本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

连接到 DevOps Agent 远程服务器

AWS DevOps 代理为模型上下文协议 (MCP) 和 Agent-to-Agent (A2A) 协议提供专用的远程服务器。使用这些服务器将 IDE、CLI 或定制代理集成连接到代理空间。

受支持的协议

端点

远程服务器可通过区域 URL 获得：

https://connect.aidevops.{region}.api.aws

有关可用区域的列表，请参阅支持的区域：。

身份验证

MCP 和 A2A 端点都有两种身份验证方法可用：

创建访问令牌

先决条件

启用访问令牌

创建代币

创建令牌后，Web 应用程序会显示一个配置示例，您可以将其直接复制到客户端。

Connect with Kiro

对于 Kiro 用户，可以从 IDE 或 K iro Powers 市场获得专用的AWS DevOps 代理权限。

第 1 步：安装电源

安装来自 Powers 市场的 aws-devops-agent power。

步骤 2：设置环境变量

设置以下环境变量来配置连接：

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

第 3 步：批准 Kiro 中的变量

前往 “设置” > “MCP 批准的环境变量”，然后批准和。DEVOPS_AGENT_TOKEN DEVOPS_AGENT_REGION在环境变量获得批准之前，Kiro 不会将环境变量传递给 MCP 服务器。

第 4 步：重启 Kiro

重启 Kiro 以应用更改。

Kiro 的功能包括后备功能，aws-mcp当远程服务器端点不可用时，它可以直接访问 AWS API。

Connect with Code

对于 Claude 用户， AWS DevOps 代理可通过 aws-agents-for-devseco ps Claude 插件获得，该插件为 Claude 带来了代理和安全代理功能。 AWS DevOps AWS 从 Claude 插件或源代码库中安装它。

连接其他 MCP 客户端

对于任何 MCP-compatible 客户端，请使用以下命令配置服务器：

如果您更喜欢手动配置连接，而不是使用专用电源或插件，则此配置也适用于 Kiro 和 Claude Code。

MCP 配置示例：

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region}替换为您的 Agent Space 的区域（例如us-east-1）和<your-access-token>代币值。

使用 Sigv4 身份验证

Sigv4 身份验证使用您的 AWS 凭证而不是访问令牌。Kiro power 和 Claude Code 插件包括内置的 SigV4 支持mcp-proxy-for-aws，它使用你的本地凭据对请求进行签名。 AWS

当使用 sigv4 时

先决条件

示例配置

要将 MCP 客户端配置为使用 Sigv4 而不是访问令牌，请运行服务器。mcp-proxy-for-aws{region}替换为代理空间的区域（例如，us-east-1）：

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

代理使用您的本地 AWS 凭证对每个请求进行签名，因此不需要访问令牌。

Multi-Agent-Space 路由

在 Sigv4 模式下，传递agent_space_id每个工具调用以指定要使用的代理空间。这使得从单个客户端跨多个代理空间进行路由成为可能。

A2A 集成

A2A 端点使用 HTTP+JSON 绑定实现 A2A v1.0 规范。

代理卡发现

在以下地址取回代理卡：

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

支持的操作

技能

安全注意事项

代币范围界定

IP 许可名单

创建访问令牌时，您可以选择指定 IP 许可名单。配置后，该令牌只能在指定的 IP 地址或 CIDR 范围内使用。来自其他 IP 的请求会被拒绝，并显示拒绝访问错误。

代币轮换和撤销

回应被盗的代币

如果您怀疑令牌已被盗用，请按照以下步骤操作：

以编程方式撤销代币

您也可以使用以编程方式撤消令牌。awscurl以下命令使用 Sigv4 身份验证。将区域 (us-east-1) 替换为创建代理空间的区域。

第 1 步：列出您的代理空间

aws aidevops list-agent-spaces --region us-east-1

步骤 2：列出代理空间的访问令牌

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

第 3 步：撤销代币

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

{accessTokenId}用先前响应中的值替换{agentSpaceId}和。

追溯性

使用访问令牌时， AWS DevOps 代理会代表您扮演一个角色来执行操作。此AssumeRole呼叫 AWS CloudTrail 使用标识令牌和呼叫者的会话标签登录：

两种身份验证方法都不会登录直接 MCP 和 A2A 端点调用。 CloudTrail 每次调用都登录了相应的下游 AWS API 调用 CloudTrail，其格式token_{spaceId}_{timestamp}_{tokenName}为可识别的角色会话名称。

VPC 终端节点策略限制

远程服务器终端节点不支持 VPC 终端节点策略。VPC 终端节点策略无法限制使用访问令牌或 Sigv4 身份验证的呼叫。

禁用访问令牌

默认情况下，访问令牌功能处于关闭状态。要在启用后将其禁用，请执行以下操作：

禁用会立即阻止所有基于令牌的访问。现有令牌不会被删除，但在重新启用该功能之前无法使用。

要防止组织中的用户启用访问令牌，请创建拒绝访问令牌 API 操作和操作（控制访问令牌切换）的UpdateAgentSpace服务控制策略 (SCP)：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

问题排查