翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

DevOps Agent リモートサーバーに接続する

AWS DevOps エージェントは、Model Context Protocol (MCP) および Agent-to-Agent (A2A) プロトコル専用のリモートサーバーを提供します。これらのサーバーを使用して、IDE、CLI、またはカスタムエージェント統合をエージェントスペースに接続します。

サポートされるプロトコル

エンドポイント

リモートサーバーは、リージョン URL で利用できます。

https://connect.aidevops.{region}.api.aws

使用可能なリージョンのリストについては、「」を参照してくださいサポートされるリージョン。

認証

MCP エンドポイントと A2A エンドポイントの両方で 2 つの認証方法を使用できます。

アクセストークンを作成する

前提条件

アクセストークンを有効にする

トークンを作成する

トークンを作成すると、ウェブアプリケーションにクライアントに直接コピーできる設定例が表示されます。

Kiro との接続

Kiro ユーザーには、IDE または Kiro Powers マーケットプレイスから専用の AWS DevOps Agent パワーを利用できます。 https://kiro.dev/powers/#aws-devops-agent

ステップ 1: 電源をインストールする

Powers Marketplace から aws-devops-agent power をインストールします。

ステップ 2: 環境変数を設定する

接続を設定するには、次の環境変数を設定します。

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

ステップ 3: Kiro で変数を承認する

設定 > MCP 承認済み Env Vars に移動し、 DEVOPS_AGENT_TOKENと を承認しますDEVOPS_AGENT_REGION。Kiro は、環境変数が承認されるまで MCP サーバーに渡しません。

ステップ 4: Kiro を再起動する

Kiro を再起動して変更を適用します。

Kiro パワーにはフォールバックaws-mcpとして が含まれており、リモートサーバーエンドポイントが使用できない場合に直接 AWS API アクセスを提供します。

Claude コードで接続する

Claude Code ユーザーの場合、 AWS DevOps エージェントは aws-agents-for-devsecops Claude プラグインから使用できます。これにより、 AWS DevOps エージェントと AWS セキュリティエージェントの両方の機能が Claude に取り込まれます。Claude プラグインまたはソースリポジトリからインストールします。

他の MCP クライアントに接続する

MCP 互換クライアントの場合は、以下を使用してサーバーを設定します。

この設定は、専用電源やプラグインを使用する代わりに、手動で接続を設定する場合は、Kiro および Claude Code でも機能します。

MCP 設定の例:

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

をエージェントスペースのリージョン ( などus-east-1) {region}に、 をトークン値<your-access-token>に置き換えます。

SigV4 認証を使用する

SigV4 認証は、アクセストークンの代わりに AWS 認証情報を使用します。Kiro power および Claude Code プラグインには、ローカル AWS 認証情報を使用してリクエストに署名するmcp-proxy-for-aws、 を介した組み込み SigV4 サポートが含まれています。

SigV4 を使用する場合

前提条件

設定例

アクセストークンの代わりに SigV4 を使用するように MCP クライアントを設定するには、 を介してサーバーを実行しますmcp-proxy-for-aws。をエージェントスペースのリージョン (例: us-east-1) {region}に置き換えます。

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

プロキシはローカル AWS 認証情報を使用して各リクエストに署名するため、アクセストークンは必要ありません。

Multi-Agent-Spaceルーティング

SigV4 モードでは、各ツール呼び出しagent_space_idを渡して、使用するエージェントスペースを指定します。これにより、1 つのクライアントから複数のエージェントスペースにルーティングできます。

A2A 統合

A2A エンドポイントは、HTTP+JSON バインディングを使用して A2A v1.0 仕様を実装します。

エージェントカード検出

エージェントカードは次の場所から取得します。

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

サポートされているオペレーション

スキル

セキュリティに関する考慮事項

トークンスコープ

IP 許可リスト

アクセストークンを作成するときは、オプションで IP 許可リストを指定できます。設定すると、トークンは指定された IP アドレスまたは CIDR 範囲からのみ使用できます。他の IPsは、アクセス拒否エラーで拒否されます。

トークンのローテーションと取り消し

侵害されたトークンへの対応

トークンが侵害された疑いがある場合は、次の手順に従います。

プログラムによるトークンの取り消し

を使用してプログラムでトークンを取り消すこともできますawscurl。次のコマンドは SigV4 認証を使用します。リージョン (us-east-1) を、エージェントスペースが作成されたリージョンに置き換えます。

ステップ 1: エージェントスペースを一覧表示する

aws aidevops list-agent-spaces --region us-east-1

ステップ 2: エージェントスペースのアクセストークンを一覧表示する

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

ステップ 3: トークンを取り消す

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

{agentSpaceId} と を前のレスポンスの値{accessTokenId}に置き換えます。

トレーサビリティ

アクセストークンを使用すると、 AWS DevOps Agent はユーザーに代わってロールを引き受けてアクションを実行します。このAssumeRole呼び出しは、トークンと発信者を識別するセッションタグを使用して AWS CloudTrail に記録されます。

直接 MCP および A2A エンドポイント呼び出しは、どちらの認証方法でも CloudTrail には記録されません。各呼び出しには、CloudTrail に記録された対応するダウンストリーム AWS API コールがあり、 形式の識別可能なロールセッション名がありますtoken_{spaceId}_{timestamp}_{tokenName}。

VPC エンドポイントポリシーの制限

リモートサーバーエンドポイントは VPC エンドポイントポリシーをサポートしていません。アクセストークンまたは SigV4 認証のいずれかを使用した呼び出しは、VPC エンドポイントポリシーでは制限できません。

アクセストークンの無効化

アクセストークン機能はデフォルトでオフになっています。有効にした後で無効にするには:

を無効にすると、すべてのトークンベースのアクセスがすぐにブロックされます。既存のトークンは削除されませんが、機能を再度有効にするまで使用できません。

組織内のユーザーがアクセストークンを有効にできないようにするには、アクセストークン API アクションと UpdateAgentSpaceアクション (アクセストークンの切り替えを制御する) を拒否するサービスコントロールポリシー (SCP) を作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

トラブルシューティング