Fitur MCP multi-akun memungkinkan Anda menggunakan satu OpenAPI MCP Server terpusat dan model akses yang konsisten untuk mengelola resource di semua akun Alibaba Cloud Anda.
Opsi konfigurasi multi-akun
Pada halaman konfigurasi OpenAPI MCP Server di Konsol, gunakan daftar drop-down Multi-account MCP untuk menentukan cakupan akses server. Tabel berikut menjelaskan opsi yang tersedia.
| Opsi | Deskripsi |
| Only this account | MCP Server hanya dapat beroperasi pada cloud resource di akun saat ini. |
| Multiple accounts | MCP Server dapat beroperasi pada cloud resource baik di akun saat ini maupun akun lainnya. |
Nama RAM role multi-akun
Tabel berikut menjelaskan jenis peran yang tersedia untuk Multi-account RAM role name.
| Opsi | Kasus penggunaan | Deskripsi |
| Resource Directory management role ResourceDirectoryAccountAccessRole | Jika organisasi Anda menggunakan Resource Directory untuk menyiapkan lingkungan multi-akun dan RAM user Anda termasuk dalam akun manajemen, Anda dapat memilih peran ini untuk mengelola resource di semua akun anggota. | Resource Directory secara otomatis membuat RAM role bernama ResourceDirectoryAccountAccessRole di semua akun anggota. Kebijakan kepercayaan untuk peran ini menetapkan akun manajemen sebagai entitas tepercaya, yang memungkinkan akun manajemen mengasumsikan peran tersebut dan mengakses akun anggota. |
| Custom role | Untuk mendelegasikan akses antara dua akun Alibaba Cloud apa pun. | Anda harus membuat RAM role secara manual di akun Alibaba Cloud target dan menetapkan entitas tepercayanya ke akun Alibaba Cloud yang digunakan untuk membuat OpenAPI MCP Server. Berikan izin yang diperlukan pada RAM role tersebut. |
Pilih contoh yang sesuai dengan skenario Anda:
Resource Directory management role — Jika organisasi Anda menggunakan Resource Directory dan RAM user Anda termasuk dalam akun manajemen, ikuti Contoh 1: Gunakan Resource Directory management role.
Custom role — Untuk mendelegasikan akses antara dua akun Alibaba Cloud apa pun, ikuti Contoh 2: Gunakan custom role. Anda harus membuat RAM role kustom di setiap akun target sebelum memulai.
Prasyarat
Otorisasi OAuth — Fitur MCP multi-akun menggunakan role assumption. Anda harus menggunakan Resource Access Management (RAM) user atau RAM role untuk otorisasi OAuth. Anda tidak dapat menggunakan akun Alibaba Cloud secara langsung untuk tujuan ini.
Contoh 1 — Organisasi Anda menggunakan Resource Directory untuk menyiapkan lingkungan multi-akun, dan RAM user Anda termasuk dalam akun manajemen.
Contoh 2 — RAM role harus dibuat di setiap akun bisnis yang perlu diakses oleh tim operasi. Peran tersebut harus memercayai akun Alibaba Cloud tim operasi dan memiliki izin yang diperlukan. Untuk petunjuknya, lihat Langkah 1: Buat RAM role di setiap akun bisnis dalam Contoh 2.
Langkah umum klien MCP
Kedua contoh dalam topik ini memiliki langkah-langkah berikut. Selesaikan langkah-langkah ini setelah Anda membuat OpenAPI MCP Server. Topik ini menggunakan Tongyi Lingma sebagai klien MCP.
Konfigurasikan OpenAPI MCP Server sesuai petunjuk dalam Konfigurasi MCP di Tongyi Lingma.
Pada antarmuka Tongyi Lingma, klik Agent di pojok kiri bawah untuk beralih ke mode agent.
Pada kotak input, masukkan kueri bahasa alami yang menentukan akun target dan wilayah, misalnya "Kueri status berjalan instance ECS di akun X di wilayah Y", lalu klik Send.
Saat tool MCP dijalankan, OpenAPI MCP Server secara otomatis mengasumsikan peran di akun target (jika izin mencukupi) dan menjalankan operasi tersebut.
Contoh 1: gunakan Resource Directory management role
Jika organisasi Anda menggunakan Resource Directory untuk mengelola lingkungan multi-akun, Anda dapat mengasumsikan RAM role ResourceDirectoryAccountAccessRole di akun anggota untuk mengakses cloud resource mereka.
Langkah 1: buat OpenAPI MCP Server di akun manajemen
Buka halaman Alibaba Cloud OpenAPI MCP Server untuk membuat layanan MCP. Pilih Multiple accounts. Untuk Multi-account RAM role name, pilih Resource Directory management role ResourceDirectoryAccountAccessRole.
Sebagai contoh, masukkan multi-account untuk Name, pilih Chinese untuk Documentation Language, dan pilih Alibaba Cloud Official OAuth untuk OAuth Configuration.
Langkah 2: Pantau status cloud resource di akun anggota melalui klien MCP
Sambungkan klien MCP dan masukkan kueri untuk akun anggota target seperti yang dijelaskan dalam Langkah umum klien MCP.
Tongyi Lingma menggunakan tool MCP rd-role/Ecs-20140526-DescribeInstanceStatus untuk mengkueri status instance ECS di akun anggota target di wilayah China (Hangzhou) (cn-hangzhou). Hasilnya menunjukkan bahwa terdapat satu instance ECS di akun tersebut, dengan status Running.
Contoh 2: Gunakan custom role
Dalam contoh ini, sebuah perusahaan menggunakan arsitektur multi-akun. Departemen seperti R&D, pemasaran, operasi, dan keuangan ditempatkan di akun terpisah untuk isolasi resource dan kontrol akses. Tim operasi perlu memantau cloud resource akun bisnis secara terpusat. Untuk mengakses resource tersebut secara aman, akun tim operasi mengasumsikan RAM role yang dibuat di setiap akun bisnis.
Langkah 1: Buat RAM role di setiap akun bisnis
Di setiap akun bisnis yang perlu diakses oleh tim operasi, buat RAM role yang dapat diasumsikan oleh akun tim operasi.
Buka halaman Create Role di Konsol RAM. Buat RAM role dengan memilih Cloud Account untuk Trusted Entity Type. Pilih Other Alibaba Cloud Account sebagai entitas tepercaya, masukkan ID akun Alibaba Cloud tim operasi, lalu klik OK.
Insinyur O&M mengakses cloud resource akun bisnis dengan mengasumsikan peran ini. Oleh karena itu, berikan izin pada RAM role tersebut untuk resource yang sesuai. Untuk mempelajari cara memberikan izin pada RAM role, lihat Kelola izin RAM role.
Berikan nama RAM role ini kepada tim operasi.
Langkah 2: buat OpenAPI MCP Server
Dari akun Alibaba Cloud tim operasi, buka halaman Alibaba Cloud OpenAPI MCP Server untuk membuat layanan MCP. Pilih Multiple accounts, dan masukkan nama RAM role yang diberikan oleh akun bisnis untuk Multi-account RAM role name.
Sebagai contoh, masukkan multi-account untuk Name, pilih Chinese untuk Documentation Language, pilih Alibaba Cloud Official OAuth untuk OAuth Configuration, dan masukkan nama custom role seperti multi-account-test.
Langkah 3: Jalankan operasi MCP di klien MCP
Insinyur O&M dapat memantau status berjalan instance ECS di akun bisnis dari klien MCP. Sambungkan klien MCP dan masukkan kueri untuk akun bisnis target seperti yang dijelaskan dalam Langkah umum klien MCP. Tool MCP mengidentifikasi akun target dengan menggunakan parameter x_assume_account_id.
Sebagai contoh, Tongyi Lingma menjalankan tool MCP multi-account/Ecs-20140526-DescribeInstances dan menetapkan RegionId ke cn-hangzhou untuk mengkueri instance ECS di wilayah China (Hangzhou). OpenAPI MCP Server secara otomatis beralih ke akun target untuk menyelesaikan panggilan tersebut. Hasilnya menunjukkan dua instance ECS di akun tersebut, keduanya dalam status Running.