As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando servidores MCP

Os servidores do Model Context Protocol (MCP) ampliam os recursos de investigação do AWS DevOps Agente fornecendo acesso aos dados de suas ferramentas externas de observabilidade, sistemas de monitoramento personalizados e fontes de dados operacionais. Este guia explica como conectar um servidor MCP ao AWS DevOps Agente.

Requisitos

Antes de conectar um servidor MCP, certifique-se de que seu servidor atenda aos seguintes requisitos:

Considerações sobre segurança

Ao conectar servidores MCP ao AWS DevOps Agente, considere estes aspectos de segurança:

Observe que o tamanho máximo do nome da ferramenta de qualquer ferramenta MCP é de 64 caracteres. Para obter o número máximo de ferramentas MCP permitidas por espaço de agente, consulteCotas.

Consulte AWS DevOps Segurança do agente para obter mais informações sobre injeção imediata e o modelo de responsabilidade compartilhada.

Registrando um servidor MCP (nível de conta)

Os servidores MCP são registrados no nível da AWS conta e compartilhados entre todos os Agent Spaces nessa conta. Os Agent Spaces individuais podem então escolher quais ferramentas específicas precisam de cada servidor MCP.

Etapa 1: detalhes do servidor MCP

Etapa 2: fluxo de autorização

Selecione o método de autenticação para seu servidor MCP:

Credenciais do cliente OAuth — Se o seu servidor MCP usa o fluxo de credenciais do cliente OAuth:

OAuth 3LO (Three-Legged OAuth) — Se o seu servidor MCP usa o OAuth 3LO para autenticação:

Chave de API — Se seu servidor MCP usa autenticação de chave de API:

AWS SigV4 — Se o seu servidor MCP usa a autenticação AWS Signature Version 4:

Etapa 3: configuração da autorização

Configure parâmetros de autorização adicionais com base no método de autenticação selecionado:

Para credenciais do cliente OAuth:

Para OAuth 3LO:

Para chave de API:

Para AWS SigV4:

AWS A autenticação SigV4 permite que o AWS DevOps Agente se conecte aos servidores MCP que usam o AWS Signature Versão 4 para assinatura de solicitações. Isso é útil para servidores MCP hospedados por trás do Amazon API Gateway ou outros AWS serviços que oferecem suporte à autenticação SigV4.

Etapa 4: revisar e enviar

Configurando ferramentas MCP em um espaço de agente

Depois de registrar um servidor MCP no nível da conta, você pode configurar quais ferramentas desse servidor estão disponíveis para Agent Spaces específicos:

AWS DevOps Agora, o agente poderá usar as ferramentas da lista de permissões do seu servidor MCP durante as investigações neste Espaço do Agente.

Gerenciando conexões do servidor MCP

Atualização das credenciais de autenticação — Se suas credenciais de autenticação precisarem ser atualizadas, você precisará registrar novamente o servidor MCP. Navegue até a página Capability Providers no console do AWS DevOps agente, localize seu servidor MCP, remova todas as associações ativas e escolha Cancelar registro. Em seguida, registre seu servidor MCP com as novas credenciais de autenticação e recrie todas as associações necessárias com seu Espaço do Agente.

Visualizando servidores MCP conectados — Para ver todos os servidores MCP conectados ao seu Espaço do Agente, selecione seu Espaço do Agente, vá até a guia Capacidades e verifique a seção Servidores MCP. Você também pode atualizar as ferramentas selecionadas aqui.

Removendo conexões do servidor MCP — Para desconectar um servidor MCP de um Espaço do Agente, selecione o servidor na seção Servidores MCP e escolha Remover. Para excluir completamente um registro do servidor MCP, primeiro remova-o de todos os Agent Spaces e, em seguida, exclua o registro no nível da conta.

Criação de uma função do IAM para autenticação SigV4

Ao usar a autenticação AWS SigV4, o AWS DevOps Agente assume uma função do IAM em sua conta para assinar solicitações no seu servidor MCP. Essa função deve ter uma política de confiança que permita que o AWS DevOps agente principal de serviço (aidevops.amazonaws.com) a assuma, com uma proteção adjunta confusa.

Política de confiança

Crie uma função do IAM com a seguinte política de confiança. REGIONSubstitua pela sua AWS região (por exemplo,us-east-1) e ACCOUNT_ID pelo ID AWS da sua conta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "ACCOUNT_ID"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:REGION:ACCOUNT_ID:service/*"
        }
      }
    }
  ]
}

A política de confiança inclui as seguintes condições para evitar o confuso problema do deputado:

Política de permissões

Anexe uma política de permissões à função que conceda as permissões mínimas necessárias para invocar seu servidor MCP. Por exemplo, se seu servidor MCP estiver hospedado por trás do Amazon API Gateway, a função deverá ter execute-api:Invoke permissão no recurso API Gateway.

Multi-region assinatura (Sigv4a)

Se o seu servidor MCP estiver implantado em várias AWS regiões, você poderá usar o SIGV4a (Sigv4a, Signature Version 4a) para assinatura multirregional. Para habilitar isso, insira * como AWS Região ao configurar a autorização SigV4. O Sigv4a usa assinatura assimétrica, o que permite que uma única solicitação assinada seja válida em várias regiões.

Tópicos relacionados