acuvity/mcp-server-aws-cost-analysis

mcp-server-aws-cost-analysis镜像说明

镜像概述

本镜像基于awslabs的cost-analysis-mcp-server项目，由Acuvity打包发布，专注于AWS服务成本估算与洞察，帮助用户实现基础设施的规划与优化。镜像内置多重安全机制，确保运行过程可靠且安全。

核心功能

安全沙箱特性

• 隔离执行：工具在容器化沙箱内运行，实现进程隔离，防止横向移动。
• 默认非root用户：遵循最小权限原则，降低安全漏洞影响范围。
• 只读文件系统：保证运行时不可变性，避免未授权修改。
• 版本固定：锁定工具及依赖版本，确保部署一致性与可复现性。
• CVE扫描：通过Docker Scout持续扫描已知漏洞，支持主动风险缓解。
• SBOM与溯源：嵌入元数据和可追溯的构建信息，提升供应链透明度。

运行时防护（Guardrails）

通过GUARDRAILS环境变量启用防护（默认关闭）：

• covert-instruction-detection：检测请求中的隐藏/混淆指令。
• sensitive-pattern-detection：识别敏感数据（如凭证路径）或文件系统暴露模式。
• shadowing-pattern-detection：阻止***工具描述覆盖其他工具行为。
• schema-misuse-prevention：强制输入数据严格符合MCP schema规范。
• cross-origin-tool-access：控制外部服务/API调用权限。
• secrets-redaction：自动屏蔽日志和响应中的敏感信息（如AWS密钥、JWT）。

基础认证

通过BASIC_AUTH_SECRET环境变量启用共享密钥认证，为端点提供轻量级访问控制（建议搭配TLS使用）。

使用场景

1. 基础设施成本规划：估算AWS服务成本，辅助资源配置决策。
2. 成本优化分析：获取成本洞察，识别资源浪费与优化空间。
3. IDE集成：与VS Code、Windsurf、Cursor等IDE无缝集成，提升开发效率。
4. Kubernetes部署：通过Helm Chart在集群中规模化部署，支持企业级应用。

配置说明

环境变量

• AWS相关：AWS_PROFILE、AWS_REGION、AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN（可选）。
• 防护启用：GUARDRAILS（如"secrets-redaction sensitive-pattern-detection"）。
• 认证设置：BASIC_AUTH_SECRET（如"supersecret"）。

部署示例

Docker本地运行（HTTP/sse模式）

bash
docker run -it -p 8000:8000 --rm --read-only docker.io/acuvity/mcp-server-aws-cost-analysis:1.0.2

客户端配置示例：

json
{
  "mcpServers": {
    "acuvity-mcp-server-aws-cost-analysis": {
      "url": "http://localhost:8000/sse"
    }
  }
}

Helm部署（Kubernetes）

bash
helm install mcp-server-aws-cost-analysis oci://docker.io/acuvity/mcp-server-aws-cost-analysis --version 1.0.0

部署后可通过集群内服务mcp-server-aws-cost-analysis:8000访问。

更多信息

• 维护方：Acuvity团队（打包）、AWSLabs MCP（原项目）。
• 帮助渠道：Acuvity社区***、GitHub仓库。
• 支持架构：amd64、arm64。
• 签名验证：使用cosign验证镜像签名（参考原文档）。