O recurso MCP de múltiplas contas permite utilizar um único OpenAPI MCP Server centralizado e um modelo de acesso consistente para gerenciar recursos em todas as suas contas Alibaba Cloud.
Opções de configuração para múltiplas contas
Na página de configuração do OpenAPI MCP Server no console, utilize a lista suspensa Multi-account MCP para definir o escopo de acesso do servidor. A tabela a seguir descreve as opções disponíveis.
|
Opção |
Descrição |
|
Only this account |
O MCP Server opera exclusivamente nos recursos cloud da conta atual. |
|
Multiple accounts |
O MCP Server opera nos recursos cloud tanto da conta atual quanto de outras contas. |
Nome da função RAM para múltiplas contas
A tabela abaixo detalha os tipos de função disponíveis para Multi-account RAM role name.
|
Opção |
Caso de uso |
Descrição |
|
Resource Directory management role ResourceDirectoryAccountAccessRole |
Indicado quando sua organização utiliza uses Resource Directory to set up a multi-account environment e seu usuário RAM pertence à conta de gerenciamento. Selecione esta função para gerenciar recursos em todas as contas-membro. |
O Resource Directory cria automaticamente uma função RAM chamada ResourceDirectoryAccountAccessRole em todas as contas-membro. A política de confiança dessa função designa a conta de gerenciamento como entidade confiável, permitindo que ela assuma a função e acesse as contas-membro. |
|
Custom role |
Utilize para delegar acesso entre duas contas Alibaba Cloud quaisquer. |
Crie manualmente uma função RAM na conta Alibaba Cloud de destino e defina sua entidade confiável como a conta Alibaba Cloud usada para criar o OpenAPI MCP Server. Conceda as permissões necessárias à função RAM. |
Escolha o exemplo correspondente ao seu cenário:
Função de gerenciamento do Resource Directory — Caso sua organização utilize o Resource Directory e seu usuário RAM pertença à conta de gerenciamento, siga Example 1: Use the Resource Directory management role.
Função personalizada — Para delegar acesso entre duas contas Alibaba Cloud quaisquer, siga Example 2: Use a custom role. É necessário criar uma função RAM personalizada em cada conta de destino antes de iniciar.
Pré-requisitos
Autorização OAuth — O recurso MCP de múltiplas contas utiliza assunção de função. Utilize um usuário ou uma função do Resource Access Management (RAM) para a autorização OAuth. Não é possível usar uma conta Alibaba Cloud diretamente para essa finalidade.
Exemplo 1 — Sua organização usa o Resource Directory para configurar um ambiente de múltiplas contas e seu usuário RAM pertence à conta de gerenciamento.
Exemplo 2 — Crie uma função RAM em cada conta de negócios que a equipe de operações precise acessar. A função deve confiar na conta Alibaba Cloud da equipe de operações e possuir as permissões necessárias. Para obter instruções, consulte Step 1: Create a RAM role in each business account no Exemplo 2.
Etapas comuns do cliente MCP
Ambos os exemplos neste tópico compartilham as etapas a seguir. Execute-as após criar o OpenAPI MCP Server. Este tópico utiliza o Tongyi Lingma como cliente MCP.
Configure o OpenAPI MCP Server conforme as instruções em Configure MCP in Tongyi Lingma.
Na interface do Tongyi Lingma, clique em Agent no canto inferior esquerdo para alternar para o modo de agente.
Na caixa de entrada, insira uma consulta em linguagem natural especificando a conta e a região de destino, como "Consultar o status de execução das instâncias ECS na conta X na região Y" e clique em Send. Quando a ferramenta MCP é executada, o OpenAPI MCP Server assume automaticamente a função na conta de destino (se as permissões forem suficientes) e realiza a operação.
Exemplo 1: uso da função de gerenciamento do Resource Directory
Se sua organização utiliza o Resource Directory para gerenciar um ambiente de múltiplas contas, assuma a função RAM ResourceDirectoryAccountAccessRole nas contas-membro para acessar seus recursos cloud.
Etapa 1: criar um OpenAPI MCP Server na conta de gerenciamento
Acesse a página Alibaba Cloud OpenAPI MCP Server para criar um service MCP. Selecione Multiple accounts. Em Multi-account RAM role name, selecione Resource Directory management role ResourceDirectoryAccountAccessRole.
Por exemplo, insira multi-account em Name, selecione Chinese em Documentation Language e escolha Alibaba Cloud Official OAuth em OAuth Configuration.
Etapa 2: monitorar o status dos recursos cloud nas contas-membro pelo cliente MCP
Conecte o cliente MCP e insira uma consulta para a conta-membro de destino conforme descrito em Common MCP client steps.
O Tongyi Lingma utiliza a ferramenta MCP rd-role/Ecs-20140526-DescribeInstanceStatus para consultar o status das instâncias ECS na conta-membro de destino na região China (Hangzhou) (cn-hangzhou). O resultado mostra que há uma instância ECS na conta e seu status é Running.
Exemplo 2: uso de uma função personalizada
Neste exemplo, uma empresa adota uma arquitetura de múltiplas contas. Departamentos como P&D, marketing, operações e finanças são atribuídos a contas separadas para isolamento de recursos e controle de acesso. A equipe de operações precisa monitorar centralmente os recursos cloud das contas de negócios. Para acessar esses recursos com segurança, a conta da equipe de operações assume uma função RAM criada em cada conta de negócios.
Etapa 1: criar uma função RAM em cada conta de negócios
Em cada conta de negócios que a equipe de operações precisa acessar, crie uma função RAM que a conta da equipe de operações possa assumir.
Acesse a página Create Role no console RAM. Crie uma função RAM selecionando Cloud Account em Trusted Entity Type. Selecione Other Alibaba Cloud Account como entidade confiável, insira o ID da conta Alibaba Cloud da equipe de operações e clique em OK.
Os engenheiros de O&M acessam os recursos cloud da conta de negócios assumindo essa função. Portanto, conceda à função RAM permissões sobre os recursos correspondentes. Para saber como conceder permissões a uma função RAM, consulte Manage the permissions of a RAM role.
Forneça o nome desta função RAM à equipe de operações.
Etapa 2: criar um OpenAPI MCP Server
A partir da conta Alibaba Cloud da equipe de operações, acesse a página Alibaba Cloud OpenAPI MCP Server para criar um service MCP. Selecione Multiple accounts e insira o nome da função RAM fornecido pela conta de negócios em Multi-account RAM role name.
Por exemplo, insira multi-account em Name, selecione Chinese em Documentation Language, escolha Alibaba Cloud Official OAuth em OAuth Configuration e insira um nome de função personalizada como multi-account-test.
Etapa 3: executar operações MCP no cliente MCP
Um engenheiro de O&M pode monitorar o status de execução das instâncias ECS nas contas de negócios a partir do cliente MCP. Conecte o cliente MCP e insira uma consulta para a conta de negócios de destino conforme descrito em Common MCP client steps. A ferramenta MCP identifica a conta de destino usando o parâmetro x_assume_account_id.
Por exemplo, o Tongyi Lingma executa a ferramenta MCP multi-account/Ecs-20140526-DescribeInstances e define RegionId como cn-hangzhou para consultar instâncias ECS na região China (Hangzhou). O OpenAPI MCP Server alterna automaticamente para a conta de destino para concluir a chamada. O resultado mostra duas instâncias ECS na conta, ambas no estado Running.