本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

連線至 DevOps Agent 遠端伺服器

AWS DevOps Agent 為模型內容通訊協定 (MCP) 和Agent-to-Agent(A2A) 通訊協定提供專用遠端伺服器。使用這些伺服器將您的 IDE、CLI 或自訂代理程式整合連接到 代理程式空間。

支援的通訊協定

端點

遠端伺服器可在區域 URL 取得：

https://connect.aidevops.{region}.api.aws

如需可用區域的清單，請參閱 支援的區域。

身分驗證

MCP 和 A2A 端點皆可使用兩種身分驗證方法：

建立存取字符

先決條件

啟用存取權杖

建立權杖

建立字符之後，Web 應用程式會顯示組態範例，您可以直接複製到用戶端。

與 Kiro 連線

對於 Kiro 使用者，可以從 IDE 或 Kiro Powers 市集取得專用的 AWS DevOps Agent 電源。

步驟 1：安裝電源

從 Powers 市集安裝 aws-devops-agent 電源。

步驟 2：設定環境變數

設定下列環境變數來設定連線：

DEVOPS_AGENT_TOKEN=<your-access-token>
DEVOPS_AGENT_REGION=<your-agent-space-region>

步驟 3：核准 Kiro 中的變數

前往設定 > MCP 核准的 Env Vars 並核准 DEVOPS_AGENT_TOKEN和 DEVOPS_AGENT_REGION。在環境變數獲得核准之前，Kiro 不會將它們傳遞至 MCP 伺服器。

步驟 4：重新啟動 Kiro

重新啟動 Kiro 以套用變更。

Kiro 電源包含 aws-mcp做為備用，可在遠端伺服器端點無法使用時提供直接 AWS API 存取。

使用 Claude Code 連線

對於 Claude Code 使用者， AWS DevOps Agent 可從 aws-agents-for-devsecops Claude 外掛程式取得，該外掛程式將 AWS DevOps Agent 和 AWS 安全代理程式功能帶入 Claude。從 Claude 外掛程式或來源儲存庫安裝它。

與其他 MCP 用戶端連線

對於任何與 MCP 相容的用戶端，請使用下列項目設定伺服器：

如果您偏好手動設定連線，而不是使用專用電源或外掛程式，則此組態也適用於 Kiro 和 Claude Code。

範例 MCP 組態：

{
  "mcpServers": {
    "aws-devops-agent": {
      "url": "https://connect.aidevops.{region}.api.aws/mcp",
      "headers": {
        "Authorization": "Bearer <your-access-token>"
      }
    }
  }
}

{region} 將 取代為您的 Agent Space 區域 （例如 us-east-1)，並將 <your-access-token>取代為字符值。

使用 SigV4 身分驗證

SigV4 身分驗證使用您的 AWS 登入資料，而非存取字符。Kiro power 和 Claude Code 外掛程式包含透過 的內建 SigV4 支援mcp-proxy-for-aws，這會使用您的本機 AWS 登入資料簽署請求。

使用 SigV4 時

先決條件

範例組態

若要將 MCP 用戶端設定為使用 SigV4 而非存取字符，請透過 執行伺服器mcp-proxy-for-aws。{region} 將 取代為 代理程式空間的區域 （例如 us-east-1)：

{
  "mcpServers": {
    "aws-devops-agent": {
      "command": "uvx",
      "timeout": 120000,
      "args": [
        "mcp-proxy-for-aws@latest",
        "https://connect.aidevops.{region}.api.aws/mcp",
        "--service", "aidevops",
        "--region", "{region}"
      ]
    }
  }
}

代理會使用本機 AWS 登入資料簽署每個請求，因此不需要存取字符。

Multi-Agent-Space路由

在 SigV4 模式中，agent_space_id傳遞每個工具呼叫，以指定要使用的客服人員空間。這可讓您從單一用戶端跨多個客服人員空間進行路由。

A2A 整合

A2A 端點會使用 HTTP+JSON 繫結實作 A2A v1.0 規格。

客服人員卡探索

在以下位置擷取代理程式卡：

GET https://connect.aidevops.{region}.api.aws/.well-known/agent-card.json

受支援的操作

技能

安全考量

權杖範圍

IP 允許清單

建立存取權杖時，您可以選擇指定 IP 允許清單。設定後，字符只能從指定的 IP 地址或 CIDR 範圍使用。來自其他 IPs請求會因存取遭拒錯誤而遭到拒絕。

權杖輪換和撤銷

回應遭到入侵的字符

如果您懷疑字符已洩露，請遵循下列步驟：

以程式設計方式撤銷權杖

您也可以使用 以程式設計方式撤銷權杖awscurl。下列命令使用 SigV4 身分驗證。將區域 (us-east-1) 取代為建立客服人員空間的區域。

步驟 1：列出您的客服人員空間

aws aidevops list-agent-spaces --region us-east-1

步驟 2：列出客服人員空間的存取權杖

awscurl --service aidevops --region us-east-1 \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens"

步驟 3：撤銷權杖

awscurl --service aidevops --region us-east-1 -X POST \
  -H "Accept: application/json" \
  "https://cp.aidevops.us-east-1.api.aws/v1/agentspaces/{agentSpaceId}/access-tokens/{accessTokenId}/revoke"

將 {agentSpaceId}和 取代{accessTokenId}為先前回應中的值。

可追蹤性

使用存取字符時， AWS DevOps 代理程式會代表您擔任角色來執行動作。此AssumeRole呼叫會記錄在具有工作階段標籤的 AWS CloudTrail 中，以識別權杖和呼叫者：

任一身分驗證方法的直接 MCP 和 A2A 端點調用都不會記錄在 CloudTrail 中。每個調用都有記錄在 CloudTrail 中的對應下游 AWS API 呼叫，其可識別的角色工作階段名稱格式為 token_{spaceId}_{timestamp}_{tokenName}。

VPC 端點政策限制

遠端伺服器端點不支援 VPC 端點政策。VPC 端點政策無法限制使用存取字符或 SigV4 身分驗證的呼叫。

停用存取權杖

存取字符功能預設為關閉。若要在啟用後停用它：

停用會立即封鎖所有字符型存取。現有的字符不會刪除，但在重新啟用功能之前無法使用。

為了防止組織中的使用者啟用存取權杖，請建立拒絕存取權杖 API 動作和 UpdateAgentSpace 動作 （控制存取權杖切換） 的服務控制政策 (SCP)：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAccessTokenOperations",
      "Effect": "Deny",
      "Action": [
        "aidevops:UpdateAgentSpace",
        "aidevops:CreateAccessToken",
        "aidevops:GetAccessToken",
        "aidevops:ListAccessTokens",
        "aidevops:RotateAccessToken",
        "aidevops:RevokeAccessToken"
      ],
      "Resource": "*"
    }
  ]
}

疑難排解