Intégration du protocole MCP (Model Context Protocol)

Un point de terminaison de serveur MCP doté d'un accès approprié.

Informations d'authentification pour le serveur MCP, si nécessaire. Pour de plus amples informations, veuillez consulter Préparation de la configuration et de l'authentification du serveur MCP.

Un abonnement Amazon Quick Enterprise.

Si vous vous connectez à un serveur MCP privé, une connexion Amazon Quick VPC active disposant d'un accès réseau au serveur MCP. Pour de plus amples informations, veuillez consulter Configuration des connexions VPC dans Amazon Quick Sight.

Le connecteur réussit la découverte mais échoue lors de la publication avec Creation failed : cette erreur signifie généralement qu'une ou plusieurs définitions d'outils figurant dans la tools/list réponse de votre serveur MCP contiennent une valeur non valideinputSchema. Amazon Quick valide chaque outil par inputSchema rapport à JSON Schema Draft 7 ou version ultérieure pendant la phase de publication.

La cause la plus courante est la syntaxe obsolète du Draft 3, où required figure un booléen dans une définition de propriété (par exemple,). "required": true Dans JSON Schema Draft 7 et versions ultérieures, required il doit s'agir d'un tableau de noms de propriétés à la racine du schéma, en tant que frère deproperties.

Mettez à jour vos définitions d'outils pour utiliser le format correct et redéployez votre serveur MCP. Après le redéploiement, supprimez le connecteur défaillant et créez-en un nouveau pour relancer la découverte et la publication.

L'exemple suivant montre la syntaxe incorrecte du Draft 3 :

{
  "type": "object",
  "properties": {
    "logNumber": {
      "type": "string",
      "description": "The permit log number",
      "required": true
    }
  }
}

L'exemple suivant montre la syntaxe correcte du Draft 7 :

{
  "type": "object",
  "properties": {
    "logNumber": {
      "type": "string",
      "description": "The permit log number"
    }
  },
  "required": ["logNumber"]
}

Certaines bibliothèques de framework MCP et certains générateurs de code émettent la syntaxe Draft 3 par défaut. Consultez la documentation de votre framework pour connaître l'option qui sélectionne la version de sortie du schéma JSON. Vous pouvez également valider vos schémas avec n'importe quel validateur JSON Schema Draft 7 avant de les déployer. Pour plus d'informations sur inputSchema les exigences, consultez la section Outils de la spécification du protocole Model Context.

Vous remarquerez peut-être également que la création du connecteur se bloque pendant deux à cinq minutes avant d'échouer. Le temps écoulé reflète les tentatives internes pendant la phase de publication, et non un délai d'expiration du réseau. Le correctif est le même : vérifiez la conformité de vos inputSchema définitions d'outils avec le schéma JSON Draft 7.

La connexion VPC n'est pas répertoriée dans la liste déroulante Type de connexion, ou la création de MCP échoue immédiatement après sa sélection. La connexion VPC peut apparaître dans la liste déroulante avant que le provisionnement ne soit terminé. Attendez que la connexion VPC apparaisse comme disponible sur la page d'administration d'Amazon Quick avant de créer une intégration MCP par rapport à celle-ci. Pour de plus amples informations, veuillez consulter Configuration des connexions VPC dans Amazon Quick Sight.

La création de MCP échoue car le nom d'hôte du serveur MCP ne peut pas être résolu. Amazon Quick n'utilise pas le résolveur DNS VPC par défaut pour les intégrations MCP. Vous devez renseigner le champ Points de terminaison du résolveur DNS sur la connexion VPC avec les adresses IP des points de terminaison entrants du résolveur Route 53 qui peuvent résoudre le nom d'hôte de votre serveur MCP. Cette exigence s'applique à la fois aux noms d'hôtes privés et aux noms d'hôtes publics que vous souhaitez convertir en adresse privée depuis le VPC, tels que les points de terminaison situés devant ou une zone hébergée privée AWS PrivateLink Route 53. Sans ces points de terminaison du résolveur, le nom d'hôte du serveur MCP ne peut pas être résolu et la création de l'intégration échoue. Pour de plus amples informations, veuillez consulter Configuration des connexions VPC dans Amazon Quick Sight.

Le serveur MCP est inaccessible depuis la connexion VPC. Le trafic d'Amazon Quick vers votre serveur MCP provient des sous-réseaux que vous avez sélectionnés lors de la configuration de la connexion VPC. Vérifiez que les tables de routage, les ACL réseau et les groupes de sécurité autorisent le trafic entre ces sous-réseaux et le point de terminaison du serveur MCP. Pour obtenir des conseils généraux sur la mise en réseau VPC, consultez. Configuration des connexions VPC dans Amazon Quick Sight

L'authentification échoue lorsque vous utilisez un serveur MCP privé — Lorsque vous vous connectez à un serveur MCP privé via une connexion VPC, les points de terminaison OAuth utilisés par le serveur MCP doivent toujours être accessibles via l'Internet public. Cela s'applique à la fois à l'authentification utilisateur (points de terminaison d'autorisation et de jeton) et à l'authentification de service (point de terminaison de jeton). Les fournisseurs OAuth privés ne sont pas pris en charge. Vérifiez que les URL OAuth renvoyées par votre serveur MCP dans ses métadonnées de ressources protégées sont résolues sur l'Internet public.

AADSTS9010010— le point de terminaison v2.0 rejette le paramètre de ressource — Amazon Quick envoie un resource paramètre sur les requêtes OAuth conformément à la spécification MCP (RFC 8707). Le point de terminaison Entra ID v2.0 rejette les demandes qui incluent à la fois un resource paramètre et des scope valeurs. Pour résoudre cette erreur, configurez l'enregistrement de votre application pour utiliser les points de terminaison OAuth Entra ID v1.0 et définissez-le 2 dans le manifeste accessTokenAcceptedVersion de l'application.

AADSTS90009— l'application demande un jeton pour elle-même — Lorsque vous utilisez l'authentification utilisateur (flux de code d'autorisation) et que le client OAuth et la ressource MCP se résolvent vers la même application Entra ID, Entra ID bloque la demande. Créez deux enregistrements d'applications distincts : une application client pour Amazon Quick et une application de ressources pour le serveur MCP. Ce problème n'affecte pas l'authentification du service (flux d'informations d'identification du client), qui fonctionne avec l'enregistrement d'une seule application.

Les opérations MCP ont un délai d'expiration fixe de 60 secondes. Les opérations qui dépassent cette limite échouent automatiquement avec une erreur HTTP 424.

Pour les serveurs MCP auxquels vous pouvez accéder via une connexion VPC, les points de terminaison OAuth utilisés par le serveur MCP doivent être accessibles via Internet public. Cela s'applique à la fois à l'authentification des utilisateurs et à l'authentification des services. Les fournisseurs OAuth privés ne sont pas pris en charge.

Les en-têtes HTTP personnalisés ne sont pas pris en charge dans les opérations MCP. Seuls les en-têtes système standard sont transmis.

Les listes d'outils restent statiques après l'enregistrement initial. Pour prendre en compte les modifications apportées aux outils côté serveur, vous devez supprimer l'intégration et la recréer.

La création du connecteur peut échouer si l'URI de rappel Amazon Quick n'est pas répertoriée par des fournisseurs tiers.

Les problèmes de connectivité du serveur entraînent une défaillance immédiate sans nouvelle tentative.

Step-up l'autorisation n'est pas prise en charge. Si un serveur MCP nécessite des étendues supplémentaires après l'autorisation initiale (HTTP 403 avecinsufficient_scope), vous devez réautoriser l'intégralité de la connexion. Les mises à niveau d'autorisations incrémentielles ne sont pas disponibles.

La gestion du scope présente les limites suivantes :

Seul l'enregistrement dynamique des clients (DCR) est pris en charge pour l'enregistrement automatique des clients. Les documents de métadonnées d'identification du client ne sont pas pris en charge.

Well-known La découverte d'URI utilise uniquement le chemin racine du serveur. Path-specific les emplacements de métadonnées (découverte par insertion de chemins) ne sont pas pris en charge. Cette limitation peut empêcher la découverte de serveurs qui fournissent des métadonnées uniquement sur des URI spécifiques à un chemin.