Como executar proxies MCP personalizados serverless no Amazon Bedrock AgentCore Runtime

Governança e controle para agentes de IA via proxies MCP serverless

Ao conectar agentes de inteligência artificial a ferramentas usando o Model Context Protocol (MCP), é possível acessar funcionalidades que vão desde consultas a bancos de dados até integrações com APIs e serviços de terceiros. Em ambientes de produção, essas interações exigem governança adequada, controles rigorosos e observabilidade alinhada às políticas de segurança da organização.

Para atender a essas demandas, a AWS apresenta um método para implantar proxies MCP personalizados em modo serverless no Amazon Bedrock AgentCore Runtime. Essa solução cria uma camada programável para implementar controles, como sanitização de entradas, geração de trilhas de auditoria e redaction de dados sensíveis no nível do protocolo, respeitando normas internas e regulatórias.

Arquitetura do proxy MCP personalizado no AgentCore Runtime

O proxy MCP atua como intermediário entre clientes MCP e servidores MCP upstream. Os clientes interagem com o proxy como fariam com qualquer servidor MCP, enquanto o proxy aplica a lógica personalizada antes de encaminhar as solicitações ao servidor upstream.

Essa separação permite inserir controles customizados no protocolo MCP sem modificar nem o servidor upstream nem o cliente, mantendo a integridade e funcionalidades nativas do servidor principal.

Componentes principais

Cliente MCP: Envia requisições padrão para o proxy.
Proxy MCP no AgentCore Runtime: Aplica a lógica personalizada e encaminha as requisições.
Servidor MCP upstream: Processa as requisições e retorna as respostas; pode ser um AgentCore Gateway, um servidor MCP self-hosted ou um serviço MCP de terceiros.

Fluxo de autenticação e autorização

Agente para proxy MCP: Autenticado via AgentCore Identity, que gerencia identidades e credenciais centralizadas.
Proxy para servidor MCP upstream: Pode usar AWS Signature Version 4 (SigV4) com IAM ou autenticação JWT via OAuth 2.0, conforme configuração do servidor upstream.
Servidor upstream para ferramentas: Utiliza provedores de credenciais do AgentCore Identity para gerenciar tokens OAuth 2.0, chaves de API e rotação automática.

Essa arquitetura segmenta claramente as responsabilidades, permitindo controles customizados no proxy e execução nativa e segura no servidor upstream.

Como funciona o proxy MCP

O proxy é implementado com FastMCP e, ao iniciar, consulta o servidor upstream para listar as ferramentas disponíveis. Em seguida, ele registra localmente essas ferramentas com o mesmo nome e descrição, criando handlers que encaminham as chamadas para o upstream.

Para o cliente MCP, o proxy é indistinguível do servidor upstream, mas permite inserir lógica antes e depois das chamadas, como validações, transformações ou filtragens.

Pré-requisitos para implantação

Ambiente Linux ou macOS com Python 3.12+ instalado.
AWS CLI configurada com credenciais IAM com permissões para criar funções IAM, interagir com Amazon ECR e invocar APIs do Bedrock AgentCore.
AgentCore starter toolkit instalado para empacotamento e implantação de agentes.
Docker instalado para criação da imagem do container do proxy.
Um servidor MCP upstream ativo (exemplo: Amazon Bedrock AgentCore Gateway com pelo menos um target registrado).
Para autenticação OAuth: Amazon Cognito configurado com user pool, domínio e app client usando client credentials grant.

Passo a passo para implantação

Clone o repositório GitHub com a implementação do proxy: https://github.com/aws-samples/sample-mcp-proxy-agentcore-runtime.
Edite o arquivo deploy_config.json para configurar o endpoint MCP do servidor upstream, região AWS, modo de autenticação (IAM ou JWT) e, se aplicável, detalhes do Cognito.
Execute o script automatizado de implantação setup_and_deploy.py para validar pré-requisitos, criar funções IAM, configurar o agente e lançar o proxy no AgentCore Runtime.
Verifique o status do agente proxy com o comando:
```
agentcore status --agent mcp_proxy
```
Utilize o ARN do agente proxy para testes com clientes MCP que irão invocar o proxy.

Modos de autenticação configuráveis

IAM: O proxy assina as requisições para o servidor upstream usando AWS SigV4 com a role IAM herdada no AgentCore Runtime. Não são necessárias credenciais adicionais.

OAuth (JWT): O proxy obtém tokens via client credentials grant do Amazon Cognito e os inclui nos cabeçalhos Authorization das requisições. Requer configuração prévia do Cognito e do servidor upstream para aceitar tokens JWT.

Benefícios e casos de uso

Esse padrão serverless para proxies MCP personalizados oferece:

Reuso de lógica de filtragem e governança já implementada, sem necessidade de refatoração para Lambda.
Portabilidade entre sistemas e ambientes híbridos, com controle centralizado e escalabilidade automática.
Separação clara entre camada de controle (proxy) e execução das ferramentas (servidor upstream).
Observabilidade integrada via Amazon CloudWatch e OpenTelemetry.