O que é AWS MCP Server?
O AWS MCP Server é um servidor remoto gerenciado, parte do Agent Toolkit for AWS, que ganhou disponibilidade geral em maio de 2026. Ele expõe oito ferramentas: cinco ferramentas de conhecimento somente leitura para busca na documentação, AWS skills selecionadas e disponibilidade por região, e três ferramentas de API, com destaque para aws___run_script, que executa Python com acesso às APIs da AWS em um sandbox. Cada chamada autenticada é autorizada pelas suas políticas de IAM existentes e registrada no CloudTrail.
Ele agora roda em oito regiões (Norte da Virgínia, Oregon, Frankfurt, Irlanda, Londres, Singapura, Sydney e Tóquio), contra as duas citadas no lançamento. Você pode se conectar diretamente por OAuth 2.1 via AWS Sign-in ou rodar o MCP Proxy for AWS local (uvx mcp-proxy-for-aws-cli@latest) para assinar as requisições com SigV4, o que é obrigatório para o modo somente leitura e para perfis de várias contas.
O repositório mais antigo awslabs/mcp, com servidores stdio de um único serviço, ainda existe e aceita contribuições, mas a AWS chama o Agent Toolkit de seu sucessor e pede que os usuários removam os servidores AWS API e AWS Knowledge para evitar conflitos de ferramentas.
Como instalar AWS MCP Server
https://aws-mcp.us-east-1.api.aws/mcpAWS MCP Server vale a pena?
Este é agora o servidor por onde começar na AWS, e o argumento se apoia no IAM, não na quantidade de ferramentas. O servidor não define ações de IAM próprias. Ele autentica a requisição, marca-a com as chaves de condição aws:ViaAWSMCPService e aws:CalledViaAWSMCP e deixa o serviço de destino autorizá-la com base nas suas políticas existentes. Uma equipe de segurança pode, portanto, escrever uma SCP que nega gravações feitas via MCP sem mexer no acesso ao console do mesmo engenheiro, algo que nenhum servidor AWS de terceiros consegue oferecer.
A escolha de design que mais pesa é aws___run_script. Em vez de centenas de ferramentas por serviço, o agente escreve Python que chama as APIs da AWS e o servidor o executa em um sandbox. Isso mantém a lista em oito ferramentas e serve bem a tarefas de várias etapas, mas quem aprova uma chamada de ferramenta passa a ler código, e não uma ação nomeada como "delete bucket". O modo somente leitura, que esconde as ferramentas capazes de gravar, funciona apenas pelo proxy SigV4, não por OAuth.
As cotas são generosas para um desenvolvedor e apertadas para uma frota. O tráfego autenticado é limitado a 10 requisições por segundo por conta por região, um limite que a AWS não aumenta, com 100 conexões simultâneas por conta. Os arquivos que o servidor manipula ficam em armazenamento efêmero por até 8 horas, apenas com chaves gerenciadas pela AWS, e endpoints FIPS não são suportados, o que o exclui de algumas cargas de trabalho reguladas.
O entorno é o ponto fraco. O repositório awslabs/mcp publicou 13 avisos de segurança, incluindo uma falha crítica que contornava o modo somente leitura no servidor Postgres em setembro de 2026, e uma falha de gravidade média na verificação de propriedade de buckets S3 (CVE-2026-87912) atingiu um plugin de DevSecOps do próprio toolkit. O servidor gerenciado não tem aviso publicado, mas uma equipe que o combina com servidores Labs mais antigos herda também o histórico deles.
Onde ele se destaca
Um engenheiro de plataforma em uma empresa SaaS de 30 pessoas na AWS
Descobrir por que uma função Lambda começou a falhar depois do deploy da noite anterior
O agente chama os helpers diagnose, get_recent_changes e search_logs da capacidade serverless, que comparam as métricas com uma linha de base de 7 dias e listam quem mudou o quê a partir do CloudTrail e do CloudFormation. É somente leitura e gratuito além das cobranças normais do CloudWatch e do X-Ray, e poupa o trabalho de juntar logs, traces e histórico de mudanças à mão.
Um líder de segurança em nuvem em uma fintech regulada
Deixar desenvolvedores usarem agentes de código em contas compartilhadas sem dar acesso de gravação aos agentes
Uma SCP nega ações que alteram recursos quando aws:ViaAWSMCPService é verdadeiro, então o engenheiro mantém acesso de gravação no console enquanto o agente fica somente leitura, e o CloudTrail registra cada chamada originada no MCP para auditoria. A lacuna é o FIPS, que o servidor não suporta.
Um CTO de startup com um desenvolvedor e créditos do AWS Activate
Colocar no ar uma primeira API serverless sem aprender CloudFormation antes
Anexe a política gerenciada AWSMCPSignInOAuthAccessPolicy, conecte o Claude Code por OAuth e deixe o agente seguir as skills aws-core para CDK e serverless. O servidor não custa nada; o risco é a fatura, porque um agente com papel de administrador pode iniciar qualquer coisa, então restrinja o papel antes do primeiro prompt.
Antes de decidir
- Configuração
- Por OAuth, adicione https://aws-mcp.us-east-1.api.aws/mcp no Claude Code, Kiro CLI ou Devin (Cursor, VS Code, Codex e Claude Desktop acrescentam ?oauth=initialize) depois de anexar a política AWSMCPSignInOAuthAccessPolicy. O SigV4 exige AWS CLI 2.32.0 ou superior mais uv, e a AWS avisa que a primeira conexão pode levar alguns minutos.
- Integrações
- Oito ferramentas: cinco ferramentas de conhecimento somente leitura (search_documentation, read_documentation, retrieve_skill, list_regions, get_regional_availability) e três ferramentas de API (run_script, get_presigned_url, get_tasks) que podem ler ou gravar em mais de 300 serviços, além de uma capacidade somente leitura de diagnóstico serverless para Lambda.
- Dados e privacidade
- Um proxy sem estado que age com as suas credenciais; os arquivos ficam em armazenamento efêmero criptografado por no máximo 8 horas e não são usados por nenhum armazenamento persistente. run_script pode ler tudo o que o seu papel pode, inclusive logs e objetos S3 que podem conter instruções injetadas, então o papel de IAM é o verdadeiro limite.
- Custo em escala
- Sem taxa pelo servidor ou pelo toolkit; você paga os preços normais pelo que o agente cria ou lê. A vazão é o que limita primeiro: 10 requisições autenticadas por segundo por conta por região, 180 sessões simultâneas por conta e 90 por principal de IAM, e só as cotas de sessão são ajustáveis.
- Limites
- Chamadas não autenticadas recebem apenas as ferramentas de documentação, a 5 requisições por segundo por IP. Os tokens OAuth duram 1 hora e são renovados por até 12, e o OAuth não troca de perfil entre contas. O post de lançamento de maio de 2026 lista duas regiões; a lista de oito do guia de configuração é a atual.
O que é bom
- Chaves de condição de IAM permitem políticas voltadas só a chamadas de agentes
- O CloudTrail registra cada requisição; métricas de uso no CloudWatch
- OAuth em oito regiões, sem necessidade de proxy local
- Sem cobrança além dos recursos da AWS usados
O que não é
- Modo somente leitura e várias contas exigem o proxy SigV4
- O limite de 10 requisições/segundo por conta não é ajustável
- Sem endpoints FIPS nem chaves KMS gerenciadas pelo cliente
- Servidores Labs mais antigos se sobrepõem e têm seus próprios avisos
Ideal para
Equipes na AWS que querem que agentes explorem, construam e operem recursos sob as políticas de IAM e a trilha de auditoria que já têm.
Alternativas ao AWS MCP Server
AWS MCP Server: perguntas frequentes
- AWS MCP Server vale a pena?
- As chaves de condição de IAM que distinguem chamadas de agentes das humanas fazem deste o servidor AWS para padronizar; os servidores Labs mais antigos ao redor dele são o risco. Damos nota 4.4 de 5.
- Quanto custa AWS MCP Server?
- Sem cobrança pelo servidor nem pelo toolkit; você paga os preços normais dos recursos da AWS que seus agentes criam ou usam.
- Quais são as desvantagens de AWS MCP Server?
- Modo somente leitura e várias contas exigem o proxy SigV4; o limite de 10 requisições/segundo por conta não é ajustável; sem endpoints FIPS nem chaves KMS gerenciadas pelo cliente; servidores Labs mais antigos se sobrepõem e têm seus próprios avisos.
- Para quem AWS MCP Server é indicado?
- Equipes na AWS que querem que agentes explorem, construam e operem recursos sob as políticas de IAM e a trilha de auditoria que já têm.
- Quanto custa AWS MCP Server para uma equipe ou em produção?
- Sem taxa pelo servidor ou pelo toolkit; você paga os preços normais pelo que o agente cria ou lê. A vazão é o que limita primeiro: 10 requisições autenticadas por segundo por conta por região, 180 sessões simultâneas por conta e 90 por principal de IAM, e só as cotas de sessão são ajustáveis.
- AWS MCP Server é seguro para dados da empresa?
- Um proxy sem estado que age com as suas credenciais; os arquivos ficam em armazenamento efêmero criptografado por no máximo 8 horas e não são usados por nenhum armazenamento persistente. run_script pode ler tudo o que o seu papel pode, inclusive logs e objetos S3 que podem conter instruções injetadas, então o papel de IAM é o verdadeiro limite.
- Quais são as melhores alternativas ao AWS MCP Server?
- As alternativas mais próximas que analisamos são Azure MCP Server, Cloudflare MCP Server e Terraform MCP Server.
Respostas verificadas em 22 de out. de 2026.