acuvity/mcp-server-aws-lambda

mcp-server-aws-lambda镜像说明

镜像概述

该镜像由Acuvity打包，基于awslabs.lambda-mcp-server原始源码构建，提供AWS Lambda与MCP（Model Context Protocol）工具的集成能力，允许用户无需修改代码即可将Lambda函数作为MCP工具运行。镜像具备安全沙箱、运行时防护、基础认证等特性，支持多架构（amd64、arm64）及多种部署方式。

核心功能

隔离不可变沙箱

• 隔离执行：工具在容器化沙箱中运行，实现进程隔离，防止横向移动。
• 默认非root用户：遵循最小权限原则，降低安全漏洞影响。
• 只读文件系统：确保运行时不可变性，防止未授权修改。
• 版本固定：锁定工具及依赖版本，保证部署一致性与可复现性。
• CVE扫描：通过Docker Scout持续扫描已知漏洞，支持主动 mitigation。
• SBOM与溯源：嵌入元数据与可追溯的构建信息，提供供应链透明度。

运行时安全与防护

通过Minibridge集成实现安全连接与策略 enforcement，支持以下防护机制（默认关闭，可通过环境变量启用）：

• 隐蔽指令检测：识别请求中的隐藏/混淆指令。
• 敏感模式检测：拦截敏感数据（如凭证路径、文件系统引用）。
• 影子模式检测：防止***MCP服务器通过工具描述劫持其他可信工具行为。
• ** schema误用预防**：强制遵守MCP输入schema规范。
• 跨源工具访问控制：限制对外部服务的调用。
• 秘密信息脱敏：自动屏蔽日志/响应中的敏感值（如API密钥、令牌）。

基础认证（共享密钥）

通过BASIC_AUTH_SECRET环境变量启用轻量级认证，要求客户端发送包含预定义密钥的Authorization头，适用于开发或内部部署场景。

使用场景

• 开发环境中快速集成Lambda函数作为MCP工具。
• 内部部署中通过安全沙箱运行Lambda工具，保障系统安全。
• 多IDE（VS Code、Cursor等）中提升Copilot体验。

配置说明

必选环境变量

• AWS_PROFILE：AWS配置文件名称。
• AWS_REGION：AWS区域（如cn-north-1）。
• FUNCTION_LIST：允许运行的Lambda函数列表。
• FUNCTION_PREFIX：Lambda函数前缀。
• FUNCTION_TAG_KEY：Lambda函数标签键。
• FUNCTION_TAG_VALUE：Lambda函数标签值。

防护机制启用

通过GUARDRAILS环境变量指定启用的防护机制，例如：

bash
-e GUARDRAILS="secrets-redaction sensitive-pattern-detection"

客户端集成

VS Code（全局配置）

在用户设置JSON中添加：

json
{
  "mcp": {
    "servers": {
      "acuvity-mcp-server-aws-lambda": {
        "env": {
          "AWS_PROFILE": "TO_BE_SET",
          "AWS_REGION": "TO_BE_SET",
          "FUNCTION_LIST": "TO_BE_SET",
          "FUNCTION_PREFIX": "TO_BE_SET",
          "FUNCTION_TAG_KEY": "TO_BE_SET",
          "FUNCTION_TAG_VALUE": "TO_BE_SET"
        },
        "command": "docker",
        "args": [
          "run",
          "-i",
          "--rm",
          "--read-only",
          "-e",
          "AWS_PROFILE",
          "-e",
          "AWS_REGION",
          "-e",
          "FUNCTION_LIST",
          "-e",
          "FUNCTION_PREFIX",
          "-e",
          "FUNCTION_TAG_KEY",
          "-e",
          "FUNCTION_TAG_VALUE",
          "docker.io/acuvity/mcp-server-aws-lambda:1.0.0"
        ]
      }
    }
  }
}

OpenAI Python SDK（本地运行）

python
async with MCPServerStdio(
    params={
        "env": {"AWS_PROFILE":"TO_BE_SET","AWS_REGION":"TO_BE_SET","FUNCTION_LIST":"TO_BE_SET","FUNCTION_PREFIX":"TO_BE_SET","FUNCTION_TAG_KEY":"TO_BE_SET","FUNCTION_TAG_VALUE":"TO_BE_SET"},
        "command": "docker",
        "args": ["run","-i","--rm","--read-only","-e","AWS_PROFILE","-e","AWS_REGION","-e","FUNCTION_LIST","-e","FUNCTION_PREFIX","-e","FUNCTION_TAG_KEY","-e","FUNCTION_TAG_VALUE","docker.io/acuvity/mcp-server-aws-lambda:1.0.0"]
    }
) as server:
    tools = await server.list_tools()

Docker部署示例

本地HTTP/sse模式

bash
docker run -it -p 8000:8000 --rm --read-only -e AWS_PROFILE=<your-profile> -e AWS_REGION=<your-region> -e FUNCTION_LIST=<func-list> -e FUNCTION_PREFIX=<func-prefix> -e FUNCTION_TAG_KEY=<tag-key> -e FUNCTION_TAG_VALUE=<tag-value> docker.io/acuvity/mcp-server-aws-lambda:1.0.0

客户端可通过http://localhost:8000/sse访问。

远程WebSocket隧道（MTLS）

1. 启动后端模式：

bash
docker run -it -p 8000:8000 --rm --read-only -e MINIBRIDGE_MODE=backend -v $PWD/certs:/certs -e MINIBRIDGE_TLS_SERVER_CERT=/certs/server-cert.pem -e MINIBRIDGE_TLS_SERVER_KEY=/certs/server-key.pem -e MINIBRIDGE_TLS_SERVER_CLIENT_CA=/certs/client-ca.pem -e AWS_PROFILE=<your-profile> -e AWS_REGION=<your-region> -e FUNCTION_LIST=<func-list> -e FUNCTION_PREFIX=<func-prefix> -e FUNCTION_TAG_KEY=<tag-key> -e FUNCTION_TAG_VALUE=<tag-value> docker.io/acuvity/mcp-server-aws-lambda:1.0.0

2. 本地启动Minibridge前端（需提前安装Minibridge）：

bash
minibridge frontend --backend wss://<remote-url>:8000/ws --tls-client-backend-ca /path/to/ca.pem --tls-client-cert /path/to/client-cert.pem --tls-client-key /path/to/client-key.pem

Kubernetes部署（Helm）

安装Chart

bash
helm install mcp-server-aws-lambda oci://docker.io/acuvity/mcp-server-aws-lambda --version 1.0.0 --set env.AWS_PROFILE=<your-profile>,env.AWS_REGION=<your-region>,env.FUNCTION_LIST=<func-list>,env.FUNCTION_PREFIX=<func-prefix>,env.FUNCTION_TAG_VALUE=<tag-value>,secrets.FUNCTION_TAG_KEY.value=<tag-key>

集群内可通过http://mcp-server-aws-lambda:8000/sse访问服务。

更多配置细节请参考https://github.com/acuvity/mcp-servers-registry/tree/main/mcp-server-aws-lambda/charts/mcp-server-aws-lambda/README.md%E3%80%82 ===FULL_DESC===