Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

WorkSpaces Serveur MCP d'applications

Le serveur WorkSpaces Applications MCP est un service entièrement géré qui fournit aux agents IA des outils MCP (Model Context Protocol) pour interagir avec les applications de bureau pendant les sessions de streaming. Les agents peuvent cliquer sur des boutons, saisir du texte, faire défiler l'écran et prendre des captures d'écran du bureau.

Présentation de

Lorsque vous activez l'accès des agents sur une pile, les agents peuvent se connecter au serveur MCP géré pour interagir avec les applications de bureau. Le serveur MCP gère la communication entre votre agent et la session de streaming. Votre agent envoie des demandes d'outils MCP et le serveur les exécute sur le bureau.

Le serveur MCP est hébergé dans le AWS cloud. Vous n'avez pas besoin d'installer ou de gérer les composants du serveur. Le serveur utilise Streamable HTTP comme protocole de transport.

L'accès aux agents prend en charge les flottes ne faisant pas partie d'un domaine ou appartenant à un domaine. La méthode de connexion varie selon le type de parc. Non-domain-joined les flottes authentifient la session à l'aide d'une URL de streaming, tandis que les flottes jointes à un domaine s'authentifient via la fédération SAML. Pour la trajectoire qui correspond à votre flotte, consultezConnexion au serveur MCP.

Connexion au serveur MCP

Les agents se connectent au serveur MCP au point de terminaison suivant :

https://agentaccess-mcp.region.api.aws/mcp

Le serveur MCP est hébergé dans le AWS cloud et utilise Streamable HTTP comme protocole de transport. Vous n'avez pas besoin d'installer ou de gérer les composants du serveur.

Chaque demande doit SigV4-signed utiliser des informations d'identification IAM avec le nom agentaccess-mcp du service. L'exemple Python suivant montre le modèle de connexion général en utilisant mcp-proxy-for-aws :

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        # Fleet-type-specific headers (see the following subsections)
    },
    metadata={
        # Fleet-type-specific metadata (see the following subsections)
    },
) as (read, write, _):
    # Use read/write streams with your MCP client
    ...

Pour les autres langages, écrivez votre propre logique de signature SIGv4 pour les requêtes MCP sortantes ou utilisez une bibliothèque qui prend en charge la signature SIGv4. Pour plus d'informations surmcp-proxy-for-aws, consultez https://github.com/aws/mcp-proxy-for-aws mcp-proxy-for-aws sur. GitHub

La manière dont vous authentifiez la session de streaming dépend du type de votre flotte :

Connexion à des flottes n'appartenant pas à un domaine

Pour les flottes n'appartenant pas à un domaine, générez une URL de streaming à l'aide de l'CreateStreamingURLAPI et transmettez-la comme X-Amzn-AgentAccess-Streaming-Session-Url en-tête de chaque demande. Aucun paramètre spécifique à l'agent n'est requis. Le comportement de l'agent est déterminé par la configuration d'accès à l'agent de la pile.

import boto3
from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# Generate streaming URL
appstream = boto3.client("appstream", region_name="region")
response = appstream.create_streaming_url(
    StackName="stack-name",
    FleetName="fleet-name",
    UserId="user-id",
)
streaming_url = response["StreamingURL"]

# Connect to MCP server
async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    headers={
        "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,
    },
) as (read, write, _):
    ...

Pour plus d'informations sur l'CreateStreamingURLAPI, consultez CreateStreaming l'URL dans le manuel Amazon WorkSpaces Applications 2.0 API Reference.

Connexion à des flottes appartenant à des domaines

Lorsque les agents accèdent à des instances de streaming jointes à un domaine, la connexion doit être fédérée via un fournisseur SAML. Cette exigence s'applique à la fois aux sessions traditionnelles et aux sessions d'agent. Pour les sessions avec les agents, Certificate-Based Authentification c'est obligatoire.

Étant donné que les instances de streaming jointes à un domaine nécessitent un accès via SAML, votre client MCP doit fournir une assertion SAML signée au lieu d'une URL de diffusion. Les assertions SAML codées dépassent les limites de taille d'en-tête HTTP. Pour éviter cela, utilisez le metadata champ dans mcp-proxy-for-aws :

from mcp_proxy_for_aws import aws_iam_streamablehttp_client

# saml_response: your signed, base64-encoded SAML assertion
# stack_arn: the ARN of the AppStream stack for the AD user

async with aws_iam_streamablehttp_client(
    endpoint="https://agentaccess-mcp.region.api.aws/mcp",
    aws_service="agentaccess-mcp",
    aws_region="region",
    metadata={
        "saml_response": saml_response,
        "stack_arn": stack_arn,
    },
) as (read, write, _):
    ...

Pour plus d'informations sur la configuration de la fédération SAML avec WorkSpaces les applications, consultez la section Configuration de SAML dans le guide d'administration d'Amazon WorkSpaces Applications. Pour plus d'informations et un exemple fonctionnel complet, consultez le référentiel sample-code-for-workspaces-agent-access dans Samples on. AWS GitHub

Modes de connexion

Vous pouvez contrôler la façon dont votre agent attend que la session de bureau soit disponible en définissant l'X-Amzn-AgentAccess-Connect-Modeen-tête de vos requêtes MCP.

Les modes suivants sont disponibles :

Utilisez le mode POLLING lorsque vous souhaitez que votre agent effectue d'autres tâches en attendant la connexion au bureau, ou lorsque vous avez besoin de mieux contrôler le comportement du délai d'expiration de la connexion.

L'exemple suivant montre comment utiliser le mode POLLING :

# Pass the header when creating the MCP connection
headers = {
    "X-Amzn-AgentAccess-Streaming-Session-Url": streaming_url,  # non-domain-joined fleets
    "X-Amzn-AgentAccess-Connect-Mode": "POLLING",
}

# After initialize, tools/list returns immediately with connection_status
tools = await session.list_tools()
# tools = [connection_status]

# Poll connection_status until the desktop is ready
while True:
    result = await session.call_tool("connection_status", {})
    status = json.loads(result.content[0].text)
    if status["state"] == "CONNECTED":
        break
    time.sleep(2)

# Now tools/list returns the full set (screenshot, left_click, type_text, etc.)
tools = await session.list_tools()

Nettoyage de session

Vous pouvez contrôler si la session de streaming est expirée lorsque votre agent met fin à sa connexion en définissant l'X-Amzn-AgentAccess-Expire-Streaming-Session-On-Deleteen-tête de vos requêtes MCP. Les valeurs disponibles sont les suivantes :

Outils disponibles

Le serveur MCP fournit les outils suivants permettant aux agents d'interagir avec le poste de travail pendant une session de streaming. Le agentaccess___ préfixe est utilisé pour tous les noms d'outils.

Outils de souris

Outils pour clavier

Outils d'écran

Transfert d'outils MCP

Le transfert d'outils MCP permet aux agents d'interagir avec les applications et le système d'exploitation de bureau par le biais d'appels MCP directs plutôt que d'utiliser des outils informatiques. Lorsque vous activez le transfert d'outils, le serveur MCP transmet les outils configurés lors de la session WorkSpaces d'application à votre agent.

Configuration de la redirection d'outils

Pour configurer le transfert d'outils MCP :

Considérations relatives à la transmission des outils MCP

Prenez en compte les points suivants lorsque vous configurez la redirection d'outils MCP :

Comment les outils transférés apparaissent à l'agent

Pour éviter les collisions entre serveurs, le serveur MCP renomme chaque outil transféré dans la liste d'outils de l'agent selon le schéma suivant :

forwarded___server-name___original-tool-name

server-nameIl s'agit de la clé de votre fichier de configuration. Par exemple, un get_forecast outil du weather serveur est répertorié commeforwarded___weather___get_forecast. Lorsque l'agent appelle le nom transféré, le serveur MCP achemine la demande vers l'outil d'origine sur le serveur propriétaire. Le code d'agent qui correspond aux noms des outils doit s'attendre à ce préfixe.

Autorisations IAM pour le transfert d'outils

L'action IAM pour appeler les outils transférés estCallForwardedTool. Vous pouvez définir l'accès à des piles spécifiques à l'aide de la clé de StackArn condition :

{
  "Action": "agentaccess-mcp:*",
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "agentaccess-mcp:StackArn": "arn:aws:appstream:region:account-id:stack/stack-name"
    }
  }
}

Frameworks compatibles

Vous pouvez vous connecter au serveur WorkSpaces Applications MCP à partir de n'importe quel framework d' MCP-compatible agent prenant en charge la signature HTTP et Sigv4 Streamable. Les frameworks suivants ont été testés :

Contrôle

Vous pouvez surveiller l'activité des agents via les services suivants :

Prise en main

Pour commencer à utiliser le serveur WorkSpaces Applications MCP, consultezCommencez à fournir aux agents un accès aux WorkSpaces applications.