Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

WorkSpaces Anwendungen — MCP-Server

Der WorkSpaces Applications MCP-Server ist ein vollständig verwalteter Dienst, der KI-Agenten MCP-Tools (Model Context Protocol) zur Verfügung stellt, mit denen sie während Streaming-Sitzungen mit Desktop-Anwendungen interagieren können. Agenten können auf Schaltflächen klicken, Text eingeben, scrollen und Screenshots vom Desktop machen.

-Übersicht

Wenn Sie den Agentenzugriff auf einem Stack aktivieren, können Agenten eine Verbindung zum verwalteten MCP-Server herstellen, um mit Desktop-Anwendungen zu interagieren. Der MCP-Server wickelt die Kommunikation zwischen Ihrem Agenten und der Streaming-Sitzung ab. Ihr Agent sendet MCP-Tool-Anfragen, und der Server führt sie auf dem Desktop aus.

Der MCP-Server wird in der Cloud gehostet. AWS Sie müssen keine Serverkomponenten installieren oder warten. Der Server verwendet Streamable HTTP als Transportprotokoll.

Der Agentenzugriff unterstützt sowohl nicht domänengebundene als auch domänengebundene Flotten. Die Verbindungsmethode unterscheidet sich je nach Flottentyp. Non-domain-joined Flotten authentifizieren die Sitzung mit einer Streaming-URL, während domänengebundene Flotten sich über den SAML-Verbund authentifizieren. Den Pfad, der zu Ihrer Flotte passt, finden Sie unter. Verbindung zum MCP-Server herstellen

Verbindung zum MCP-Server herstellen

Agenten stellen am folgenden Endpunkt eine Verbindung zum MCP-Server her:

https://agentaccess-mcp.region.api.aws/mcp

Der MCP-Server wird in der AWS Cloud gehostet und verwendet Streamable HTTP als Transportprotokoll. Sie müssen keine Serverkomponenten installieren oder warten.

Für jede Anfrage müssen IAM-Anmeldeinformationen mit dem Dienstnamen SigV4-signed agentaccess-mcp verwendet werden. Das folgende Python-Beispiel zeigt das allgemeine Verbindungsmuster mitmcp-proxy-for-aws:

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        # Fleet-type-specific headers (see the following subsections)
    },
    metadata={
        # Fleet-type-specific metadata (see the following subsections)
    },
) as (read, write, _):
    # Use read/write streams with your MCP client
    ...

Schreiben Sie für andere Sprachen Ihre eigene SigV4-Signaturlogik für ausgehende MCP-Anfragen oder verwenden Sie eine Bibliothek, die SigV4-Signaturen unterstützt. Weitere Informationen dazu finden Sie unter mcp-proxy-for-aws mcp-proxy-for-aws auf. https://github.com/aws/mcp-proxy-for-aws GitHub

Wie Sie die Streaming-Sitzung authentifizieren, hängt von Ihrem Flotten-Typ ab:

Verbindung mit Flotten herstellen, die nicht in eine Domäne eingebunden sind

Generieren Sie für nicht domänengebundene Flotten mithilfe der CreateStreamingURL API eine Streaming-URL und übergeben Sie sie bei jeder Anfrage als Header. X-Amzn-AgentAccess-Streaming-Session-Url Es sind keine agentenspezifischen Parameter erforderlich. Das Agentenverhalten wird durch die Agentenzugriffskonfiguration des Stacks bestimmt.

import boto3
from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# Generate streaming URL
appstream = boto3.client("appstream", region_name="region")
response = appstream.create_streaming_url(
    StackName="stack-name",
    FleetName="fleet-name",
    UserId="user-id",
)
streaming_url = response["StreamingURL"]

# Connect to MCP server
async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,
    },
) as (read, write, _):
    ...

Weitere Informationen zur CreateStreamingURL API finden Sie unter CreateStreaming URL in der Amazon WorkSpaces Applications 2.0 API-Referenz.

Verbindung mit Flotten herstellen, die einer Domäne angehören

Wenn Agenten auf in eine Domäne eingebundene Streaming-Instances zugreifen, muss die Verbindung über einen SAML-Anbieter verbunden werden. Diese Anforderung gilt sowohl für herkömmliche als auch für Agentensitzungen. Für Agentensitzungen Certificate-Based Authentifizierung ist erforderlich.

Da in eine Domäne eingebundene Streaming-Instances Zugriff über SAML benötigen, muss Ihr MCP-Client eine signierte SAML-Assertion anstelle einer Streaming-URL bereitstellen. Kodierte SAML-Assertionen überschreiten die Größenbeschränkungen für HTTP-Header. Um dies zu vermeiden, verwenden Sie das Feld inmetadata: mcp-proxy-for-aws

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# saml_response: your signed, base64-encoded SAML assertion
# stack_arn: the ARN of the AppStream stack for the AD user

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    metadata={
        "saml_response": saml_response,
        "stack_arn": stack_arn,
    },
) as (read, write, _):
    ...

Weitere Informationen zum Einrichten des SAML-Verbundes mit WorkSpaces Anwendungen finden Sie unter Einrichten von SAML im Amazon WorkSpaces Applications Administration Guide. Weitere Informationen und ein vollständiges Arbeitsbeispiel finden Sie im Repository https://github.com/aws-samples/sample-code-for-workspaces-agent-access/tree/main sample-code-for-workspaces-agent-access unter Beispiele auf. AWS GitHub

Verbindungsmodi

Sie können steuern, wie Ihr Agent darauf wartet, dass die Desktop-Sitzung verfügbar wird, indem Sie den X-Amzn-AgentAccess-Connect-Mode Header für Ihre MCP-Anfragen festlegen.

Die folgenden Modi sind verfügbar:

Verwenden Sie den POLLING-Modus, wenn Ihr Agent andere Arbeiten ausführen soll, während er auf die Desktop-Verbindung wartet, oder wenn Sie mehr Kontrolle über das Timeout-Verhalten der Verbindung benötigen.

Das folgende Beispiel zeigt, wie der POLLING-Modus verwendet wird:

# Pass the header when creating the MCP connection
headers = {
    "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,  # non-domain-joined fleets
    "X-Amzn-AgentAccess-Connect-Mode": "POLLING",
}

# After initialize, tools/list returns immediately with connection_status
tools = await session.list_tools()
# tools = [connection_status]

# Poll connection_status until the desktop is ready
while True:
    result = await session.call_tool("connection_status", {})
    status = json.loads(result.content[0].text)
    if status["state"] == "CONNECTED":
        break
    time.sleep(2)

# Now tools/list returns the full set (screenshot, left_click, type_text, etc.)
tools = await session.list_tools()

Bereinigung der Sitzung

Sie können steuern, ob die Streaming-Sitzung abgelaufen ist, wenn Ihr Agent seine Verbindung beendet, indem Sie den X-Amzn-AgentAccess-Expire-Streaming-Session-On-Delete Header für Ihre MCP-Anfragen festlegen. Die folgenden Werte sind verfügbar:

Verfügbare Tools

Der MCP-Server bietet die folgenden Tools, mit denen Agenten während einer Streaming-Sitzung mit dem Desktop interagieren können. Alle Toolnamen verwenden das agentaccess___ Präfix.

Werkzeuge mit der Maus

Werkzeuge auf der Tastatur

Werkzeuge für den Bildschirm

Weiterleitung von MCP-Tools

Die MCP-Tool-Weiterleitung ermöglicht es Agenten, über direkte MCP-Aufrufe mit Anwendungen und dem Desktop-Betriebssystem zu interagieren, anstatt Computertools zu verwenden. Wenn Sie die Tool-Weiterleitung aktivieren, leitet der MCP-Server die in der WorkSpaces Anwendungssitzung konfigurierten Tools an Ihren Agenten weiter.

Einrichtung der Tool-Weiterleitung

So richten Sie die MCP-Tool-Weiterleitung ein:

Überlegungen zur Weiterleitung von MCP-Tools

Beachten Sie bei der Konfiguration der MCP-Tool-Weiterleitung die folgenden Überlegungen:

Wie werden weitergeleitete Tools dem Agenten angezeigt

Um Kollisionen zwischen Servern zu vermeiden, benennt der MCP-Server jedes weitergeleitete Tool in der Toolliste des Agenten nach dem folgenden Muster um:

forwarded___server-name___original-tool-name

Das server-name ist der Schlüssel aus Ihrer Konfigurationsdatei. Ein get_forecast Tool vom weather Server wird beispielsweise als aufgeführtforwarded___weather___get_forecast. Wenn der Agent den weitergeleiteten Namen aufruft, leitet der MCP-Server die Anfrage an das ursprüngliche Tool auf dem eigenen Server weiter. Agentencode, der mit den Toolnamen übereinstimmt, muss mit diesem Präfix rechnen.

IAM-Berechtigungen für die Tool-Weiterleitung

Die IAM-Aktion für den Aufruf weitergeleiteter Tools lautet. CallForwardedTool Sie können den Zugriff auf bestimmte Stacks mithilfe des StackArn Bedingungsschlüssels einschränken:

{
  "Action": "agentaccess-mcp:*",
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "agentaccess-mcp:StackArn": "arn:aws:appstream:region:account-id:stack/stack-name"
    }
  }
}

Kompatible Frameworks

Sie können von jedem MCP-compatible Agent-Framework aus, das Streamable HTTP- und SigV4-Signaturen unterstützt, eine Verbindung zum WorkSpaces Applications MCP-Server herstellen. Die folgenden Frameworks wurden getestet:

Überwachen

Sie können die Agentenaktivität über die folgenden Dienste überwachen:

Erste Schritte

Informationen zu den ersten Schritten mit dem MCP-Server WorkSpaces für Anwendungen finden Sie unter. Beginnen Sie damit, Agenten Zugriff auf Anwendungen zu WorkSpaces gewähren