mcp/aws-terraform

AWS Terraform MCP Server 镜像

1. 镜像概述与主要用途

AWS Terraform MCP Server 镜像提供基于AWS的Terraform最佳实践、基础设施即代码（IaC）模式及安全合规检查能力，集成Checkov工具实现自动化安全扫描。该镜像旨在简化AWS环境下的Terraform工作流管理，支持Terraform/Terragrunt命令执行、安全合规扫描、AWS Provider文档查询及Terraform模块搜索等核心功能，适用于IaC开发、部署与安全审计场景。

MCP Server定义：基于模型上下文协议（Model Context Protocol）的服务端组件，提供标准化工具接口以支持AI应用与基础设施工具链的集成。了解更多

2. 核心特性与基本信息

2.1 基本特性

2.2 核心功能工具

镜像内置7个核心工具，覆盖Terraform工作流、安全扫描、文档查询及模块搜索场景：

3. 使用场景与适用范围

• IaC开发与部署：通过ExecuteTerraformCommand和ExecuteTerragruntCommand执行初始化、计划、部署等操作，管理AWS资源的基础设施即代码生命周期。
• 安全合规审计：使用RunCheckovScan对Terraform代码进行静态安全扫描，确保符合AWS安全最佳实践，规避配置风险。
• 文档快速查询：开发过程中通过SearchAwsProviderDocs或SearchAwsccProviderDocs快速检索AWS资源属性与使用示例，提升开发效率。
• 模块管理与选型：通过SearchSpecificAwsIaModules和SearchUserProvidedModule查找官方或第三方Terraform模块，评估其输入输出与适用场景。

4. 工具详细说明

4.1 ExecuteTerraformCommand

功能：针对AWS账户执行Terraform工作流命令（init、plan、validate、apply、destroy等）。

描述：在指定工作目录中运行Terraform命令，支持自定义变量与AWS区域配置，适用于单模块或独立Terraform项目的生命周期管理。

参数说明

返回值：包含命令输出与执行状态的TerraformExecutionResult对象。

4.2 ExecuteTerragruntCommand

功能：针对AWS账户执行Terragrunt工作流命令，支持多模块管理与远程状态。

描述：扩展Terraform功能，支持远程状态管理、模块依赖解析及多模块批量操作（如run-all），适用于复杂项目的模块化IaC管理。

参数说明

返回值：包含命令输出与执行状态的TerragruntExecutionResult对象。

4.3 RunCheckovScan

功能：对Terraform代码执行Checkov安全扫描，检测合规风险。

描述：基于开源工具Checkov（[***]

参数说明

返回值：包含扫描结果与风险详情的CheckovScanResult对象。

4.4 SearchAwsProviderDocs

功能：搜索AWS Provider文档，获取资源与数据源的详细说明。

描述：检索Terraform AWS Provider官方文档，支持资源（如aws_s3_bucket）和数据源（如aws_ami）的查询，返回描述、示例代码、参数说明及属性列表。支持自动处理前缀（如搜索s3_bucket等效于aws_s3_bucket）。

参数说明

返回值：匹配的文档条目列表，包含资源描述、官方文档URL、示例代码、参数与属性说明。

4.5 SearchAwsccProviderDocs

功能：搜索AWSCC Provider文档，获取基于Cloud Control API的资源信息。

描述：检索Terraform AWSCC Provider文档（基于AWS Cloud Control API），提供资源/数据源的标准化接口信息，支持自动处理前缀（如ec2_instance等效于awscc_ec2_instance）。

参数说明

返回值：匹配的文档条目列表，包含资源描述、官方文档URL、示例代码及 schema 信息（必填/可选属性、嵌套结构等）。

4.6 SearchSpecificAwsIaModules

功能：搜索特定AWS-IA Terraform模块的详细信息。

描述：查询4个预定义的AWS-IA模块（Bedrock、OpenSearch Serverless、SageMaker Endpoint、Serverless Streamlit App），返回模块文档、变量定义、子模块及版本信息，支持基于功能或配置的关键词搜索。

支持的模块：

• aws-ia/bedrock/aws：Amazon Bedrock生成式AI应用模块
• aws-ia/opensearch-serverless/aws：OpenSearch Serverless向量搜索模块
• aws-ia/sagemaker-endpoint/aws：SageMaker端点部署模块
• aws-ia/serverless-streamlit-app/aws：无服务器Streamlit应用部署模块

参数说明

返回值：匹配模块列表，包含名称、版本、README内容、变量说明、子模块信息及发布详情。

4.7 SearchUserProvidedModule

功能：分析用户提供的Terraform Registry模块，获取输入输出与使用方法。

描述：通过模块URL（格式：namespace/name/provider，如hashicorp/consul/aws）解析Terraform Registry模块，返回输入变量、输出变量、README文档及版本信息，支持指定模块版本与变量分析。

参数说明

返回值：包含模块详情的SearchUserProvidedModuleResult对象，包含输入输出参数、文档内容及版本信息。

5. 部署与使用方法

5.1 Docker运行示例

通过Docker命令直接运行镜像，执行工具命令（以下为基础示例，具体参数需根据工具需求调整）：

bash
docker run -i --rm \
  -v $(pwd):/workdir \  # 挂载本地工作目录（含Terraform代码）
  -e AWS_REGION=us-east-1 \  # 配置AWS区域
  -e AWS_ACCESS_KEY_ID=your-access-key \  # 配置AWS凭证（生产环境建议使用IAM角色）
  -e AWS_SECRET_ACCESS_KEY=your-secret-key \
  mcp/aws-terraform \
  ExecuteTerraformCommand \
    --command "plan" \
    --working_directory "/workdir" \
    --variables "instance_type=t3.micro,environment=dev"

5.2 MCP Server配置示例

在支持Model Context Protocol的环境中，通过以下配置集成该镜像（JSON格式）：

json
{
  "mcpServers": {
    "aws-terraform": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-v", "${workdir}:/workdir",  # 动态挂载工作目录
        "mcp/aws-terraform"
      ]
    }
  }
}

5.3 工具调用示例

示例1：执行Terraform Plan

bash
# 在当前目录执行Terraform Plan，指定变量与区域
docker run -i --rm -v $(pwd):/tf mcp/aws-terraform ExecuteTerraformCommand \
  --command "plan" \
  --working_directory "/tf" \
  --aws_region "us-west-2" \
  --variables "vpc_id=vpc-12345,subnet_ids=subnet-67890"

示例2：运行Checkov扫描

bash
# 扫描当前目录的Terraform代码，输出JSON格式结果
docker run -i --rm -v $(pwd):/tf mcp/aws-terraform RunCheckovScan \
  --working_directory "/tf" \
  --output_format "json" \
  --skip_check_ids "CKV_AWS_21,CKV_AWS_53"  # 跳过特定检查

示例3：搜索AWS Provider文档

bash
# 搜索AWS S3 Bucket资源文档
docker run -i --rm mcp/aws-terraform SearchAwsProviderDocs \
  --asset_name "aws_s3_bucket" \
  --asset_type "resource"

6. 许可证

本镜像基于Apache License 2.0许可协议开源，详见https://github.com/awslabs/mcp/blob/main/LICENSE%E3%80%82