Tous les produits
Search

Ce produit

    OpenAPI Explorer:Guide d'utilisation du serveur OpenAPI MCP

    Centre de documentation

    OpenAPI Explorer:Guide d'utilisation du serveur OpenAPI MCP

    Dernière mise à jour :Aug 20, 2026

    Model Context Protocol (MCP) est un protocole standardisé qui permet à un grand modèle de langage (LLM) d'interagir avec des outils externes et des sources de données. Le serveur Alibaba Cloud OpenAPI MCP vous permet d'appeler les API Alibaba Cloud et de gérer vos ressources cloud en langage naturel.

    Sélectionner une option d'utilisation

    Sélectionner une édition

    Le serveur Alibaba Cloud OpenAPI MCP est disponible dans les deux éditions suivantes :

    Élément

    Édition Core

    Édition Custom

    Vitesse de configuration

    Rapide. Obtenez l'endpoint immédiatement après vous être connecté à la console.

    Moyenne. Vous devez créer un serveur et sélectionner les API.

    Couverture des API

    Couvre toutes les API OpenAPI Alibaba Cloud.

    Couvre uniquement les API sélectionnées.

    Méthode de correspondance des API

    Le LLM utilise la recherche sémantique pour trouver et appeler automatiquement les API. Des invites plus spécifiques peuvent être nécessaires lorsque plusieurs API ont des fonctions similaires.

    Les API sélectionnées sont exposées directement en tant qu'outils, permettant au LLM de les appeler sans recherche.

    Capacité de réglage fin

    Non prise en charge.

    Prise en charge. Vous pouvez modifier les descriptions et les paramètres des API.

    Nombre de serveurs

    Un par compte.

    Plusieurs serveurs peuvent être créés pour différents scénarios.

    Cas d'utilisation

    Démarrage rapide, opérations exploratoires et workflows transversaux entre produits.

    Processus métier fixes, exigences claires en matière d'API et scénarios nécessitant un réglage fin.

    • Utilisez l'édition Core pour un démarrage rapide ou pour des opérations couvrant plusieurs produits cloud.

    • Utilisez l'édition Custom si vous avez des API spécifiques en tête et souhaitez que le LLM les appelle directement sans recherche.

    Sélectionner une méthode d'authentification

    Après avoir sélectionné une édition, vous devez également choisir une méthode d'authentification. Le serveur OpenAPI MCP prend en charge les deux méthodes d'authentification suivantes :

    • Authentification OAuth (authentification interactive) : Redirige automatiquement vers un navigateur pour la connexion. Vous devez vous reconnecter après l'expiration du jeton.

    • Authentification par identifiants statiques : Se connecte à l'aide d'identifiants statiques après une vérification préalable unique, sans nécessiter de navigateur.

    Élément

    Authentification OAuth

    Authentification par AccessKey

    Cas d'utilisation

    Clients de bureau avec interaction navigateur, développement quotidien et opérations exploratoires.

    Serveurs headless, pipelines CI/CD et intégrations d'agents IA non supervisées.

    Méthode d'autorisation

    Redirection du navigateur pour la connexion et l'autorisation de l'utilisateur.

    L'AccessKey est transmis via une variable d'environnement. Aucune redirection de navigateur n'est requise.

    Identité d'autorisation

    Identité de l'utilisateur qui accorde l'autorisation.

    Identité de l'utilisateur RAM associé à l'AccessKey.

    Sécurité

    Les jetons à courte durée de vie offrent une sécurité supérieure.

    Les identifiants statiques à longue durée de vie nécessitent une gestion rigoureuse des risques.

    Prérequis

    Avant d'utiliser le serveur OpenAPI MCP, effectuez les préparations suivantes en fonction de la méthode d'authentification sélectionnée.

    Authentification OAuth

    Cette méthode convient aux clients de bureau prenant en charge l'interaction avec le navigateur. Les autorisations sont liées à l'utilisateur, les jetons sont à courte durée de vie et la sécurité est renforcée.

    1. Vous devez disposer d'un compte Alibaba Cloud. Si vous utilisez un utilisateur RAM, accordez-lui les autorisations requises. Pour plus d'informations, consultez Accorder à un utilisateur RAM les autorisations pour exploiter un serveur MCP.

    2. Utilisez un compte administrateur pour accéder à la page Console RAM > Applications OAuth > Applications tierces, puis installez et attribuez l'application officielle du serveur OpenAPI MCP. Sinon, l'autorisation OAuth pour le service MCP échouera. Pour plus d'informations, consultez Installer et autoriser une application tierce.

    Authentification par identifiants statiques

    Cette méthode convient aux scénarios sans interaction avec le navigateur, tels que les pipelines CI/CD, les environnements CLI et les intégrations d'agents IA. Elle prend en charge la transmission des identifiants AccessKey (AK) via des variables d'environnement. Si vous êtes déjà connecté à Alibaba Cloud CLI localement, le proxy MCP réutilise automatiquement les identifiants existants et aucune configuration supplémentaire n'est requise.

    1. Python (>= 3,13) et uv sont installés.

    2. Vous avez enregistré un compte Alibaba Cloud et créé une AccessKey. L'utilisateur RAM ou le rôle RAM associé à l'AccessKey dispose de la stratégie système AliyunOpenAPIMCPServerStaticCredentialAccess attachée. Vous pouvez accéder à la console RAM pour attacher cette stratégie à un utilisateur RAM.

    3. Avant la première utilisation, vous devez exécuter une commande de pré-vérification pour vérifier que votre compte a été autorisé. Cette vérification unique s'applique à l'ensemble de votre compte Alibaba Cloud et peut être effectuée sur n'importe quel appareil disposant d'un navigateur, pas seulement sur la machine exécutant le serveur MCP. uvx alibabacloud.mcp-proxy@latest --server-url <MCP connection URL> pre-check --site-type INTL

    Endpoint du serveur MCP

    Le processus de configuration du client est identique pour les éditions Core et Custom. La seule différence réside dans la manière d'obtenir l'endpoint du serveur MCP.

    Édition Core

    Après votre connexion, le système attribue automatiquement un endpoint de serveur MCP pour l'édition Core, couvrant toutes les API OpenAPI Alibaba Cloud grâce à une combinaison d'outils intégrée.

    1. Connectez-vous à la console du service Alibaba Cloud OpenAPI MCP.

    2. Dans le volet de navigation de gauche, cliquez sur l'onglet Core. La page affiche l'Streamable HTTP endpoint et l'SSE endpoint.

    3. Pour modifier les paramètres OAuth ou avancés, cliquez sur le bouton Modify correspondant :

      • Multi-account MCP : Gérez les serveurs MCP de manière centralisée dans des scénarios multi-comptes. Pour plus d'informations, consultez Utiliser le serveur OpenAPI MCP dans un scénario multi-compte.

      • Public access : Après avoir activé l'accès public, le service MCP est accessible via le réseau public. Cela convient au développement et au débogage locaux, à la collaboration interrégionale ou à l'intégration de systèmes externes.

      • Custom VPC allowlist : Convient aux scénarios ayant des exigences strictes en matière de sécurité réseau.

    Édition Custom

    Pour l'édition Custom, vous devez d'abord créer un serveur MCP et sélectionner les API requises. Chaque API sélectionnée est exposée directement au LLM en tant qu'outil, permettant au LLM de l'appeler directement sans recherche sémantique.

    1. Connectez-vous à la console du service Alibaba Cloud OpenAPI MCP.

    2. Dans le volet de navigation de gauche, cliquez sur Custom > Create pour ouvrir la page de configuration MCP.

      Saisissez les informations suivantes :

      • Name : Le nom doit comporter entre 3 et 16 caractères et ne peut contenir que des lettres minuscules, des chiffres, des traits de soulignement (_) et des traits d'union (-). Par exemple, mcp-demo.

      • Document Language : Sélectionnez la langue des descriptions d'API dans les outils.

      • OAuth Configuration :

        • Alibaba Cloud Official OAuth : Convient aux clients locaux, tels que TONGYI Lingma, Cherry Studio et Cursor.

        • Custom OAuth : Convient aux plateformes auto-construites ou aux services tiers, tels que Dify déployé en interne, AgentScope et Claude Web/Mobile.

      • Multi-account MCP : Gérez les serveurs MCP de manière centralisée dans des scénarios multi-comptes. Pour plus d'informations, consultez Utiliser le serveur OpenAPI MCP dans un scénario multi-compte.

      • Cloud Product and API List : Configurez les outils API pour le service MCP.

      • Terraform Tools : Définissez les outils MCP à l'aide du code Terraform HCL. Terraform Tools prend uniquement en charge la création de ressources, pas leur modification. Pour plus d'informations, consultez Utiliser Terraform Tools dans le serveur OpenAPI MCP.

      • System Tools : Outils officiels préconfigurés qui sont automatiquement intégrés au service MCP lorsqu'ils sont sélectionnés.

      • MCP Instructions : Une invite indiquant au LLM comment utiliser ce MCP. Le client doit prendre en charge le champ Instructions du protocole standard MCP.

      • Remarks : Ajoutez des informations descriptives pour le service MCP.

    3. Cliquez sur Create et confirmez l'avertissement de risque. Une fois le serveur créé, la page affiche l'Streamable HTTP endpoint et l'SSE endpoint.

    Remarque

    Nous vous recommandons de ne pas sélectionner plus de 30 API pour un seul serveur MCP. Si vous devez utiliser davantage d'API, créez plusieurs serveurs MCP.

    Si vous utilisez MCP dans un environnement VPC, utilisez l'endpoint VPC affiché sur la page.

    Configuration du client

    Une fois que vous avez obtenu l'endpoint du serveur, configurez la connexion dans votre client. Cette configuration s'applique aux éditions Core et Custom. La console du service Alibaba Cloud OpenAPI MCP fournit des modèles de configuration intégrés pour les clients courants tels que Cherry Studio, TONGYI Lingma/Cursor/Windsurf/VSCode, Claude Code et Codex. MCP est largement compatible, et d'autres clients ou programmes prenant en charge le protocole peuvent également être configurés en conséquence.

    Deux méthodes d'authentification sont prises en charge :

    • Authentification OAuth (authentification interactive) : Redirige automatiquement vers un navigateur pour l'autorisation.

    • Authentification par identifiants statiques : Utilise une AccessKey transmise via une variable d'environnement ou les identifiants de Alibaba Cloud CLI.

    Important

    Une AccessKey est un identifiant statique à long terme. En cas de fuite, elle peut être exploitée de manière persistante. Lorsque vous utilisez une AccessKey, vous devez respecter ces pratiques de sécurité. Pour plus d'informations, consultez Créer une AccessKey.

    • N'utilisez pas l'AccessKey de votre compte Alibaba Cloud. Utilisez plutôt l'AccessKey d'un utilisateur RAM disposant uniquement des autorisations minimales requises.

    • Ne codez pas en dur l'AccessKey dans des fichiers sous contrôle de version, tels que mcp.json. Nous vous recommandons de l'injecter via des variables d'environnement ou un service de gestion des clés.

    • Nous vous recommandons de faire tourner régulièrement votre AccessKey afin de réduire le risque de fuite d'identifiants.

    Authentification OAuth (par défaut)

    Cette méthode ouvre le navigateur local pour guider l'utilisateur lors de l'autorisation, ce qui la rend idéale pour les clients de bureau dotés d'une interface graphique et pour les tâches de développement quotidien ou exploratoires.

    Connectez-vous à la console du service Alibaba Cloud OpenAPI MCP et accédez à la page de l'endpoint du service MCP pour l'édition Core ou Custom. Cliquez sur One-click Configuration et sélectionnez OAuth authentication (default). Ensuite, sélectionnez l'onglet du client correspondant et suivez le modèle de configuration pour terminer la configuration. Si une page d'autorisation utilisateur s'affiche dans le navigateur pendant le processus, cliquez sur Authorize.

    Cherry Studio

    Prérequis : Vous avez installé Cherry Studio.

    Vous pouvez effectuer la configuration de l'une des manières suivantes :

    • Configuration en un clic : Sur la page du modèle de configuration dans la console, cliquez sur One-click Configuration for Cherry Studio et suivez les instructions.

    • Configuration manuelle : Dans Cherry Studio, accédez à Settings > MCP Servers, sélectionnez Add > Quick Create, saisissez un nom, sélectionnez Streamable HTTP pour le type et entrez l'adresse de l'Streamable HTTP endpoint dans le champ URL. Vous pouvez également sélectionner Import from JSON et coller le JSON de configuration depuis la page.

    Après avoir enregistré la configuration, votre navigateur redirige automatiquement vers la page d'autorisation OAuth d'Alibaba Cloud. Après avoir accordé l'autorisation, le service MCP démarre.

    TONGYI Lingma/Cursor/Windsurf/VSCode

    Prérequis : Vous avez installé Node.js et npm.

    Vous pouvez effectuer la configuration de l'une des manières suivantes :

    • Configuration en un clic (uniquement prise en charge par Cursor) : Sur la page du modèle de configuration dans la console, cliquez sur One-click Configuration for Cursor et suivez les instructions.

    • Configuration manuelle : Collez le JSON de configuration depuis la page de la console dans le fichier de configuration MCP de votre client.

    Méthode de configuration pour chaque client :

    • TONGYI Lingma : Ouvrez le plug-in TONGYI Lingma, cliquez sur MCP tools sur la page d'introduction, puis cliquez sur + dans le coin supérieur droit de la fenêtre contextuelle pour ajouter un outil manuellement. Saisissez un nom personnalisé, sélectionnez STDIO pour Type, saisissez npx pour Command et saisissez mcp-remote-alibaba-cloud "<Streamable HTTP endpoint>" pour Arguments.

    • Cursor : Dans la barre de menus, choisissez File > Preferences > Cursor Settings > Tools & Integrations, cliquez sur Add Custom MCP, collez le JSON dans le fichier mcp.json et enregistrez-le. Le fichier de configuration se trouve généralement à l'emplacement ~/.cursor/mcp.json ou .cursor/mcp.json dans le répertoire racine de votre projet.

    • Windsurf : Collez le JSON dans ~/.windsurf/mcp.json ou .windsurf/mcp.json dans le répertoire racine de votre projet.

    • VSCode : Recherchez MCP dans les paramètres et ajoutez la configuration comme indiqué.

    Après avoir enregistré la configuration, vous devez effectuer l'autorisation OAuth via un navigateur lors de la première utilisation. Si le navigateur ne s'ouvre pas automatiquement, redémarrez l'application.

    Claude Code

    Prérequis : Vous avez installé Claude Code.

    Exécutez la commande suivante dans votre terminal pour ajouter le serveur MCP. Assurez-vous de remplacer <Streamable HTTP endpoint> par l'adresse réelle obtenue depuis la console :

    claude mcp add openapi-mcp-core -- npx mcp-remote-alibaba-cloud "<Streamable HTTP endpoint>"

    Exécutez la commande suivante pour interroger le serveur MCP ajouté :

    claude mcp list

    Si une page d'autorisation utilisateur apparaît dans votre navigateur pendant la configuration ou l'utilisation, cliquez sur Authorize.

    Codex

    Prérequis : Vous avez installé l'interface CLI Codex.

    Exécutez la commande suivante dans votre terminal pour ajouter le serveur MCP. Assurez-vous de remplacer <Streamable HTTP endpoint> par l'adresse réelle obtenue depuis la console :

    codex mcp add openapi-mcp-core -- npx mcp-remote-alibaba-cloud "<Streamable HTTP endpoint>"

    Exécutez la commande suivante pour interroger le serveur MCP ajouté :

    codex mcp list

    Si une page d'autorisation utilisateur apparaît dans votre navigateur pendant la configuration ou l'utilisation, cliquez sur Authorize.

    Authentification par identifiants statiques

    L'authentification par identifiants statiques s'effectue via le proxy local alibabacloud.mcp-proxy, sans redirection vers un navigateur. Cette méthode convient aux pipelines automatisés, aux environnements en ligne de commande pure et aux agents d'IA non supervisés.

    Connectez-vous à la console du service Alibaba Cloud OpenAPI MCP, accédez à la page du point de terminaison du service MCP (édition Core ou Custom), cliquez sur One-click Configuration, puis sélectionnez Static Credential Authentication. Sélectionnez ensuite l'onglet correspondant à votre client et finalisez la configuration en suivant le modèle fourni.

    Remarque

    Si vous êtes déjà connecté à Alibaba Cloud CLI localement (via aliyun configure), le proxy lit automatiquement les identifiants CLI. Il n'est pas nécessaire de définir la variable d'environnement env dans la configuration.

    Cherry Studio

    Prérequis :

    1. Vous avez installé Cherry Studio, Python (>= 3,13) et uv.

    2. Votre AccessKey dispose de la stratégie système AliyunOpenAPIMCPServerStaticCredentialAccess attachée.

    3. Avant la première utilisation, exécutez la commande de pré-vérification depuis la console pour vérifier le statut d'autorisation de votre compte. Cette commande peut être lancée sur n'importe quel appareil disposant d'un navigateur ; il n'est pas nécessaire qu'il s'agisse de la même machine que celle exécutant le proxy.

    Procédure de configuration :

    Dans Cherry Studio, accédez à Settings > MCP Servers > Add > Import from JSON et collez la configuration. Veillez à remplacer AccessKey ID/Secret par vos clés réelles. Si vous avez déjà configuré Alibaba Cloud CLI, vous pouvez supprimer le champ env afin de réutiliser les identifiants locaux.

    Une fois la configuration terminée, redémarrez Cherry Studio et envoyez une requête de test, par exemple pour interroger la liste des instances ECS dans une région. Si l'API est appelée comme prévu, l'authentification par identifiants statiques a réussi.

    TONGYI Lingma/Cursor/Windsurf/VSCode

    Prérequis :

    1. Vous avez installé TONGYI Lingma/Cursor/Windsurf/VSCode, Python (>= 3,13) et uv.

    2. Votre AccessKey dispose de la stratégie système AliyunOpenAPIMCPServerStaticCredentialAccess attachée.

    3. Avant la première utilisation, exécutez la commande de pré-vérification depuis la console pour vérifier le statut d'autorisation de votre compte. Cette commande peut être lancée sur n'importe quel appareil disposant d'un navigateur ; il n'est pas nécessaire qu'il s'agisse de la même machine que celle exécutant le proxy.

    Méthode de configuration pour chaque client :

    • TONGYI Lingma : Dans la page des outils MCP du plug-in, ajoutez manuellement un outil. Sélectionnez STDIO pour le Type, saisissez uvx pour la Commande, et entrez alibabacloud.mcp-proxy@latest --server-url "&lt;Streamable HTTP endpoint&gt;" --site-type INTL dans les Arguments. Ajoutez ensuite ALIBABA_CLOUD_ACCESS_KEY_ID et ALIBABA_CLOUD_ACCESS_KEY_SECRET dans les variables d'environnement.

    • Cursor : Collez le JSON dans ~/.cursor/mcp.json ou .cursor/mcp.json à la racine du projet. Remplacez l'ID et le secret de l'AccessKey.

    • Windsurf : Collez le JSON dans ~/.windsurf/mcp.json ou .windsurf/mcp.json à la racine du projet. Remplacez l'ID et le secret de l'AccessKey.

    • VSCode : Recherchez MCP dans les paramètres et ajoutez la configuration selon les instructions.

    Si vous avez déjà configuré Alibaba Cloud CLI, vous pouvez supprimer la configuration des variables d'environnement afin de réutiliser les identifiants locaux.

    Une fois la configuration terminée, enregistrez les paramètres et redémarrez le client. Envoyez une requête de test pour confirmer que l'API est appelée comme prévu. Cela indique que l'authentification par identifiants statiques a réussi.

    Claude Code

    Prérequis :

    1. Vous avez installé Claude Code, Python (>= 3,13) et uv.

    2. Votre AccessKey dispose de la stratégie système AliyunOpenAPIMCPServerStaticCredentialAccess attachée.

    3. Avant la première utilisation, exécutez la commande de pré-vérification depuis la console pour vérifier le statut d'autorisation de votre compte. Cette commande peut être lancée sur n'importe quel appareil disposant d'un navigateur ; il n'est pas nécessaire qu'il s'agisse de la même machine que celle exécutant le proxy.

    Procédure de configuration :

    Exécutez la commande suivante dans votre terminal pour ajouter le serveur MCP. Veillez à remplacer <Access Key ID>, <Access Key Secret> et <Streamable HTTP endpoint> par vos valeurs réelles.

    Si vous avez déjà configuré Alibaba Cloud CLI, vous pouvez supprimer la configuration des variables d'environnement afin de réutiliser les identifiants locaux.

    claude mcp add openapi-mcp-core --env ALIBABA_CLOUD_ACCESS_KEY_ID=<Access Key ID> --env ALIBABA_CLOUD_ACCESS_KEY_SECRET=<Access Key Secret> -- uvx alibabacloud.mcp-proxy@latest --server-url "<Streamable HTTP Endpoint>" --site-type INTL

    Exécutez la commande suivante pour interroger le serveur MCP ajouté :

    claude mcp list

    Codex

    Prérequis :

    1. Vous avez installé Codex, Python (>= 3,13) et uv.

    2. Votre AccessKey dispose de la stratégie système AliyunOpenAPIMCPServerStaticCredentialAccess attachée.

    3. Avant la première utilisation, exécutez la commande de pré-vérification depuis la console pour vérifier le statut d'autorisation de votre compte. Cette commande peut être lancée sur n'importe quel appareil disposant d'un navigateur ; il n'est pas nécessaire qu'il s'agisse de la même machine que celle exécutant le proxy.

    Procédure de configuration :

    Exécutez la commande suivante dans votre terminal pour ajouter le serveur MCP. Veillez à remplacer <Access Key ID>, <Access Key Secret> et <Streamable HTTP endpoint> par vos valeurs réelles.

    Si vous avez déjà configuré Alibaba Cloud CLI, vous pouvez supprimer la configuration des variables d'environnement afin de réutiliser les identifiants locaux.

    codex mcp add openapi-mcp-core --env ALIBABA_CLOUD_ACCESS_KEY_ID=<Access Key ID> --env ALIBABA_CLOUD_ACCESS_KEY_SECRET=<Access Key Secret> -- uvx alibabacloud.mcp-proxy@latest --server-url "<Streamable HTTP Endpoint>" --site-type INTL

    Exécutez la commande suivante pour interroger le serveur MCP ajouté :

    codex mcp list

    Utilisation du serveur MCP

    Une fois configuré, vous pouvez gérer les ressources cloud en langage naturel depuis votre client. Pour découvrir d'autres méthodes d'intégration, consultez la section Autres façons d'intégrer MCP.

    • Édition Core : Décrivez simplement vos besoins en langage naturel. Le LLM trouve automatiquement les API correspondantes, récupère leurs définitions de paramètres et exécute les appels API, sans que vous ayez à spécifier les noms d'API ou les paramètres. Par exemple, si vous saisissez « Aide-moi à interroger les instances ECS dans la région Chine (Hangzhou) », le LLM trouve et appelle automatiquement l'API DescribeInstances.

    • Édition Custom : Les API que vous configurez sont directement exposées en tant qu'outils au LLM, ce qui raccourcit le chemin d'appel en éliminant le besoin de recherche et de mise en correspondance. Lorsque plusieurs API ont des fonctions similaires, l'édition Custom garantit que le LLM appelle l'API spécifique que vous avez prévue.

    Cherry Studio

    1. Depuis le menu de la zone de saisie de texte, sélectionnez votre serveur MCP.

      Sélectionnez le serveur openapi-mcp-core et vérifiez qu'une coche verte apparaît à droite de l'entrée, indiquant qu'il est activé.

    2. Testez la fonctionnalité MCP. Par exemple, interrogez les instances ECS dans une région spécifique :

      Please help me query the list of ECS instances with regionId cn-chengdu and set x_mcp_region_id.
      Remarque

      Si la sélection de l'API ou les paramètres sont incorrects, essayez d'optimiser votre prompt. Pour l'édition Custom, vous pouvez également utiliser le réglage MCP (MCP tuning) pour résoudre le problème.

    Cursor

    1. Sélectionnez un modèle et une clé API. Cursor ayant des exigences concernant les fournisseurs de LLM (voir Supported providers), reportez-vous à sa documentation lors de la sélection d'un modèle et d'une clé API. Cet exemple utilise les valeurs par défaut.

    2. Dans la boîte de dialogue Cursor, cliquez sur Add Context et sélectionnez votre serveur MCP.

    3. Dans la boîte de dialogue, saisissez une requête en langage naturel pour tester la fonctionnalité MCP, par exemple : « Aide-moi à interroger le nombre d'instances ECS dans la région Chine (Chengdu), et affiche uniquement le nombre d'instances. » Après avoir appuyé sur Entrée, cliquez sur Run tool comme indiqué pour continuer.

    4. Consultez le résultat de l'exécution MCP. Si la sélection de l'API ou les paramètres sont incorrects, essayez d'optimiser votre prompt. Pour l'édition Custom, vous pouvez également utiliser le réglage MCP (MCP tuning) pour résoudre le problème.

    TONGYI Lingma

    1. Dans TONGYI Lingma, sélectionnez un agent et saisissez votre prompt. Par exemple, vous pouvez interroger la liste des instances ECS dans la région Chine (Chengdu) et définir x_mcp_region_id.

    2. Suivez les instructions de TONGYI Lingma pour exécuter l'outil MCP.

    3. Consultez le résultat. Si la sélection de l'API ou les paramètres sont incorrects, essayez d'optimiser votre prompt. Pour l'édition Custom, vous pouvez également utiliser le réglage MCP (MCP tuning) pour résoudre le problème.

    Cline

    1. Dans la fenêtre de dialogue Cline, saisissez une requête en langage naturel pour tester la fonctionnalité MCP, par exemple : « Aide-moi à interroger le nombre d'instances ECS dans la région Chine (Chengdu). »

      Cline sélectionne automatiquement l'outil DescribeInstances depuis le serveur MCP configuré et extrait la valeur du paramètre RegionId à partir de votre saisie.

    2. Consultez le résultat de l'exécution MCP. Si la sélection de l'API ou les paramètres sont incorrects, essayez d'optimiser votre prompt. Pour l'édition Custom, vous pouvez également utiliser le réglage MCP (MCP tuning) pour résoudre le problème.

    Réglage MCP (édition Custom uniquement)

    L'édition Core utilise des outils intégrés pour gérer automatiquement les recherches et les appels d'API. Elle ne prend pas en charge le réglage.

    Le modèle de langage large (LLM) peut sélectionner la mauvaise API ou transmettre des paramètres incorrects. Dans ce cas, modifiez l'aperçu, la description et les descriptions des paramètres de requête de l'API sur le serveur. Cela aide le LLM à comprendre et à appeler l'API avec plus de précision.

    Exemple 1 : Des erreurs ou des données inexactes surviennent lors d'opérations sur des ressources en dehors de la région cn-hangzhou

    En interne, MCP utilise x_mcp_region_id pour basculer le Endpoint. Si le LLM ne comprend pas, à partir de la saisie, qu'il doit transmettre x_mcp_region_id, il opère par défaut sur les ressources de la région cn-hangzhou.

    Résolvez ce problème en utilisant l'une des deux méthodes suivantes :

    • Instruisez explicitement le LLM de définir x_mcp_region_id dans la requête.

      Find the list of ECS instances for regionId cn-qingdao, and set x_mcp_region_id.

    • Ajustez l'aperçu de l'API ou la description du paramètre de requête RegionId sur le serveur MCP.

      Par exemple, ajoutez « Transmettez la région spécifiée par l'utilisateur à x_mcp_region_id » à l'aperçu de l'API. Ou bien, ajoutez « Si le paramètre RegionId existe, transmettez-le ainsi que x_mcp_region_id » à la description de RegionId.

      Étapes :

      1. Accédez à Custom API MCP SERVER, et cliquez sur Edit dans la colonne Actions pour le service MCP cible.

      2. Sélectionnez l'API à régler et cliquez sur Edit dans sa colonne Actions.

      3. Modifiez l'aperçu, la description de la requête API ou les descriptions des paramètres API.

      4. Enregistrez les modifications. Ensuite, déconnectez-vous et reconnectez-vous au service MCP sur le client pour appliquer les changements.

    Exemple 2 : Suppression des paramètres d'API facultatifs

    Certains paramètres facultatifs ne sont pas utilisés dans des scénarios spécifiques. Supprimez ces paramètres sur le serveur MCP. Une fois supprimés, le LLM les ignore lors de la génération des paramètres. Cela réduit le taux d'erreur et diminue la consommation de tokens.

    Contrôle d'accès MCP

    image

    Après l'intégration d'un agent d'IA avec le serveur OpenAPI MCP, l'agent ne dispose pas d'autorisation pour accéder aux ressources cloud. Un utilisateur doit autoriser l'agent à agir en son nom. Par exemple, un client peut initier un processus OAuth. L'agent n'obtient un accès temporaire qu'après que l'utilisateur a accordé l'autorisation. Toutes les opérations nécessitent une autorisation utilisateur. L'agent ne peut effectuer que les tâches relevant des autorisations de l'utilisateur. Cela met en œuvre le principe du moindre privilège. De plus, ActionTrail enregistre l'identité de l'utilisateur qui effectue réellement les opérations.

    Scénarios : Agents clients tels que CherryStudio, TONGYI Lingma, Qwen Code, Cursor, Claude Code, Dify, AgentScope et LangGraph, ou scénarios où un agent doit agir pour le compte d'un utilisateur.

    Autres façons d'intégrer MCP

    • Configurez une application OAuth personnalisée dans Dify pour l'intégrer à OpenAPI MCP Server. Pour plus d'informations, consultez la rubrique Intégrer OpenAPI MCP Server dans Dify.

    • Dans un agent personnalisé, utilisez le SDK MCP officiel pour compléter le processus d'autorisation OAuth personnalisé et intégrer les frameworks d'agents principaux. Pour plus d'informations, consultez la rubrique Intégrer OpenAPI MCP Server dans un agent.

    FAQ

    Toutes les API dans Tools peuvent-elles être appelées depuis le client MCP ?

    Pas nécessairement. Le succès d'un appel API dépend des autorisations de l'utilisateur RAM. Il peut s'agir de l'utilisateur qui initie l'authentification OAuth ou de l'utilisateur associé à l'AccessKey (AK) pour l'authentification. Si un utilisateur RAM ne dispose pas de l'autorisation d'appeler une API, le modèle de langage large (LLM) ne peut pas non plus l'appeler.

    Solution : Accordez les autorisations API requises à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

    Important

    Pour empêcher le LLM d'appeler des API de suppression de ressources en raison d'une mauvaise interprétation, ce qui pourrait affecter vos services, n'accordez pas d'autorisations de suppression de ressources à l'utilisateur RAM.

    Permission denied lors de la création d'un serveur MCP en tant qu'utilisateur RAM

    Solution :

    • Accordez la stratégie système AliyunOpenAPIMCPServerFullAccess à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

    • Accordez une stratégie personnalisée à l'utilisateur RAM :

      1. Utilisez un compte administrateur pour créer une stratégie personnalisée dans la console RAM. Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.

        Voici le contenu de la stratégie :

        Cliquez pour afficher la stratégie pour les opérations du serveur MCP

        Cette stratégie inclut les autorisations de création, de mise à jour, d'interrogation et de suppression des serveurs MCP, ainsi que l'interrogation des outils système MCP.

        {
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "openapiexplorer:*Mcp*",
        "ram:*Application*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}

      2. Utilisez un compte administrateur pour accorder l'autorisation personnalisée à l'utilisateur RAM cible. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

    Si un point de terminaison de connexion au serveur MCP est exposé, peut-il être utilisé à mauvais escient par des tiers ?

    Non. Lorsqu'un client utilise le point de terminaison, l'authentification OAuth lance un processus d'autorisation. Ce processus nécessite que l'utilisateur se connecte et accorde l'accès. Le système vérifie si le compte Alibaba Cloud de l'utilisateur RAM correspond au compte Alibaba Cloud du serveur MCP. L'accès n'est accordé que s'ils correspondent. Pour l'authentification par identifiants statiques, l'accès est restreint par les autorisations de l'utilisateur RAM associé à l'AK. Une partie non autorisée ne peut pas dépasser cette étendue d'autorisations.

    Comment choisir entre l'authentification par identifiants statiques et l'authentification OAuth ?

    Choisissez la méthode d'authentification adaptée à votre cas d'utilisation :

    • Authentification OAuth : Convient aux scénarios de clients de bureau impliquant une interaction avec le navigateur. Les autorisations sont liées à l'utilisateur et le jeton est de courte durée pour une sécurité accrue. Utilisez OAuth pour le développement quotidien et les opérations exploratoires.

    • Authentification par identifiants statiques (AK) : Convient aux scénarios où la redirection du navigateur est peu pratique, tels que les pipelines automatisés, les environnements en ligne de commande uniquement (serveurs sans interface graphique (GUI)) et les intégrations d'agents d'IA non supervisés. Les autorisations sont liées à l'identité RAM associée à l'AK. Vous devez gérer vous-même la sécurité des identifiants.

    Que faire si un secret AccessKey est divulgué ?

    1. Désactivez ou supprimez immédiatement l'AccessKey dans la console RAM.

    2. Créez une nouvelle AccessKey et mettez à jour la configuration de votre client.

    3. Vérifiez les journaux ActionTrail pour la période de la divulgation afin d'identifier tout appel non autorisé.