翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

WorkSpaces アプリケーション MCP サーバー

WorkSpaces アプリケーション MCP サーバーは、ストリーミングセッション中にデスクトップアプリケーションとやり取りするためのモデルコンテキストプロトコル (MCP) ツールを AI エージェントに提供するフルマネージドサービスです。エージェントは、ボタンのクリック、テキストの入力、スクロール、デスクトップのスクリーンショットの撮影を行うことができます。

概要

スタックでエージェントアクセスを有効にすると、エージェントはマネージド MCP サーバーに接続してデスクトップアプリケーションとやり取りできます。MCP サーバーは、エージェントとストリーミングセッション間の通信を処理します。エージェントは MCP ツールリクエストを送信し、サーバーはそれらをデスクトップで実行します。

MCP サーバーは AWS クラウドでホストされています。サーバーコンポーネントをインストールまたは保守する必要はありません。サーバーは、Streamable HTTP をトランスポートプロトコルとして使用します。

エージェントアクセスはnon-domain-joinedフリートとドメインに参加していないフリートの両方をサポートします。接続方法はフリートタイプによって異なります。Non-domain-joinedフリートはストリーミング URL でセッションを認証し、ドメインに参加しているフリートは SAML フェデレーションを介して認証します。フリートに一致するパスについては、「」を参照してくださいMCP サーバーへの接続。

MCP サーバーへの接続

エージェントは、次のエンドポイントで MCP サーバーに接続します。

https://agentaccess-mcp.region.api.aws/mcp

MCP サーバーは AWS クラウドでホストされ、Streamable HTTP をトランスポートプロトコルとして使用します。サーバーコンポーネントをインストールまたは保守する必要はありません。

すべてのリクエストは、サービス名 の IAM 認証情報を使用して SigV4-signedされている必要がありますagentaccess-mcp。次の Python の例は、 を使用した一般的な接続パターンを示していますmcp-proxy-for-aws。

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        # Fleet-type-specific headers (see the following subsections)
    },
    metadata={
        # Fleet-type-specific metadata (see the following subsections)
    },
) as (read, write, _):
    # Use read/write streams with your MCP client
    ...

他の言語の場合は、送信 MCP リクエスト用の独自の SigV4 署名ロジックを記述するか、SigV4 署名をサポートするライブラリを使用します。の詳細についてはmcp-proxy-for-aws、GitHub のmcp-proxy-for-aws」を参照してください。

ストリーミングセッションの認証方法は、フリートタイプによって異なります。

non-domain-joinedフリートとの接続

non-domain-joinedフリートの場合、 CreateStreamingURL API を使用してストリーミング URL を生成し、すべてのリクエストでX-Amzn-AgentAccess-Streaming-Session-Urlヘッダーとして渡します。エージェント固有のパラメータは必要ありません。エージェントの動作は、スタックのエージェントアクセス設定によって決まります。

import boto3
from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# Generate streaming URL
appstream = boto3.client("appstream", region_name="region")
response = appstream.create_streaming_url(
    StackName="stack-name",
    FleetName="fleet-name",
    UserId="user-id",
)
streaming_url = response["StreamingURL"]

# Connect to MCP server
async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,
    },
) as (read, write, _):
    ...

CreateStreamingURL API の詳細については、Amazon WorkSpaces Applications 2.0 API Reference」の「CreateStreamingURL」を参照してください。

ドメインに参加しているフリートとの接続

エージェントがドメインに参加しているストリーミングインスタンスにアクセスする場合、接続は SAML プロバイダーを介してフェデレーションされる必要があります。この要件は、標準セッションとエージェントセッションの両方に適用されます。標準セッションでは、ユーザーはパスワードを手動で入力したり、証明書ベースの認証を使用してシームレスなログインエクスペリエンスを実現したりできます。エージェントセッションでは、証明書ベースの認証が必要です。

ドメイン結合ストリーミングインスタンスは SAML 経由でアクセスする必要があるため、MCP クライアントはストリーミング URL の代わりに署名付き SAML アサーションを提供する必要があります。エンコードされた SAML アサーションが HTTP ヘッダーのサイズ制限を超えています。これを回避するには、 の metadataフィールドを使用しますmcp-proxy-for-aws。

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# saml_response: your signed, base64-encoded SAML assertion
# stack_arn: the ARN of the AppStream stack for the AD user

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    metadata={
        "saml_response": saml_response,
        "stack_arn": stack_arn,
    },
) as (read, write, _):
    ...

WorkSpaces アプリケーションを使用した SAML フェデレーションの設定の詳細については、「Amazon WorkSpaces アプリケーション管理ガイド」の「SAML の設定」を参照してください。 Amazon WorkSpaces 詳細と完全な実例については、GitHub の Samples の sample-code-for-workspaces-agent-access AWS リポジトリを参照してください。

接続モード

MCP リクエストで X-Amzn-AgentAccess-Connect-Modeヘッダーを設定することで、エージェントがデスクトップセッションが利用可能になるまでの待機方法を制御できます。

次の方法を使用できます。

デスクトップ接続を待っている間にエージェントが他の作業を実行できるようにする場合、または接続タイムアウト動作をより詳細に制御する必要がある場合は、POLLING モードを使用します。

次の例は、ポーリングモードを使用する方法を示しています。

# Pass the header when creating the MCP connection
headers = {
    "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,  # non-domain-joined fleets
    "X-Amzn-AgentAccess-Connect-Mode": "POLLING",
}

# After initialize, tools/list returns immediately with connection_status
tools = await session.list_tools()
# tools = [connection_status]

# Poll connection_status until the desktop is ready
while True:
    result = await session.call_tool("connection_status", {})
    status = json.loads(result.content[0].text)
    if status["state"] == "CONNECTED":
        break
    time.sleep(2)

# Now tools/list returns the full set (screenshot, left_click, type_text, etc.)
tools = await session.list_tools()

セッションのクリーンアップ

MCP リクエストで X-Amzn-AgentAccess-Expire-Streaming-Session-On-Deleteヘッダーを設定することで、エージェントが接続を終了したときにストリーミングセッションの有効期限が切れるかどうかを制御できます。次の値を使用できます。

使用可能なツール

MCP サーバーには、エージェントがストリーミングセッション中にデスクトップとやり取りするための以下のツールが用意されています。すべてのツール名は agentaccess___ プレフィックスを使用します。

マウスツール

キーボードツール

画面ツール

MCP ツールの転送

MCP ツール転送を使用すると、エージェントはコンピュータ使用ツールを使用するのではなく、直接 MCP 呼び出しを通じてアプリケーションやデスクトップオペレーティングシステムとやり取りできます。ツール転送を有効にすると、MCP サーバーは WorkSpaces アプリケーションセッションで設定されたツールをエージェントに転送します。

ツール転送の設定

MCP ツール転送を設定するには:

ツール転送の IAM アクセス許可

転送されたツールを呼び出すための IAM アクションは ですCallForwardedTool。StackArn 条件キーを使用して、特定のスタックへのアクセスの範囲を設定できます。

{
  "Action": "agentaccess-mcp:*",
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "ponte-mcp:StackArn": "arn:aws:appstream:region:account-id:stack/stack-name"
    }
  }
}

互換性のあるフレームワーク

Streamable HTTP および SigV4 署名をサポートする任意の MCP 互換エージェントフレームワークから WorkSpaces アプリケーション MCP サーバーに接続できます。以下のフレームワークがテストされています。

モニタリング

次のサービスを使用して、エージェントのアクティビティをモニタリングできます。

はじめに

WorkSpaces アプリケーション MCP サーバーの使用を開始するには、「」を参照してくださいWorkSpaces アプリケーションへのアクセス権をエージェントに付与する。