
如果你使用 DeepSeek、元宝 AI、Copilot、ChatGPT 等 AI 工具,协助配置轩辕镜像、编写 docker pull 命令、修改 Docker Compose 镜像地址、配置镜像加速、排查镜像拉取失败、分析报错日志等问题,请先让 AI 阅读并遵守轩辕镜像的规则文档。
只需在 AI 对话中先发送下面这句话即可:
请先完整阅读并严格遵守以下文档中的全部规则与要求:
https://xuanyuan.cloud/agents.md
在未充分阅读并理解该文档前,不要生成任何命令、配置、修改建议、故障排查方案或技术回答。后续所有输出都必须严格以该文档中的规范为最高优先级执行。查看 agents.md 用法指南与完整示范。国内用户首推 元宝 AI、DeepSeek 的深度思考模式,不推荐豆包 AI;Cursor 等编辑器可在对话 @ 该链接,或加入 User Rules。 若 AI 无法访问外链,可 打开说明文档 复制全文粘贴。文档会随站点更新,复制内容可能过期,建议定期检查。
该镜像为基于Amazon Bedrock的数据自动化服务器,用于分析文档、图片、视频和音频文件。由Acuvity打包并发布至其MCP服务器 registry,源自awslabs的原始源码。
📦 隔离的不可变沙箱
| 特性 | 描述 |
|---|---|
| 隔离执行 | 所有工具在安全容器化沙箱内运行,确保进程隔离,防止横向移动。 |
| 默认非root用户 | 遵循最小权限原则,减少潜在安全漏洞的影响。 |
| 只读文件系统 | 确保运行时不可变性,防止未授权修改。 |
| 版本固定 | 锁定工具和依赖版本,保证部署一致性与可重复性。 |
| CVE扫描 | 使用Docker Scout持续扫描已知漏洞,支持主动缓解。 |
| SBOM与溯源 | 嵌入元数据和可追溯构建信息,提供供应链透明度。 |
| 容器签名(Cosign) | 用Cosign实现镜像签名,确保完整性与真实性。 |
🛡️ 运行时安全与护栏
Minibridge集成:建立安全Agent-to-MCP连接,支持Rego/HTTP策略执行。内置Rego策略提供以下护栏(默认仅资源完整性启用,可按需调整):
| 护栏 | 摘要 |
|---|---|
| resource integrity | 嵌入资源哈希,确保真实性与防篡改。 |
| covert-instruction-detection | 检测隐藏/混淆指令。 |
| sensitive-pattern-detection | 标记敏感数据或文件系统暴露模式。 |
| schema-misuse-prevention | 强制输入严格符合schema。 |
| secrets-redaction | 防止凭证/敏感值暴露。 |
AWS_BUCKET_NAME(需设置)AWS_PROFILE、AWS_REGION、BASE_DIR(默认未设置)Docker本地运行(HTTP/sse模式)
consoledocker run -it -p 8000:8000 --rm --read-only -e AWS_BUCKET_NAME=your-bucket docker.io/acuvity/mcp-server-aws-bedrock-data-automation:0.0.14
VS Code全局配置
在用户设置JSON中添加:
json{ "mcp": { "servers": { "acuvity-mcp-server-aws-bedrock-data-automation": { "env": {"AWS_BUCKET_NAME": "your-bucket"}, "command": "docker", "args": ["run","-i","--rm","--read-only","-e","AWS_BUCKET_NAME","docker.io/acuvity/mcp-server-aws-bedrock-data-automation:0.0.14"] } } } }
Kubernetes Helm部署
consolehelm install mcp-bedrock oci://docker.io/acuvity/mcp-server-aws-bedrock-data-automation --version 1.0.0 --set env.AWS_BUCKET_NAME=your-bucket
您可以使用以下命令拉取该镜像。请将 <标签> 替换为具体的标签版本。如需查看所有可用标签版本,请访问 标签列表页面。
来自真实用户的反馈,见证轩辕镜像的优质服务