secured-remote-mcp-server-on-aws

secured-remote-mcp-server-on-aws

这是一个通过带有 OAuth 认证的 API Gateway，安全公开部署在 VPC 内私有 Lambda 上的 MCP 服务的仓库。

特点：

• 可在保护访问权限的同时，将 MCP 服务（Streamble HTTP）部署到公网
• 作为入口点的 API Gateway 使用 Cognito 作为 Authorizer，通过客户端认证进行保护
• 使用 Terraform 进行声明式环境管理
• 利用 GitHub Actions 和 HCP Terraform 自动部署
• 通过 Devcontainer 共享统一的开发环境
• 使用 Claude Code 和 Github Copilot，并利用 AWS 官方 MCP 服务跟进最新信息

开发动机：

为了熟悉 Terraform 和 MCP，我以作品集项目为目标推进开发。

CloudTrail 和 WAF 等成本较高的资源暂不纳入范围。

目录结构

├── /.devcontainer                     # VS Code Dev Container設定
│   ├── api_connectivity_test.sh       # API接続テストスクリプト
│   ├── devcontainer.json              
│   ├── dockerfile.devcontainer        
│   ├── github_deployments_delete.sh   # GitHubデプロイメント削除スクリプト
│   └── init.sh                        # Devcontainer内AWS SSO Profile用意スクリプト
├── /.github
│   ├── /workflows
│   │   ├── pr-closed-deploy-develop.yml             # developブランチへのPRクローズ時デプロイ
│   │   ├── reusable-build-and-push.yml              
│   │   ├── reusable-plan-and-deploy-with-tfc.yml    # HCP Terraform run
│   │   ├── reusable-update-lambda.yml                # Lambda更新処理
│   │   └── reusable-validate-environment-secrets.yml # 環境変数検証
│   └── copilot-instructions.md       # GitHub Copilotカスタム指示
├── /.vscode
│   ├── mcp.json                       # MCP Server接続設定
│   └── settings.json                  
├── /terraform
│   ├── /env                           # 環境別設定
│   │   ├── /dev                       # 開発環境
│   │   │   ├── /dummy                 # Lambda初期デプロイ時のダミー
│   │   │   ├── main.tf                # リソース定義
│   │   │   ├── dummy.tf               # ダミーZip作成用
│   │   │   ├── outputs.tf             # HCP Terraform上で出力
│   │   │   ├── terraform.tf           # バックエンド設定（HCP Terraform）
│   │   │   └── variables.tf           # 変数定義
│   │   └── /prod                      # 本番環境（同構成）
│   └── /modules                       # 再利用可能モジュール
│       ├── /api_gateway               
│       ├── /cognito                   
│       ├── /lambda                    
│       ├── /lambda_layer              
│       ├── /s3                        
│       ├── /vpc                       
│       ├── /vpc_endpoint_lambda       
│       └── /vpc_endpoint_s3           
├── /sam                               # AWS SAM実装（比較検証用）
│   ├── samconfig.toml
│   └── template.yaml
├── /src                               # MCP Serverアプリケーション
│   ├── main.py                        # FastMCP実装
│   ├── pyproject.toml                 # Python プロジェクト設定
│   ├── requirements.txt               # pip依存関係
│   ├── run.sh                         # 起動スクリプト
│   └── uv.lock                        
├── .auto.tfvars.sample                # HCP Terraform変数
├── .env.sample                        # 環境変数サンプル
├── .gitignore
├── .pre-commit-config.yaml            
├── .terraform-version                 # Terraformバージョン（1.12.1）
├── architecture.png                   # アーキテクチャ図
├── bootstrap.tf                       # HCP Terraform & OIDC 初期設定
├── CLAUDE.md                          # Claude Code用プロジェクト指示
├── compose.yml                        # Devcontainer用Docker Compose設定
├── justfile                           # タスクランナー定義
└── README.md

环境搭建

前提条件：

• 可运行 Devcontainer 的环境（推荐使用 VSCode）
• HCP Terraform 账号（已关联 GitHub 账号）
• AWS IAM Identity Center 用户

创建 .env：

cp .env.sample .env
cp .auto.tfvars.sample .auto.tfvars

HCP Terraform bootstrap：

1. 在「https://app.terraform.io/app/settings/tokens」生成「TFE_TOKEN」
2. 在「https://app.terraform.io/app/organizations/new」创建「TFE_ORGANIZATION」
3. 创建 HCP Terraform 工作区

# devcontainerに入って以下のコマンドを実行
/app$ terraform init
/app$ terraform plan
/app$ terraform apply

# 🛠️ bootstrap.tf`を使用してHCP Terraformに以下の構造が作成されます
YOUR_ORGANIZATION/
├── projects/
    └── secured-remote-mcp-server-on-aws/
        └── workspaces/
            ├── dev-secured-remote-mcp-server-on-aws
            └── prod-secured-remote-mcp-server-on-aws

使用方法

1. 获取 OAuth 访问令牌

获取访问 API Gateway 所需的 OAuth 访问令牌：

# devcontainer内

# トークンのみ取得（AWS Secrets Managerから認証情報を取得して生成）
# 特定のAWSプロファイルを使用してトークン取得
just get-token "my-api-secret" "profile-name"

# API接続テスト（トークン取得からAPI呼び出しまでの全体テスト）
just test-api "my-api-secret" "https://{apiエンドポイント名}.execute-api.ap-northeast-1.amazonaws.com/mcp/"

2. 从 MCP 客户端使用

使用获取的令牌配置 MCP 客户端。

示例：VSCode 扩展 GitHub Copilot Agent 的配置示例（mcp.json）

{
    "servers": {
        "aws-private-lambda-for-mcp": {
            "type": "http",
            "url":  "https://{apiエンドポイント名}.execute-api.ap-northeast-1.amazonaws.com/mcp/",
            "headers": {
                "Authorization": "Bearer {上記で取得したトークン}",
                "Accept": "application/json"
            }
        }
    }
}

特别说明

• API Gateway 不支持 Server-Sent Events (SSE) 或 HTTP 流式响应，因此需要缓冲所有结果后一次性返回

from fastmcp import FastMCP

mcp = FastMCP(
    "remote-mcp-server",
    stateless_http=True,
    json_response=True # 完全なJSONレスポンスを一度に返すために必須
)