Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

WorkSpaces Serveur MCP pour applications

Le serveur WorkSpaces Applications MCP est un service entièrement géré qui fournit aux agents d'intelligence artificielle des outils MCP (Model Context Protocol) pour interagir avec les applications de bureau pendant les sessions de streaming. Les agents peuvent cliquer sur des boutons, saisir du texte, faire défiler l'écran et prendre des captures d'écran du bureau.

Présentation de

Lorsque vous activez l'accès des agents sur une pile, les agents peuvent se connecter au serveur MCP géré pour interagir avec les applications de bureau. Le serveur MCP gère la communication entre votre agent et la session de streaming. Votre agent envoie des demandes d'outil MCP et le serveur les exécute sur le poste de travail.

Le serveur MCP est hébergé dans le AWS cloud. Il n'est pas nécessaire d'installer ou de gérer les composants du serveur. Le serveur utilise Streamable HTTP comme protocole de transport.

L'accès aux agents prend en charge à la fois les flottes non jointes à un domaine et les flottes jointes à un domaine. La méthode de connexion varie selon le type de flotte. Non-domain-joined les flottes authentifient la session à l'aide d'une URL de streaming, tandis que les flottes jointes à un domaine s'authentifient via la fédération SAML. Pour le trajet correspondant à votre flotte, voirConnexion au serveur MCP.

Connexion au serveur MCP

Les agents se connectent au serveur MCP au point de terminaison suivant :

https://agentaccess-mcp.region.api.aws/mcp

Le serveur MCP est hébergé dans le AWS cloud et utilise Streamable HTTP comme protocole de transport. Il n'est pas nécessaire d'installer ou de gérer les composants du serveur.

Chaque demande doit SigV4-signed utiliser les informations d'identification IAM associées au nom agentaccess-mcp du service. L'exemple Python suivant montre le modèle de connexion général en utilisant mcp-proxy-for-aws :

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        # Fleet-type-specific headers (see the following subsections)
    },
    metadata={
        # Fleet-type-specific metadata (see the following subsections)
    },
) as (read, write, _):
    # Use read/write streams with your MCP client
    ...

Pour les autres langages, écrivez votre propre logique de signature Sigv4 pour les requêtes MCP sortantes ou utilisez une bibliothèque qui prend en charge la signature Sigv4. Pour plus d'informations surmcp-proxy-for-aws, consultez mcp-proxy-for-aws sur. GitHub

La manière dont vous authentifiez la session de streaming dépend du type de flotte :

Connexion avec des flottes n'appartenant pas à un domaine

Pour les flottes n'appartenant pas à un domaine, générez une URL de streaming à l'aide de l'CreateStreamingURLAPI et transmettez-la comme X-Amzn-AgentAccess-Streaming-Session-Url en-tête de chaque demande. Aucun paramètre spécifique à l'agent n'est requis. Le comportement de l'agent est déterminé par la configuration d'accès aux agents de la pile.

import boto3
from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# Generate streaming URL
appstream = boto3.client("appstream", region_name="region")
response = appstream.create_streaming_url(
    StackName="stack-name",
    FleetName="fleet-name",
    UserId="user-id",
)
streaming_url = response["StreamingURL"]

# Connect to MCP server
async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,
    },
) as (read, write, _):
    ...

Pour plus d'informations sur l'CreateStreamingURLAPI, consultez CreateStreamingl'URL dans le manuel Amazon WorkSpaces Applications 2.0 API Reference.

Connexion avec des flottes jointes à un domaine

Lorsque les agents accèdent à des instances de streaming jointes à un domaine, la connexion doit être fédérée via un fournisseur SAML. Cette exigence s'applique à la fois aux sessions standard et aux sessions d'agent. Les sessions standard permettent aux utilisateurs de saisir leur mot de passe manuellement ou d'utiliser l'authentification basée sur des certificats pour une expérience de connexion fluide. Pour les sessions d'agent, une authentification basée sur des certificats est requise.

Étant donné que les instances de streaming jointes à un domaine nécessitent un accès via SAML, votre client MCP doit fournir une assertion SAML signée au lieu d'une URL de streaming. Les assertions SAML codées dépassent les limites de taille des en-têtes HTTP. Pour éviter cela, utilisez le metadata champ dans mcp-proxy-for-aws :

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# saml_response: your signed, base64-encoded SAML assertion
# stack_arn: the ARN of the AppStream stack for the AD user

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    metadata={
        "saml_response": saml_response,
        "stack_arn": stack_arn,
    },
) as (read, write, _):
    ...

Pour plus d'informations sur la configuration de la fédération SAML avec WorkSpaces les applications, consultez la section Configuration de SAML dans le guide d'administration d'Amazon WorkSpaces Applications. Pour plus d'informations et un exemple de fonctionnement complet, consultez le référentiel sample-code-for-workspaces-agent-access dans Samples on. AWS GitHub

Modes de connexion

Vous pouvez contrôler la façon dont votre agent attend que la session de bureau soit disponible en définissant l'X-Amzn-AgentAccess-Connect-Modeen-tête de vos demandes MCP.

Les modes suivants sont disponibles :

Utilisez le mode POLLING lorsque vous souhaitez que votre agent effectue d'autres tâches en attendant la connexion au poste de travail ou lorsque vous avez besoin de mieux contrôler le comportement en cas d'expiration de la connexion.

L'exemple suivant montre comment utiliser le mode POLLING :

# Pass the header when creating the MCP connection
headers = {
    "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,  # non-domain-joined fleets
    "X-Amzn-AgentAccess-Connect-Mode": "POLLING",
}

# After initialize, tools/list returns immediately with connection_status
tools = await session.list_tools()
# tools = [connection_status]

# Poll connection_status until the desktop is ready
while True:
    result = await session.call_tool("connection_status", {})
    status = json.loads(result.content[0].text)
    if status["state"] == "CONNECTED":
        break
    time.sleep(2)

# Now tools/list returns the full set (screenshot, left_click, type_text, etc.)
tools = await session.list_tools()

Nettoyage de session

Vous pouvez contrôler si la session de streaming expire lorsque votre agent met fin à sa connexion en définissant l'X-Amzn-AgentAccess-Expire-Streaming-Session-On-Deleteen-tête de vos demandes MCP. Les valeurs disponibles sont les suivantes :

Outils disponibles

Le serveur MCP fournit les outils suivants permettant aux agents d'interagir avec le bureau pendant une session de streaming. Tous les noms d'outils utilisent le agentaccess___ préfixe.

Outils pour souris

Outils de clavier

Outils d'écran

Transfert d'outils MCP

Le transfert d'outils MCP permet aux agents d'interagir avec les applications et le système d'exploitation du bureau par le biais d'appels MCP directs plutôt que d'utiliser des outils informatiques. Lorsque vous activez le transfert d'outils, le serveur MCP transmet les outils configurés lors de la session WorkSpaces d'application à votre agent.

Configuration du transfert d'outils

Pour configurer le transfert d'outils MCP :

Autorisations IAM pour le transfert d'outils

L'action IAM pour appeler les outils transférés estCallForwardedTool. Vous pouvez définir l'accès à des piles spécifiques à l'aide de la clé de StackArn condition :

{
  "Action": "agentaccess-mcp:*",
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "ponte-mcp:StackArn": "arn:aws:appstream:region:account-id:stack/stack-name"
    }
  }
}

Frameworks compatibles

Vous pouvez vous connecter au serveur WorkSpaces Applications MCP à partir de n'importe quel framework d' MCP-compatible agents prenant en charge la signature HTTP et SigV4 streamable. Les frameworks suivants ont été testés :

Contrôle

Vous pouvez surveiller l'activité des agents par le biais des services suivants :

Mise en route

Pour commencer à utiliser le serveur WorkSpaces Applications MCP, consultezCommencez à fournir aux agents un accès aux WorkSpaces applications.