La fonctionnalité MCP multi-comptes vous permet d'utiliser un seul serveur OpenAPI MCP centralisé et un modèle d'accès cohérent pour gérer les ressources sur l'ensemble de vos comptes Alibaba Cloud.
Options de configuration multi-comptes
Sur la page de configuration du serveur OpenAPI MCP dans la console, utilisez la liste déroulante Multi-account MCP pour définir la portée d'accès du serveur. Le tableau suivant décrit les options disponibles.
| Option | Description |
| Only this account | Le serveur MCP agit uniquement sur les ressources cloud du compte actuel. |
| Multiple accounts | Le serveur MCP agit sur les ressources cloud du compte actuel ainsi que sur celles d'autres comptes. |
Nom du rôle RAM multi-comptes
Le tableau suivant décrit les types de rôles disponibles pour le champ Multi-account RAM role name.
| Option | Cas d'utilisation | Description |
| Resource Directory management role ResourceDirectoryAccountAccessRole | Si votre organisation utilise Resource Directory pour configurer un environnement multi-comptes et que votre utilisateur RAM appartient au compte de gestion, sélectionnez ce rôle pour gérer les ressources de tous les comptes membres. | Resource Directory crée automatiquement un rôle RAM nommé ResourceDirectoryAccountAccessRole dans tous les comptes membres. La politique d'approbation de ce rôle désigne le compte de gestion comme entité de confiance, ce qui permet au compte de gestion d'endosser le rôle et d'accéder aux comptes membres. |
| Custom role | Pour déléguer l'accès entre deux comptes Alibaba Cloud quelconques. | Créez manuellement un rôle RAM dans le compte Alibaba Cloud cible et définissez son entité de confiance comme étant le compte Alibaba Cloud utilisé pour créer le serveur OpenAPI MCP. Accordez au rôle RAM les autorisations requises. |
Choisissez l'exemple correspondant à votre scénario :
Rôle de gestion Resource Directory — Si votre organisation utilise Resource Directory et que votre utilisateur RAM appartient au compte de gestion, suivez l'Exemple 1 : Utiliser le rôle de gestion Resource Directory.
Rôle personnalisé — Pour déléguer l'accès entre deux comptes Alibaba Cloud quelconques, suivez l'Exemple 2 : Utiliser un rôle personnalisé. Créez préalablement un rôle RAM personnalisé dans chaque compte cible.
Prérequis
Autorisation OAuth — La fonctionnalité MCP multi-comptes repose sur l'endossement de rôle. Utilisez un utilisateur RAM ou un rôle RAM pour l'autorisation OAuth. L'utilisation directe d'un compte Alibaba Cloud n'est pas possible à cette fin.
Exemple 1 — Votre organisation utilise Resource Directory pour configurer un environnement multi-comptes et votre utilisateur RAM appartient au compte de gestion.
Exemple 2 — Créez un rôle RAM dans chaque compte métier auquel l'équipe opérationnelle doit accéder. Le rôle doit faire confiance au compte Alibaba Cloud de l'équipe opérationnelle et disposer des autorisations nécessaires. Pour plus d'instructions, consultez l'étape Étape 1 : Créer un rôle RAM dans chaque compte métier de l'Exemple 2.
Étapes communes au client MCP
Les deux exemples de cette rubrique partagent les étapes suivantes. Suivez-les après avoir créé le serveur OpenAPI MCP. Cette rubrique utilise Tongyi Lingma comme client MCP.
Configurez le serveur OpenAPI MCP en suivant les instructions de la section Configurer MCP dans Tongyi Lingma.
Dans l'interface Tongyi Lingma, cliquez sur Agent dans le coin inférieur gauche pour passer en mode agent.
Saisissez dans la zone de saisie une requête en langage naturel spécifiant le compte et la région cibles, par exemple « Query the running status of ECS instances in account X in region Y », puis cliquez sur Send. Lorsque l'outil MCP s'exécute, le serveur OpenAPI MCP endosse automatiquement le rôle dans le compte cible (si les autorisations sont suffisantes) et réalise l'opération.
Exemple 1 : Utiliser le rôle de gestion Resource Directory
Si votre organisation utilise Resource Directory pour gérer un environnement multi-comptes, vous pouvez endosser le rôle RAM ResourceDirectoryAccountAccessRole dans les comptes membres afin d'accéder à leurs ressources cloud.
Étape 1 : Créer un serveur OpenAPI MCP dans le compte de gestion
Accédez à la page Alibaba Cloud OpenAPI MCP Server pour créer un service MCP. Sélectionnez Multiple accounts. Pour le champ Multi-account RAM role name, sélectionnez Resource Directory management role ResourceDirectoryAccountAccessRole.
Par exemple, saisissez multi-account pour le champ Name, sélectionnez Chinese pour le champ Documentation Language et choisissez Alibaba Cloud Official OAuth pour la configuration OAuth Configuration.
Étape 2 : Surveiller l'état des ressources cloud des comptes membres dans le client MCP
Connectez le client MCP et saisissez une requête pour le compte membre cible comme indiqué dans la section Étapes communes au client MCP.
Tongyi Lingma utilise l'outil MCP rd-role/Ecs-20140526-DescribeInstanceStatus pour interroger l'état des instances ECS du compte membre cible dans la région Chine (Hangzhou) (cn-hangzhou). Le résultat indique qu'il existe une instance ECS dans le compte et que son état est Running.
Exemple 2 : Utiliser un rôle personnalisé
Dans cet exemple, une entreprise utilise une architecture multi-comptes. Des départements tels que la R&D, le marketing, les opérations et la finance sont répartis sur des comptes distincts pour isoler les ressources et contrôler les accès. L'équipe opérationnelle doit surveiller de manière centralisée les ressources cloud des comptes métiers. Pour accéder à ces ressources en toute sécurité, le compte de l'équipe opérationnelle endosse un rôle RAM créé dans chaque compte métier.
Étape 1 : Créer un rôle RAM dans chaque compte métier
Dans chaque compte métier auquel l'équipe opérationnelle doit accéder, créez un rôle RAM que le compte de l'équipe opérationnelle pourra endosser.
Accédez à la page Create Role page in the RAM console. Créez un rôle RAM en sélectionnant Cloud Account pour le champ Trusted Entity Type. Sélectionnez Other Alibaba Cloud Account comme entité de confiance, saisissez l'ID du compte Alibaba Cloud de l'équipe opérationnelle, puis cliquez sur OK.
Les ingénieurs O&M accèdent aux ressources cloud du compte métier en endossant ce rôle. Par conséquent, accordez au rôle RAM des autorisations sur les ressources correspondantes. Pour savoir comment attribuer des autorisations à un rôle RAM, consultez la section Manage the permissions of a RAM role.
Communiquez le nom de ce rôle RAM à l'équipe opérationnelle.
Étape 2 : Créer un serveur OpenAPI MCP
Depuis le compte Alibaba Cloud de l'équipe opérationnelle, accédez à la page Alibaba Cloud OpenAPI MCP Server pour créer un service MCP. Sélectionnez Multiple accounts et saisissez le nom du rôle RAM fourni par le compte métier dans le champ Multi-account RAM role name.
Par exemple, saisissez multi-account pour le champ Name, sélectionnez Chinese pour le champ Documentation Language, choisissez Alibaba Cloud Official OAuth pour la configuration OAuth Configuration et saisissez un nom de rôle personnalisé tel que multi-account-test.
Étape 3 : Exécuter des opérations MCP dans le client MCP
Un ingénieur O&M peut surveiller l'état d'exécution des instances ECS des comptes métiers depuis le client MCP. Connectez le client MCP et saisissez une requête pour le compte métier cible comme indiqué dans la section Étapes communes au client MCP. L'outil MCP identifie le compte cible à l'aide du paramètre x_assume_account_id.
Par exemple, Tongyi Lingma exécute l'outil MCP multi-account/Ecs-20140526-DescribeInstances et définit le paramètre RegionId sur cn-hangzhou pour interroger les instances ECS dans la région Chine (Hangzhou). Le serveur OpenAPI MCP bascule automatiquement vers le compte cible pour effectuer l'appel. Le résultat affiche deux instances ECS dans le compte, toutes deux dans l'état Running.