acuvity/mcp-server-aws-cdk

mcp-server-aws-cdk 镜像介绍

镜像概述

mcp-server-aws-cdk是专注于AWS CDK最佳实践、基础设施模式及安全合规性的Docker镜像，通过CDK Nag实现安全检查。镜像由Acuvity打包，基于awslabs原始源码构建，保障AWS CDK相关服务的可靠与安全运行。

核心功能

🔐 关键安全特性

📦 隔离不可变沙箱

• 隔离执行：工具在容器化沙箱中运行，防止横向移动。
• 默认非root用户：遵循最小权限原则，降低漏洞影响。
• 只读文件系统：确保运行时不可变性，阻止未授权修改。
• 版本固定：锁定工具与依赖版本，保证部署一致性。
• CVE扫描：通过Docker Scout持续检测已知漏洞。
• SBOM与溯源：提供供应链透明度，嵌入元数据与构建信息。
• 容器签名：使用Cosign实现镜像签名，确保完整性与真实性。

🛡️ 运行时安全防护

• Minibridge集成：建立安全Agent-to-MCP连接，支持Rego/HTTP策略 enforcement。
• 内置Rego策略：提供资源完整性、敏感模式检测等防护（默认仅启用资源完整性，可按需配置）。

使用场景

• IDE集成：支持VS Code、Windsurf IDE、Cursor IDE、Claude Desktop等开发环境。
• 本地部署：Docker本地运行，支持STDIO与HTTP/SSE模式。
• 远程部署：通过Minibridge实现Websocket隧道与MTLS安全连接。
• Kubernetes部署：使用Helm Charts快速部署到集群。

配置说明

🧰 客户端集成示例

Visual Studio Code

用户设置JSON添加：

json
{
  "mcp": {
    "servers": {
      "acuvity-mcp-server-aws-cdk": {
        "command": "docker",
        "args": ["run", "-i", "--rm", "--read-only", "docker.io/acuvity/mcp-server-aws-cdk:1.0.13"]
      }
    }
  }
}

Docker本地运行（HTTP/SSE模式）

bash
docker run -it -p 8000:8000 --rm --read-only docker.io/acuvity/mcp-server-aws-cdk:1.0.13

客户端配置：

json
{
  "mcpServers": {
    "acuvity-mcp-server-aws-cdk": {
      "url": "http://localhost:8000/sse"
    }
  }
}

Kubernetes部署（Helm Charts）

安装命令：

bash
helm install mcp-server-aws-cdk oci://docker.io/acuvity/mcp-server-aws-cdk --version 1.0.0

镜像验证

使用Cosign验证签名：

bash
cosign verify --certificate-oidc-issuer "[***]" --certificate-identity "https://github.com/acuvity/mcp-servers-registry/.github/workflows/release.yaml@refs/heads/main" docker.io/acuvity/mcp-server-aws-cdk:1.0.13