acuvity/mcp-server-aws-eks

ARC容器包含https://github.com/acuvity/mcp-servers-registry/tree/main/mcp-server-aws-eks/docker/policy.rego%EF%BC%8C%E6%8F%90%E4%BE%9B%E4%B8%80%E7%BB%84%E8%BF%90%E8%A1%8C%E6%97%B6%E2%80%9C%E9%98%B2%E6%8A%A4%E6%A0%8F%E2%80%9D%EF%BC%8C%E5%B8%AE%E5%8A%A9%E6%89%A7%E8%A1%8C%E6%9C%8D%E5%8A%A1%E7%9A%84%E5%AE%89%E5%85%A8%E3%80%81%E9%9A%90%E7%A7%81%E5%92%8C%E6%AD%A3%E7%A1%AE%E4%BD%BF%E7%94%A8%E8%A7%84%E5%88%99%E3%80%82%E4%BB%A5%E4%B8%8B%E6%98%AF%E5%90%84%E9%98%B2%E6%8A%A4%E6%A0%8F%E7%9A%84%E6%A6%82%E8%BF%B0%EF%BC%9A

🔒 资源完整性

缓解MCP Rug Pull***

• 目标: 保护用户免受初始批准后***工具描述变更的影响，防止安装后操纵或欺骗。
• 机制: 客户端批准后锁定工具描述，并在执行前验证其完整性。任何描述修改都会触发安全违规，阻止服务器端更新的未授权变更。

🛡️ 防护栏

隐蔽指令检测

监控传入请求中的隐藏或混淆指令，防止改变策略行为。

• 目标: 阻止***者在看似无害的数据中插入未被注意的命令或 payload。
• 机制: 对完整请求体应用正则表达式库和二进制编码检查。若任何模式匹配已知隐蔽通道（如隐写标记、隐藏HTML标签、转义序列技巧），则拒绝请求。

敏感模式检测

阻止用户定义的敏感数据模式（凭证路径、文件系统引用）。

• 目标: 阻止意外或***包含违反数据处理规则的敏感信息。
• 机制: 对所有payload和工具描述运行精选正则表达式，匹配.env文件、RSA密钥路径、目录遍历序列等模式。

影子模式检测

检测并阻止“影子”***——***MCP服务器在自身工具描述中插入隐藏指令，劫持或覆盖其他可信工具的行为。

• 目标: 阻止服务器通过嵌入指令改变不同服务器工具的操作逻辑（如强制所有邮件发送到者地址，即使用户调用单独的send_email工具）。
• 机制: 策略加载时，扫描每个工具描述中的跨工具覆盖模式（如引用其他工具名称的部分、隐藏副作用或应用于其他服务器API的指令）。任何试图影子或扩展自身命名空间外工具指令的描述都会触发策略违规并被拒绝。

schema误用预防

强制严格遵守MCP输入schema。

• 目标: 防止格式错误或意外字段绕过验证、导致运行时错误或注入***。
• 机制: 将每个传入JSON对象与声明的schema（必填属性、允许键、类型）比较。任何额外、缺失或类型错误的字段都会立即触发策略违规。

跨源工具访问

控制工具是否可调用外部源的工具或服务。

• 目标: 阻止调用不可信或超出范围的服务。
• 机制: 检查工具调用请求和传出调用，验证每个目标是否在批准的域名或服务名称允许列表中。任何非批准源的调用都会被阻止。

secrets脱敏

自动屏蔽敏感值，使其不会出现在日志或响应中。

• 目标: 确保API密钥、令牌、密码等凭证不会以明文泄露。
• 机制: 扫描所有文本输出中的已知secret格式（如AWS密钥、GitHub PAT、JWT）。匹配项在响应发送或记录前被替换为[REDACTED]。

这些控制确保了强大的运行时完整性，防止未授权行为，并为安全设计的系统操作提供基础。

启用防护栏

要在Docker容器中激活防护栏，定义GUARDRAILS环境变量，指定所需的保护：

示例：添加-e GUARDRAILS="secrets-redaction sensitive-pattern-detection"以启用这些防护栏。

🔒 基于共享密钥的基础认证

使用单一共享令牌提供轻量级认证层。

• 机制: 期望客户端发送带有预定义密钥的Authorization头。
• 使用场景: 在开发或简单内部部署中快速锁定端点——无需复杂的OAuth/OIDC设置。

要开启基础认证，定义BASIC_AUTH_SECRET环境变量并设置共享密钥。示例：添加-e BASIC_AUTH_SECRET="supersecret"启用基础认证。

虽然基础认证可防止未授权访问，但应仅在受控环境中使用，频繁轮换凭证并始终使用TLS。

全局范围

按ctrl + shift + p并输入Preferences: Open User Settings JSON，添加以下部分：

json
{
  "mcp": {
    "servers": {
      "acuvity-mcp-server-aws-eks": {
        "command": "docker",
        "args": [
          "run",
          "-i",
          "--rm",
          "--read-only",
          "docker.io/acuvity/mcp-server-aws-eks:0.1.5"
        ]
      }
    }
  }
}

工作区范围

在工作区创建.vscode/mcp.json文件，添加以下部分：

json
{
  "servers": {
    "acuvity-mcp-server-aws-eks": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "--read-only",
        "docker.io/acuvity/mcp-server-aws-eks:0.1.5"
      ]
    }
  }
}

要传递密钥，应使用Visual Studio Code文档中描述的promptString输入类型。

远程运行

python
async with MCPServerSse(
    params={
        "url": "http://<ip>:<port>/sse",
    }
) as server:
    tools = await server.list_tools()

更多信息见https://openai.github.io/openai-agents-python/mcp/%E3%80%82

1. 以backend模式启动服务器：

   • 添加环境变量-e MINIBRIDGE_MODE=backend
   • 通过卷（如-v $PWD/certs:/certs）添加TLS证书（推荐）
   • 指示minibridge使用这些证书：
     • -e MINIBRIDGE_TLS_SERVER_CERT=/certs/server-cert.pem
     • -e MINIBRIDGE_TLS_SERVER_KEY=/certs/server-key.pem
     • -e MINIBRIDGE_TLS_SERVER_KEY_PASS=optional
     • -e MINIBRIDGE_TLS_SERVER_CLIENT_CA=/certs/client-ca.pem

2. 本地以frontend模式启动minibridge：

   • 获取适用于您OS的https://github.com/acuvity/minibridge%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E3%80%82

在客户端配置中，Minibridge像任何其他STDIO命令一样工作。例如Claude Desktop：

json
{
  "mcpServers": {
    "acuvity-mcp-server-aws-eks": {
      "command": "minibridge",
      "args": ["frontend", "--backend", "wss://<remote-url>:8000/ws", "--tls-client-backend-ca", "/path/to/ca/that/signed/the/server-cert.pem/ca.pem", "--tls-client-cert", "/path/to/client-cert.pem", "--tls-client-key", "/path/to/client-key.pem"]
    }
  }
}

就这样。Minibridge提供了许多额外功能。如需分步指南，请访问wiki。如有任何不清楚的地方，欢迎联系我们！

可选环境变量:

• AWS_PROFILE="" 可通过env.AWS_PROFILE=""更改
• AWS_REGION="" 可通过env.AWS_REGION=""更改

安装方法

您可以查看Chart的README：

console
helm show readme oci://docker.io/acuvity/mcp-server-aws-eks --version 1.0.0

您可以查看可配置的values：

console
helm show values oci://docker.io/acuvity/mcp-server-aws-eks --version 1.0.0

使用Helm安装：

console
helm install mcp-server-aws-eks oci://docker.io/acuvity/mcp-server-aws-eks --version 1.0.0

默认情况下，您的MCP服务器mcp-server-aws-eks可通过集群内的Kubernetes服务mcp-server-aws-eks在端口8000上通过http/sse访问。您可以通过查看values.yaml文件的service部分进行更改。

监控方法

部署将创建带有healthPort的Kubernetes服务，用于存活探针和就绪探针。此健康端口也可用于您选择的监控栈，并在/metrics路径下暴露指标。

有关设置和运行时安全（包括防护栏激活）的更多详细信息，请参见完整的charts https://github.com/acuvity/mcp-servers-registry/tree/main/mcp-server-aws-eks/charts/mcp-server-aws-eks/README.md%E3%80%82