Alibaba Cloud CLI:aliyun mcp-proxy による OpenAPI MCP サーバーのプロキシ

手順 1：Alibaba Cloud CLI の設定

1. Alibaba Cloud CLI をバージョン 3.2.0 以降にインストールまたはアップグレードするには、「Alibaba Cloud CLI をインストールまたは更新する」をご参照ください。

2. OAuth アプリケーションを作成する権限を持つ Alibaba Cloud アカウントまたは RAM ユーザーの認証情報で CLI を設定します。 既存の OAuth アプリケーションを使用するには、後のステップで--oauth-app-nameを指定します。

   aliyun configure
   # プロンプトに従って、AccessKey ID、AccessKey Secret、デフォルトのリージョンを入力します。

手順 2：初回実行と OAuth 認可

初回実行時、mcp-proxy はリフレッシュトークンを取得するために、1回限りの OAuth 認可が必要です。

1. プロキシをフォアグラウンドで起動します。

   • GUI 環境では、--no-browser が指定されている場合を除き、CLI は OAuth 認証のためにブラウザを開きます。認証後、ステップ 5 に進みます。

     aliyun mcp-proxy --host 127.0.0.1 --port 8088

   • ヘッドレス環境では、--no-browser を追加します。 CLI から、認証コードを手動で取得するように求められます。

     aliyun mcp-proxy --host 127.0.0.1 --port 8088 --no-browser

   説明

   --oauth-app-name でカスタム OAuth アプリケーションを指定するには、アプリケーションは次の要件を満たす必要があります。

   • OAuth スコープ: /acs/mcp-server にする必要があります。

   • リダイレクト URI: aliyun mcp-proxy の認証で使用するものと一致させる必要があります。

   • アプリケーションタイプ: Native アプリケーションである必要があります。

2. ターミナルに認可 URL が表示されます。

   MCPOAuth プロファイル 'default-mcp' を設定しています...
   OAuth ログインのためにブラウザを開いています...
   URL: https://signin.aliyun.com/oauth2/v1/auth?client_id=XXX8&response_type=code&scope=%2Facs%2Fmcp-server&redirect_uri=http://0.0.0.0:8088/callback&code_challenge=XXX&code_challenge_method=S256
   ブラウザが利用可能なマシンで認可 URL を開き、サインインを完了してください。
   認可後、ブラウザはコールバック URL にリダイレクトされます。
   ページがロードに失敗した場合 (接続エラーなど) でも、認可コードは URL に含まれています。
   ブラウザのアドレスバーから `code` パラメーターの値をコピーしてください。
   例：URL が次の場合：
     http://127.0.0.1:8088/callback?code=abc123xyz&state=...
     この場合、`abc123xyz` のみコピーします。
   認可コードを入力してください: <YOUR CODE>

3. ブラウザで URL を開き、サインインして認可を完了します。

4. 承認後、ページは code パラメーターを含む URL にリダイレクトされるか、コードが直接表示されます。code の値をコピーして、ターミナルに貼り付け、Enter キーを押します。

5. 認証に成功すると、ターミナルにOAuth login successful!と表示されます。

   2025/12/04 19:11:49 OAuth 認可が成功し、コードを受信しました： XXXX
   2025/12/04 19:11:49 PKCE を使用してコードをトークンに交換します
   2025/12/04 19:11:49 PKCE を使用したコードとトークンの交換に成功しました
   OAuth ログインに成功しました!

6. プロキシの準備が整うと、ターミナルに MCP Proxy Server Started が表示されます。

   MCP プロファイル 'default-mcp' は OAuth アプリ 'aliyun-cli-mcp-proxy' 用に正常に設定されました!
   MCP プロキシサーバーが起動しました
   リッスン： 127.0.0.1:8088

手順 3：systemd サービスの設定 (CentOS)

安定した運用のために、OS 起動時に自動起動するよう、プロキシを systemd サービスとして設定します。

1. aliyun-mcp-proxy.service という名前のsystemd サービスファイルを作成します。

   注意：

   • your-userを、このサービスを実行する実際の root 以外のユーザー名に置き換えます。 このユーザーは、aliyun configure を使用して認証情報を設定しておく必要があります。

   • ExecStart 行では、$(which aliyun) によって aliyun コマンドのパスが自動的に検索されます。失敗した場合は、which aliyun コマンドの出力結果 (たとえば /usr/local/bin/aliyun) に手動で置き換えてください。

   sudo tee /etc/systemd/system/aliyun-mcp-proxy.service << 'EOF'
   [Unit]
   Description=Aliyun CLI MCP Proxy
   After=network.target
   [Service]
   Type=simple
   User=your-user
   ExecStart=$(which aliyun) mcp-proxy --host 127.0.0.1 --port 8088 --no-browser
   Restart=always
   RestartSec=10
   Environment=HOME=/home/your-user
   [Install]
   WantedBy=multi-user.target
   EOF

2. systemd の設定を再読み込みし、サービスを起動します。

   # 設定を再読み込み
   sudo systemctl daemon-reload
   # サービスを起動
   sudo systemctl start aliyun-mcp-proxy
   # 起動時にサービスを自動起動するように設定
   sudo systemctl enable aliyun-mcp-proxy

手順 4：プロキシサービスの確認

サービスが実行中であることを確認します。

• サービスステータスの表示

  サービスステータスを確認します。

  sudo systemctl status aliyun-mcp-proxy

  出力に active (running) と表示されている場合、サービスは正常に起動しています。

• プロキシポートへのリクエスト

  プロキシポートにテストリクエストを送信します。

  curl http://127.0.0.1:8088/

  正常に動作しているプロキシからは MCP サーバーからの XML エラーレスポンスが返され、接続が確立されていることを確認できます。

  <?xml version='1.0' encoding='UTF-8'?><Error><RequestId>B3311876-XXXXX</RequestId><HostId>openapi-mcp.cn-hangzhou.aliyuncs.com</HostId><Code>InvalidAction.NotFound</Code><Message>Specified api is not found, please check your url and method.</Message><Recommend><![CDATA[https://api.aliyun.com/troubleshoot?q=InvalidAction.NotFound&product=OpenAPIExplorer&requestId=B3311876-XXX]]></Recommend></Error>

手順 1：ホスト IP の取得とプロキシの起動

Dify コンテナは、ホストマシンの Docker ブリッジ IP を介して mcp-proxy にアクセスします。

1. Docker ブリッジ IP アドレスを取得します。

   ip addr show docker0 | grep "inet\b" | awk '{print $2}' | cut -d/ -f1

   このコマンドは、172.17.0.1 のような IP アドレスを返します。

2. aliyun mcp-proxy をフォアグラウンドで起動するか、または systemd の起動コマンドを変更してサービスとして実行します。

   aliyun mcp-proxy --host 172.17.0.1 --port 8088 --no-browser

手順 2：Dify での MCP サーバーの設定

1. Dify で、[Tools] > [MCP] 設定ページに移動します。

2. [Add MCP Server (HTTP)] をクリックします。

3. [server endpoint URL] フィールドに、MCP プロキシアドレスを入力します。

   OpenAPI MCP Service コンソールで [Streamable HTTP Endpoint] を確認し、ホストをプロキシアドレスに置き換えます。

   変換例：

   • 元のエンドポイント：
     https://openapi-mcp.cn-hangzhou.aliyuncs.com/accounts/1234/custom/cli-proxy-test/id/1234/mcp
     
     
     
     
     
     
     
     

   • プロキシ経由のエンドポイント: (プロキシが172.17.0.1:8088 で実行されている場合):
     http://172.17.0.1:8088/accounts/1234/custom/cli-proxy-test/id/1234/mcp
     
     
     
     
     
     
     
     

4. 残りのフィールドを入力し、[Add & Authorize] をクリックします。Dify は、このプロキシ経由で MCP トラフィックをルーティングします。

対策

• 環境の分離：信頼できる単一ユーザー環境でのみプロキシを実行してください。

• ネットワークアクセス制御: --host を 127.0.0.1 (デフォルト) または特定の内部 IP アドレスにバインドします。ファイアウォールまたはセキュリティグループのルールを使用して、プロキシポートへのアクセスを制限します。ポートをパブリックインターネットに絶対に公開しないでください。

• サーバーアクセス制御：--allowed-servers (許可リスト) または --blocked-servers (ブロックリスト) を使用して、アクセス可能な MCP サーバーを制限します。 サーバーアクセス制御を構成する。

• 最小権限の原則：CLI ユーザーと MCP サーバーに必要最小限の権限のみを付与してください。読み取り専用アクセスを優先してください。

• 監査とモニタリング：プロキシアクセスログを定期的に確認してください。ブロックされたリクエストはログに記録されます。

サーバーアクセス制御の設定

aliyun mcp-proxy は、アクセス可能な MCP サーバーを制限するための許可リストモードとブロックリストモードをサポートしています。

利用可能なサーバー：
  - cloudphone
    MCP: http://127.0.0.1:8088/accounts/0000000000000000/system/eds-aic/cloudphone/id/XSkb9v4dXx000000/mcp
    SSE: http://127.0.0.1:8088/accounts/0000000000000000/system/eds-aic/cloudphone/id/XSkb9v4dXx000000/sse
  - multi_account
    MCP: http://127.0.0.1:8088/accounts/0000000000000000/custom/multi_account/id/OV0Qkpxh0Uodx000/mcp
    SSE: http://127.0.0.1:8088/accounts/0000000000000000/custom/multi_account/id/OV0Qkpxh0Uodx000/sse

......./system/eds-aic/$server_name/id/$server_id/mcp
......./custom/$server_name/id/$server_id/mcp

MCP プロキシサーバーが起動しました
リッスン： 127.0.0.1:8088
リージョン： CN
アクセス制御：
  ブロックリスト (ブロックされたサーバー)：
    - ram
  許可リスト (許可されたサーバー)：
    - ecs
    - oss
利用可能なサーバー：
  - ecs
    MCP: http://127.0.0.1:8088/acs/mcp-server/ecs/mcp
  - oss
    MCP: http://127.0.0.1:8088/acs/mcp-server/oss/mcp
  - ram (ブロック済み)

セキュリティインシデント対応

プロキシの認証トークンが漏洩または悪用された疑いがある場合：

• MCP Proxy サービスを停止します。

• ローカル設定ファイルを削除します：rm ~/.aliyun/.mcpproxy_config。

• Alibaba Cloud コンソールで OAuth 認可を取り消します。

• API 呼び出しログを確認し、異常な操作を特定します。

• MCP Proxy を再設定し、新しいトークンを生成します。

OAuth 認証のために aliyun mcp-proxy を実行した後、「ERROR: OAuth flow returned empty RefreshToken」エラーが発生してプロキシの起動に失敗します。なぜこのエラーが発生するのですか?

これは通常、OAuth アプリケーションのタイプまたは ID が正しくないことが原因です。次の点を確認してください。

• 使用する OAuth アプリケーションタイプが Native であること。

• Alibaba Cloud アカウントまたは RAM ユーザーで認証していること。RAM ロールを引き受けた状態では、リフレッシュトークンは取得できません。

Dify で Connection Refused または Timeout エラーが発生します

次の設定を確認してください。

1. --host を Docker ブリッジ IP またはホスト内部 IP に設定して、コンテナが mcp-proxy サービスにアクセスできるようにします。

2. ECS セキュリティグループまたはホストファイアウォールは、Docker コンテナからプロキシポート (例: 8088) への TCP トラフィックを許可する必要があります。

mcp-proxy のログを表示する方法は?

systemd デプロイメントでリアルタイムログを表示するには、次を使用します。

sudo journalctl -u aliyun-mcp-proxy -f