Was ist AWS MCP Server?
Der AWS MCP Server ist ein verwalteter Remote-Server, Teil des Agent Toolkit for AWS, das im Mai 2026 allgemein verfügbar wurde. Er bietet acht Tools: fünf reine Lese-Tools für Wissen, nämlich Dokumentationssuche, kuratierte AWS-Skills und regionale Verfügbarkeit, und drei API-Tools, allen voran aws___run_script, das Python mit Zugriff auf AWS-APIs in einer Sandbox ausführt. Jeder authentifizierte Aufruf wird durch deine bestehenden IAM-Richtlinien autorisiert und in CloudTrail protokolliert.
Er läuft inzwischen in acht Regionen (N. Virginia, Oregon, Frankfurt, Irland, London, Singapur, Sydney und Tokio), statt der zwei zum Start genannten. Du kannst dich direkt per OAuth 2.1 über AWS Sign-in verbinden oder den lokalen MCP Proxy for AWS (uvx mcp-proxy-for-aws-cli@latest) betreiben, um Requests mit SigV4 zu signieren, was für den Nur-Lese-Modus und Profile über mehrere Konten nötig ist.
Das ältere Repository awslabs/mcp mit stdio-Servern für einzelne Dienste gibt es weiterhin, und es nimmt Beiträge an, aber AWS nennt das Agent Toolkit seinen Nachfolger und bittet Nutzer, die Server AWS API und AWS Knowledge zu entfernen, um Konflikte zwischen Tools zu vermeiden.
AWS MCP Server installieren
https://aws-mcp.us-east-1.api.aws/mcpLohnt sich AWS MCP Server?
Das ist jetzt der Server, mit dem man auf AWS anfängt, und das Argument dafür ist IAM, nicht die Zahl der Tools. Der Server definiert keine eigenen IAM-Aktionen. Er authentifiziert den Request, versieht ihn mit den Condition Keys aws:ViaAWSMCPService und aws:CalledViaAWSMCP und lässt den nachgelagerten Dienst ihn gegen deine bestehenden Richtlinien autorisieren. Ein Security-Team kann daher eine SCP schreiben, die Schreibvorgänge über MCP verbietet und den Konsolenzugang desselben Engineers unberührt lässt, etwas, das kein AWS-Server von Dritten bieten kann.
Die Designentscheidung, die am meisten zählt, ist aws___run_script. Statt Hunderter Tools pro Dienst schreibt der Agent Python, das AWS-APIs aufruft, und der Server führt es in einer Sandbox aus. Das hält die Liste bei acht Tools und passt zu mehrstufigen Aufgaben, aber wer einen Tool-Aufruf freigibt, liest jetzt Code statt einer benannten Aktion wie "delete bucket". Der Nur-Lese-Modus, der die schreibfähigen Tools verbirgt, funktioniert nur über den SigV4-Proxy, nicht über OAuth.
Die Kontingente sind für einen Entwickler großzügig und für eine Flotte knapp. Authentifizierter Verkehr ist auf 10 Requests pro Sekunde pro Konto und Region begrenzt, ein Limit, das AWS nicht anhebt, bei 100 gleichzeitigen Verbindungen pro Konto. Dateien, die der Server verarbeitet, liegen bis zu 8 Stunden auf flüchtigem Speicher, nur mit von AWS verwalteten Keys, und FIPS-Endpunkte werden nicht unterstützt, was ihn für manche regulierte Workloads ausschließt.
Die Umgebung drumherum ist die Schwachstelle. Das Repository awslabs/mcp hat 13 Sicherheits-Advisories veröffentlicht, darunter im September 2026 eine kritische Umgehung des Nur-Lese-Modus in seinem Postgres-Server, und ein Fehler mittlerer Schwere bei der Eigentümerschaft von S3-Buckets (CVE-2026-87912) traf ein DevSecOps-Plugin im Toolkit selbst. Für den verwalteten Server ist kein Advisory veröffentlicht, aber ein Team, das ihn mit älteren Labs-Servern mischt, erbt auch deren Bilanz.
Wo es sich lohnt
Ein Platform Engineer in einem SaaS-Unternehmen mit 30 Leuten auf AWS
Herausfinden, warum eine Lambda-Funktion nach dem Deployment von gestern Nacht fehlschlägt
Der Agent ruft die Helfer diagnose, get_recent_changes und search_logs der Serverless-Funktion auf, die Metriken mit einer 7-Tage-Basislinie vergleichen und aus CloudTrail und CloudFormation auflisten, wer was geändert hat. Das ist nur lesend und über die üblichen Kosten für CloudWatch und X-Ray hinaus kostenlos und erspart es, Logs, Traces und Änderungshistorie von Hand zusammenzusetzen.
Ein Cloud Security Lead bei einem regulierten Fintech
Entwickler in gemeinsamen Konten Coding-Agenten nutzen lassen, ohne den Agenten Schreibrechte zu geben
Eine SCP verbietet ändernde Aktionen, wenn aws:ViaAWSMCPService wahr ist; ein Engineer behält also Schreibzugriff in der Konsole, während sein Agent nur lesen darf, und CloudTrail hält jeden Aufruf über MCP für das Audit fest. Die Lücke ist FIPS, das der Server nicht unterstützt.
Ein Start-up-CTO mit einem Entwickler und AWS-Activate-Guthaben
Eine erste Serverless-API aufsetzen, ohne vorher CloudFormation zu lernen
Die verwaltete Richtlinie AWSMCPSignInOAuthAccessPolicy anhängen, Claude Code per OAuth verbinden und den Agenten den aws-core-Skills für CDK und Serverless folgen lassen. Der Server kostet nichts; das Risiko ist die Rechnung, denn ein Agent mit einer Admin-Rolle kann alles starten, grenz die Rolle also vor dem ersten Prompt ein.
Bevor du dich festlegst
- Einrichtung
- Über OAuth https://aws-mcp.us-east-1.api.aws/mcp in Claude Code, Kiro CLI oder Devin hinzufügen (Cursor, VS Code, Codex und Claude Desktop hängen ?oauth=initialize an), nachdem die Richtlinie AWSMCPSignInOAuthAccessPolicy angehängt wurde. SigV4 braucht AWS CLI 2.32.0 oder neuer plus uv, und AWS warnt, dass die erste Verbindung ein paar Minuten dauern kann.
- Integrationen
- Acht Tools: fünf reine Lese-Tools für Wissen (search_documentation, read_documentation, retrieve_skill, list_regions, get_regional_availability) und drei API-Tools (run_script, get_presigned_url, get_tasks), die über 300+ Dienste lesen oder schreiben können, dazu eine nur lesende Serverless-Fehlerdiagnose für Lambda.
- Daten und Datenschutz
- Ein zustandsloser Proxy, der mit deinen Zugangsdaten handelt; Dateien liegen höchstens 8 Stunden auf verschlüsseltem flüchtigem Speicher und werden von keinem dauerhaften Speicher genutzt. run_script kann alles lesen, was deine Rolle lesen kann, auch Logs und S3-Objekte, die eingeschleuste Anweisungen enthalten können, die eigentliche Grenze ist also die IAM-Rolle.
- Kosten im großen Maßstab
- Keine Gebühr für Server oder Toolkit; du zahlst die normalen Preise für das, was der Agent anlegt oder liest. Zuerst bremst der Durchsatz: 10 authentifizierte Requests pro Sekunde pro Konto und Region, 180 gleichzeitige Sitzungen pro Konto und 90 pro IAM-Principal, wobei nur die Sitzungskontingente anpassbar sind.
- Grenzen
- Nicht authentifizierte Aufrufer bekommen nur die Dokumentations-Tools, mit 5 Requests pro Sekunde pro IP. OAuth-Tokens gelten 1 Stunde und lassen sich bis zu 12 erneuern, und OAuth kann nicht zwischen Profilen verschiedener Konten wechseln. Der Launch-Beitrag vom Mai 2026 nennt zwei Regionen; die Liste von acht in der Einrichtungsanleitung ist aktuell.
Was gut ist
- IAM-Condition-Keys lassen Richtlinien gezielt nur Agentenaufrufe treffen
- CloudTrail protokolliert jeden Request; Nutzungsmetriken in CloudWatch
- OAuth in acht Regionen, ein lokaler Proxy ist also nicht nötig
- Keine Kosten über die genutzten AWS-Ressourcen hinaus
Was nicht
- Nur-Lese-Modus und mehrere Konten brauchen den SigV4-Proxy
- Die Grenze von 10 Requests/Sekunde pro Konto ist nicht anpassbar
- Keine FIPS-Endpunkte und keine kundenverwalteten KMS-Keys
- Ältere Labs-Server überschneiden sich und haben eigene Advisories
Am besten für
Teams auf AWS, die Agenten Ressourcen unter den IAM-Richtlinien und dem Audit-Trail, die sie schon haben, erkunden, aufbauen und betreiben lassen wollen.
Alternativen zu AWS MCP Server
AWS MCP Server: häufige Fragen
- Lohnt sich AWS MCP Server?
- IAM-Condition-Keys, die Aufrufe von Agenten von denen von Menschen unterscheiden, machen ihn zu dem AWS-Server, auf den man sich festlegen sollte; das Risiko sind die älteren Labs-Server um ihn herum. Wir bewerten es mit 4.4 von 5.
- Was kostet AWS MCP Server?
- Keine Gebühr für Server oder Toolkit; du zahlst die normalen Preise für die AWS-Ressourcen, die deine Agenten anlegen oder nutzen.
- Welche Nachteile hat AWS MCP Server?
- Nur-Lese-Modus und mehrere Konten brauchen den SigV4-Proxy; Die Grenze von 10 Requests/Sekunde pro Konto ist nicht anpassbar; Keine FIPS-Endpunkte und keine kundenverwalteten KMS-Keys; Ältere Labs-Server überschneiden sich und haben eigene Advisories.
- Für wen eignet sich AWS MCP Server?
- Teams auf AWS, die Agenten Ressourcen unter den IAM-Richtlinien und dem Audit-Trail, die sie schon haben, erkunden, aufbauen und betreiben lassen wollen.
- Was kostet AWS MCP Server für ein Team oder im Produktivbetrieb?
- Keine Gebühr für Server oder Toolkit; du zahlst die normalen Preise für das, was der Agent anlegt oder liest. Zuerst bremst der Durchsatz: 10 authentifizierte Requests pro Sekunde pro Konto und Region, 180 gleichzeitige Sitzungen pro Konto und 90 pro IAM-Principal, wobei nur die Sitzungskontingente anpassbar sind.
- Ist AWS MCP Server sicher für Firmendaten?
- Ein zustandsloser Proxy, der mit deinen Zugangsdaten handelt; Dateien liegen höchstens 8 Stunden auf verschlüsseltem flüchtigem Speicher und werden von keinem dauerhaften Speicher genutzt. run_script kann alles lesen, was deine Rolle lesen kann, auch Logs und S3-Objekte, die eingeschleuste Anweisungen enthalten können, die eigentliche Grenze ist also die IAM-Rolle.
- Was sind die besten Alternativen zu AWS MCP Server?
- Die nächsten Alternativen, die wir getestet haben, sind Azure MCP Server, Cloudflare MCP Server und Terraform MCP Server.
Antworten geprüft am 22. Okt. 2026.