¿Qué es AWS MCP Server?
AWS MCP Server es un servidor remoto gestionado que forma parte de Agent Toolkit for AWS, disponible de forma general desde mayo de 2026. Expone ocho herramientas: cinco de conocimiento de solo lectura para buscar en la documentación, consultar skills seleccionadas de AWS y ver la disponibilidad por regiones, y tres herramientas de API, la principal aws___run_script, que ejecuta Python con acceso a la API de AWS en un sandbox. Cada llamada autenticada se autoriza con tus políticas de IAM existentes y queda registrada en CloudTrail.
Ahora funciona en ocho regiones (Norte de Virginia, Oregón, Fráncfort, Irlanda, Londres, Singapur, Sídney y Tokio), frente a las dos anunciadas en el lanzamiento. Puedes conectarte directamente por OAuth 2.1 a través de AWS Sign-in, o ejecutar en local MCP Proxy for AWS (uvx mcp-proxy-for-aws-cli@latest) para firmar las peticiones con SigV4, algo necesario para el modo de solo lectura y los perfiles de varias cuentas.
El antiguo repositorio awslabs/mcp, con servidores stdio de un solo servicio, sigue existiendo y acepta contribuciones, pero AWS considera Agent Toolkit su sucesor y pide a los usuarios que quiten los servidores AWS API y AWS Knowledge para evitar conflictos entre herramientas.
Cómo instalar AWS MCP Server
https://aws-mcp.us-east-1.api.aws/mcp¿Merece la pena AWS MCP Server?
Este es ahora el servidor por el que empezar en AWS, y el argumento se apoya en IAM más que en el número de herramientas. El servidor no define acciones de IAM propias. Autentica la petición, le añade las claves de condición aws:ViaAWSMCPService y aws:CalledViaAWSMCP y deja que el servicio de destino la autorice según tus políticas existentes. Así, un equipo de seguridad puede escribir una SCP que deniegue las escrituras hechas a través de MCP sin tocar el acceso a la consola del mismo ingeniero, algo que ningún servidor de AWS de terceros puede ofrecer.
La decisión de diseño más importante es aws___run_script. En lugar de cientos de herramientas por servicio, el agente escribe Python que llama a las API de AWS y el servidor lo ejecuta en un sandbox. Eso deja la lista en ocho herramientas y encaja con tareas de varios pasos, pero quien aprueba una llamada a una herramienta lee ahora código en lugar de una acción con nombre como "delete bucket". El modo de solo lectura, que oculta las herramientas capaces de escribir, solo funciona a través del proxy SigV4, no por OAuth.
Las cuotas son generosas para un desarrollador y estrechas para una flota. El tráfico autenticado está limitado a 10 peticiones por segundo por cuenta y región, un límite que AWS no amplía, con 100 conexiones simultáneas por cuenta. Los archivos que maneja el servidor se guardan en almacenamiento efímero hasta 8 horas y solo con claves gestionadas por AWS, y no admite endpoints FIPS, lo que lo descarta para algunas cargas de trabajo reguladas.
El punto débil es el entorno que lo rodea. El repositorio awslabs/mcp ha publicado 13 avisos de seguridad, entre ellos una elusión crítica del modo de solo lectura en su servidor de Postgres en septiembre de 2026, y un fallo de gravedad media sobre la propiedad de buckets de S3 (CVE-2026-87912) afectó a un plugin de DevSecOps del propio toolkit. El servidor gestionado no tiene ningún aviso publicado, pero un equipo que lo combine con servidores Labs más antiguos hereda también su historial.
Dónde se gana su sitio
Un ingeniero de plataforma en una empresa SaaS de 30 personas en AWS
Averiguar por qué una función Lambda empezó a fallar tras el despliegue de anoche
El agente llama a las funciones diagnose, get_recent_changes y search_logs de la capacidad serverless, que comparan las métricas con una referencia de 7 días y muestran quién cambió qué según CloudTrail y CloudFormation. Es de solo lectura y gratis más allá de los cargos normales de CloudWatch y X-Ray, y evita tener que unir a mano logs, trazas e historial de cambios.
Un responsable de seguridad en la nube de una fintech regulada
Dejar que los desarrolladores usen agentes de programación en cuentas compartidas sin dar a los agentes acceso de escritura
Una SCP deniega las acciones que modifican recursos cuando aws:ViaAWSMCPService es true, así que el ingeniero mantiene el acceso de escritura en la consola mientras su agente se queda en solo lectura, y CloudTrail registra cada llamada originada en MCP para la auditoría. La carencia es FIPS, que el servidor no admite.
El CTO de una startup con un desarrollador y créditos de AWS Activate
Montar una primera API serverless sin aprender antes CloudFormation
Asociar la política gestionada AWSMCPSignInOAuthAccessPolicy, conectar Claude Code por OAuth y dejar que el agente siga las skills aws-core para CDK y serverless. El servidor no cuesta nada; el riesgo es la factura, porque un agente con un rol de administrador puede lanzar cualquier cosa, así que conviene acotar el rol antes del primer prompt.
Antes de decidirte
- Puesta en marcha
- Por OAuth, añadir https://aws-mcp.us-east-1.api.aws/mcp en Claude Code, Kiro CLI o Devin (Cursor, VS Code, Codex y Claude Desktop añaden ?oauth=initialize) tras asociar la política AWSMCPSignInOAuthAccessPolicy. SigV4 requiere AWS CLI 2.32.0 o posterior más uv, y AWS advierte de que la primera conexión puede tardar unos minutos.
- Integraciones
- Ocho herramientas: cinco de conocimiento de solo lectura (search_documentation, read_documentation, retrieve_skill, list_regions, get_regional_availability) y tres de API (run_script, get_presigned_url, get_tasks) que pueden leer o escribir en más de 300 servicios, además de una capacidad de diagnóstico serverless de solo lectura para Lambda.
- Datos y privacidad
- Un proxy sin estado que actúa con tus credenciales; los archivos se guardan en almacenamiento efímero cifrado durante 8 horas como máximo y ningún almacén persistente los usa. run_script puede leer todo lo que pueda leer tu rol, incluidos logs y objetos de S3 que pueden contener instrucciones inyectadas, así que el rol de IAM es el límite real.
- Coste a escala
- Sin tarifa por el servidor ni por el toolkit; pagas los precios estándar de lo que el agente crea o lee. El rendimiento es lo primero que limita: 10 peticiones autenticadas por segundo por cuenta y región, 180 sesiones simultáneas por cuenta y 90 por principal de IAM, y solo las cuotas de sesiones son ajustables.
- Límites
- Quien llama sin autenticarse solo tiene las herramientas de documentación, a 5 peticiones por segundo por IP. Los tokens OAuth duran 1 hora y se renuevan durante un máximo de 12, y OAuth no permite cambiar de perfil entre cuentas. El anuncio de lanzamiento de mayo de 2026 menciona dos regiones; la lista de ocho de la guía de configuración es la vigente.
Lo bueno
- Las claves de condición de IAM permiten que las políticas se apliquen solo a las llamadas de agentes
- CloudTrail registra cada petición; métricas de uso en CloudWatch
- OAuth en ocho regiones, así que no hace falta un proxy local
- Sin coste más allá de los recursos de AWS utilizados
Lo malo
- El modo de solo lectura y el uso de varias cuentas requieren el proxy SigV4
- El tope de 10 peticiones/segundo por cuenta no es ajustable
- Sin endpoints FIPS ni claves KMS gestionadas por el cliente
- Los servidores Labs más antiguos se solapan y tienen sus propios avisos
Ideal para
Equipos en AWS que quieren que los agentes exploren, creen y operen recursos con las políticas de IAM y el rastro de auditoría que ya tienen.
Alternativas a AWS MCP Server
AWS MCP Server: preguntas frecuentes
- ¿Merece la pena AWS MCP Server?
- Las claves de condición de IAM que distinguen las llamadas de los agentes de las humanas hacen de este el servidor de AWS en el que estandarizarse; el riesgo está en los servidores Labs más antiguos que lo rodean. Le damos un 4.4 sobre 5.
- ¿Cuánto cuesta AWS MCP Server?
- Sin coste por el servidor ni por el toolkit; pagas los precios estándar de los recursos de AWS que creen o usen tus agentes.
- ¿Qué inconvenientes tiene AWS MCP Server?
- El modo de solo lectura y el uso de varias cuentas requieren el proxy SigV4; el tope de 10 peticiones/segundo por cuenta no es ajustable; sin endpoints FIPS ni claves KMS gestionadas por el cliente; los servidores Labs más antiguos se solapan y tienen sus propios avisos.
- ¿Para quién es AWS MCP Server?
- Equipos en AWS que quieren que los agentes exploren, creen y operen recursos con las políticas de IAM y el rastro de auditoría que ya tienen.
- ¿Cuánto cuesta AWS MCP Server para un equipo o en producción?
- Sin tarifa por el servidor ni por el toolkit; pagas los precios estándar de lo que el agente crea o lee. El rendimiento es lo primero que limita: 10 peticiones autenticadas por segundo por cuenta y región, 180 sesiones simultáneas por cuenta y 90 por principal de IAM, y solo las cuotas de sesiones son ajustables.
- ¿Es AWS MCP Server seguro para los datos de la empresa?
- Un proxy sin estado que actúa con tus credenciales; los archivos se guardan en almacenamiento efímero cifrado durante 8 horas como máximo y ningún almacén persistente los usa. run_script puede leer todo lo que pueda leer tu rol, incluidos logs y objetos de S3 que pueden contener instrucciones inyectadas, así que el rol de IAM es el límite real.
- ¿Cuáles son las mejores alternativas a AWS MCP Server?
- Las alternativas más cercanas que hemos analizado son Azure MCP Server, Cloudflare MCP Server y Terraform MCP Server.
Respuestas comprobadas el 22 oct 2026.