanno bisogno da ciascun server MCP.

Fase 1: Dettagli del server MCP

Fase 2: Flusso di autorizzazione

Seleziona il metodo di autenticazione per il tuo server MCP:

Credenziali del client OAuth: se il server MCP utilizza il flusso di credenziali del client OAuth:

OAuth 3LO (OAuth): se il Three-Legged server MCP utilizza OAuth 3LO per l'autenticazione:

Chiave API: se il server MCP utilizza l'autenticazione tramite chiave API:

AWS SigV4 — Se il server MCP utilizza l'autenticazione AWS Signature Version 4:

Fase 3: Configurazione dell'autorizzazione

Configura parametri di autorizzazione aggiuntivi in base al metodo di autenticazione selezionato:

Per le credenziali del client OAuth:

Per OAuth 3LO:

Per la chiave API:

Per AWS SIGv4:

AWS L'autenticazione SIGv4 consente all' AWS DevOps agente di connettersi ai server MCP che utilizzano la versione 4 di Signature per AWS la firma delle richieste. Ciò è utile per i server MCP ospitati su Amazon API Gateway o altri AWS servizi che supportano l'autenticazione SigV4.

Fase 4: Rivedi e invia

Configurazione degli strumenti MCP in un Agent Space

Dopo aver registrato un server MCP a livello di account, è possibile configurare quali strumenti di quel server sono disponibili per specifici Agent Spaces:

AWS DevOps L'agente sarà ora in grado di utilizzare gli strumenti consentiti dal server MCP durante le indagini in questo Agent Space.

Gestione delle connessioni al server MCP

Aggiornamento delle credenziali di autenticazione: se è necessario aggiornare le credenziali di autenticazione, sarà necessario registrare nuovamente il server MCP. Passate alla pagina Capability Provider nella console dell' AWS DevOps agente, individuate il server MCP, rimuovete eventuali associazioni attive e scegliete Annulla registrazione. Successivamente, registrate il server MCP con le nuove credenziali di autenticazione e ricreate le associazioni necessarie con Agent Space.

Visualizzazione dei server MCP connessi: per vedere tutti i server MCP collegati a Agent Space, seleziona Agent Space, vai alla scheda Funzionalità e controlla la sezione Server MCP. Puoi anche aggiornare gli strumenti selezionati qui.

Rimozione delle connessioni al server MCP: per disconnettere un server MCP da un Agent Space, selezionate il server nella sezione Server MCP e scegliete Rimuovi. Per eliminare completamente una registrazione del server MCP, rimuovila prima da tutti gli Agent Spaces, quindi elimina la registrazione a livello di account.

Creazione di un ruolo IAM per l'autenticazione SigV4

Quando utilizza l'autenticazione AWS SigV4, l' AWS DevOps agente assume un ruolo IAM nell'account per firmare le richieste al server MCP. Questo ruolo deve avere una politica di fiducia che consenta all' AWS DevOps agente service principal (aidevops.amazonaws.com) di assumerlo, con una confusa protezione sostitutiva.

Policy di attendibilità

Crea un ruolo IAM con la seguente politica di fiducia. Sostituiscilo REGION con la tua AWS regione (ad esempious-east-1) e ACCOUNT_ID con l'ID AWS del tuo account.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

La politica di fiducia include le seguenti condizioni per prevenire il confuso problema del vice:

Policy delle autorizzazioni

Allega al ruolo una politica di autorizzazioni che conceda le autorizzazioni minime necessarie per richiamare il server MCP. Ad esempio, se il tuo server MCP è ospitato su Amazon API Gateway, il ruolo deve avere l'execute-api:Invokeautorizzazione sulla risorsa API Gateway.

Multi-region firma (SigV4a)

Se il server MCP è distribuito in più AWS regioni, è possibile utilizzare Sigv4a (Signature Version 4a) per la firma in più regioni. Per abilitare ciò, inserisci * come Regione durante la configurazione dell' AWS autorizzazione SigV4. SigV4a utilizza la firma asimmetrica, che consente a una singola richiesta firmata di essere valida in più regioni.

Argomenti correlati