阿里云OpenAPI MCP Server提供标准化接口协议，支持通过自然语言调用云资源API，并可通过OAuth和RAM权限管理实现安全访问与调优。 - OpenAPI Explorer

MCP（Model Context Protocol）是大模型与外部工具和数据源交互的标准化协议。阿里云 OpenAPI Explorer 提供 OpenAPI MCP Server，支持通过自然语言调用阿里云 API 操作云上资源。

选择使用方式

阿里云 OpenAPI MCP Server 提供以下两种使用方式：

对比项	Core 版	自定义版
上手速度	快：登录控制台后直接获取端点（Endpoint）。	中：需创建服务并选择 API。
API 覆盖范围	覆盖全部阿里云 OpenAPI。	仅覆盖已选择的 API。
API 匹配方式	大模型通过语义搜索自动匹配并调用 API。当多个 API 功能相近时，可能需要更明确的提示词。	选定的 API 直接作为 Tool 暴露，大模型无需搜索即可调用。
调优能力	不支持	支持：可修改 API 描述和参数。
服务数量	每个账号一个。	可创建多个，按场景划分。
适用场景	快速体验、探索性操作、跨产品联动。	固定业务流程、明确 API 需求、需要调优的场景。

选择建议

如需快速上手，或进行跨多个云产品的操作，建议使用 Core 版。
如已明确所需 API，希望大模型直接调用而无需搜索匹配，建议使用自定义版。

前提条件

已注册阿里云账号。如果使用 RAM 用户操作，需为其授予相应权限。具体操作，请参见为RAM用户授予操作MCP Server的权限。
使用管理员账号前往RAM 控制台 - OAuth 应用 - 第三方应用，安装 OpenAPI MCP Server 官方应用并分配，否则 MCP 服务将无法进行 OAuth 授权。具体操作，请参见安装和授权第三方应用。

获取 MCP 服务端点（Endpoint）

Core 版和自定义版的客户端配置流程一致，区别在于获取 MCP 服务端点的方式不同。

Core 版

登录后，系统将为 Core 版自动分配 MCP 服务端点，通过内置工具组合覆盖全部阿里云 OpenAPI。

登录阿里云 OpenAPI MCP 服务控制台。
在左侧导航栏，单击Core页签。页面将显示 Streamable HTTP Endpoint 和 SSE Endpoint。
如需修改 OAuth 或高级配置，单击对应的修改按钮：
- 多账号 MCP：用于在多账号场景下统一管理 MCP Server。具体操作，请参见多账号场景下如何使用OpenAPI MCP Server。
- 公网配置：开启公网访问后，MCP 服务可通过公网访问，适用于本地开发调试、跨地域协作或外部系统集成。
- 自定义VPC白名单：适用于对网络安全有严格管控要求的场景。

自定义版

自定义版需先创建 MCP 服务并选择所需 API。每个选定的 API 直接作为 MCP Tool 暴露给大模型，无需经过语义搜索即可调用。

登录阿里云 OpenAPI MCP 服务控制台。
在左侧导航栏，单击自定义 > 创建，进入 MCP 配置页面。
填写以下信息：
- 名称：长度为 3~16 位，支持小写字母、数字、下划线（_）和短划线（-）。例如 mcp-demo。
- 文档语言：选择 Tools 中 API 描述所使用的语言。
- OAuth 配置：
  - 阿里云官方 OAuth：适用于本地客户端，例如通义灵码、Cherry Studio、Cursor 等。
  - 自定义 OAuth：适用于自建平台或第三方服务，例如自部署的 Dify、AgentScope，以及 Claude Web/Mobile 等。
- 多账号 MCP：用于在多账号场景下统一管理 MCP Server。具体操作，请参见多账号场景下如何使用OpenAPI MCP Server。
- 云产品与 API 列表：为 MCP 服务配置 API Tools。
- Terraform Tools：以 Terraform HCL 代码的方式定义 MCP Tools。Terraform Tools 仅支持创建资源，不支持修改资源。具体操作，请参见OpenAPI MCP Server中如何使用Terraform Tools。
- 系统 Tools：官方预设的 Tools，选择后自动集成到 MCP 服务中。
- MCP 指令：用于提示大模型如何使用该 MCP，需要客户端支持 MCP 标准协议的 Instructions 字段。
- 备注：为 MCP 服务添加说明信息。
单击创建，并确认风险提示。创建完成后，页面将显示 Streamable HTTP Endpoint 和 SSE Endpoint。

说明

建议单个 MCP Server 选择的 API 数量不超过 30 个。如需使用更多 API，建议创建多个 MCP Server。

如果在 VPC 环境中使用 MCP，请优先使用页面中显示的 VPC 端点。

配置客户端

获取 MCP 服务端点后，在客户端中配置连接。以下配置方式适用于 Core 版和自定义版。支持的客户端包括Cherry Studio、通义灵码、Cursor、Cline等。

一键配置

控制台的 MCP 服务端点页面提供一键配置功能，支持将端点直接写入客户端。单击一键配置，选择目标客户端，按照提示完成操作。

配置过程中，浏览器将弹出用户授权页面，单击授权即可。

以 Cherry Studio 为例，授权成功后，MCP 工具加载完成：

手动配置

Cherry Studio

进入设置 > MCP服务器，选择添加 > 快速创建来添加 MCP 服务器。
填入名称，类型选择可流式传输的HTTP，URL 填入获取的 Streamable HTTP Endpoint。
单击右上角的保存按钮，浏览器将自动跳转至阿里云 OAuth 授权页面。确认授权信息后，单击授权。
完成授权后，Cherry Studio 会自动启动 MCP 服务。

通义灵码

打开通义灵码插件，在介绍页面中单击MCP工具。
在弹出窗口的右上角，单击+，选择手动添加。

在添加MCP服务窗口中填入以下内容，然后单击立即添加。

名称	MCP 服务的名称，建议与控制台创建的服务名称保持一致。
类型	固定选择`STDIO`。
命令	固定为`npx`。
参数	格式为 `mcp-remote-alibaba-cloud <SSE Endpoint>`。仅支持 SSE Endpoint，可从 MCP 服务端点页面获取。

在 OAuth 页面完成授权。
在通义灵码中启用 MCP 的效果如下：

Cursor

在 Cursor 菜单栏，依次选择File > Preferences > Cursor Settings > Tools & Integrations，然后单击Add Custom MCP配置 MCP Server。
从 MCP Server 配置页面复制内容，粘贴到 mcp.json 文件中，并按 Ctrl+S 保存。
在 OAuth 页面完成授权。
在 Cursor Settings 中可以查看已配置的 MCP Server 信息。

Cline

在 VS Code 中打开 Cline 插件，并输入 API Key。
在 Cline 顶部菜单栏，单击MCP Servers配置 MCP Server。
在 OAuth 页面完成授权。
授权完成后，Cline 底部的 MCP Servers 区域出现新配置的 MCP Server，表示配置成功。

使用 MCP

配置完成后，在客户端中使用自然语言即可操作云资源。更多集成方式，请参见更多集成 MCP 方式。

Core 版：直接用自然语言描述需求。大模型自动搜索匹配的 API、获取参数定义并执行调用，无需指定 API 名称和参数。例如，输入“帮我查询杭州地域的 ECS 实例”，大模型自动找到 DescribeInstances API 并完成调用。
自定义版：配置的 API 直接作为 Tool 暴露给大模型，无需搜索匹配，调用路径更短。当存在多个功能相近的 API 时，自定义版能确保大模型调用指定的 API。

Cherry Studio

在文本输入框的菜单中选择 MCP 服务器。
测试 MCP 功能。例如，查询某个地域下的 ECS 实例数量：
```
请帮我查询regionId为cn-chengdu的ECS实例列表，并设置x_mcp_region_id。
```
说明
如果 API 选择或参数设置出现偏差，可尝试优化提示词。自定义版还可通过 MCP 调优进一步解决。

Cursor

选择 Model 和 API Key。由于 Cursor 对 LLM provider 有要求（具体请参见Supported providers），因此在选择 Model 和 API Key 时需参考其说明。本示例使用默认值。
在 Cursor 对话框中单击Add Context，选择 MCP Server。
在对话框中输入自然语言测试 MCP 功能，例如“请帮我查询成都地域的 ECS 实例数量，仅显示实例个数。”。按回车键发送后，根据提示信息单击Run tool继续执行。
查看 MCP 执行结果。如果 API 选择或参数设置出现偏差，可尝试优化提示词。自定义版还可通过 MCP 调优进一步解决。

通义灵码

在通义灵码中选择智能体并输入提示内容，例如查询成都地域的 ECS 实例列表，并设置 x_mcp_region_id。
根据通义灵码的提示执行 MCP 工具。
查看结果。如果 API 选择或参数设置出现偏差，可尝试优化提示词。自定义版还可通过 MCP 调优进一步解决。

Cline

在 Cline 对话窗口中输入自然语言测试 MCP 功能，例如“请帮我查询成都地域的 ECS 实例数量”。
Cline 自动选择已配置的 MCP Server 中的 DescribeInstances 工具，并从输入中提取 RegionId 参数值。
查看 MCP 执行结果。如果 API 选择或参数设置出现偏差，可尝试优化提示词。自定义版还可通过 MCP 调优进一步解决。

MCP 调优（仅适用于自定义版）

Core 版通过内置工具自动处理 API 搜索和调用，不支持调优。

当大模型选择了错误的 API 或传递了不正确的参数时，可在服务端修改 API 的概述、说明和请求参数描述，帮助大模型更准确地理解和调用 API。

示例一：操作非 cn-hangzhou 地域的资源时，可能会出现报错或数据不准确

MCP 底层通过 x_mcp_region_id 切换 Endpoint。如果大模型未能根据输入理解需要传递 x_mcp_region_id，将默认操作 cn-hangzhou 地域的资源。

可以通过以下两种方式解决：

在提问时明确指示大模型设置 x_mcp_region_id。

请帮我查询regionId为cn-qingdao的ECS实例列表，并设置x_mcp_region_id。

在 MCP 服务端调整 API 的概述或请求参数 RegionId 的描述。
例如，在 API 概述中补充“将用户描述的地域传递给 x_mcp_region_id”，或在 RegionId 的描述中添加“如果参数 RegionId 存在，必须将其与 x_mcp_region_id 一起传递”。
操作步骤：
1. 访问自定义API MCP SERVER，单击目标 MCP 服务操作列的编辑。
2. 选中待调优的 API，单击其操作列的编辑。
3. 修改概述、API 请求说明或 API 参数描述等。
4. 保存修改后，在客户端断开并重新连接 MCP 服务，使修改生效。

示例二：删除 API 中部分非必填参数

部分非必填参数在特定场景下无需使用，可在 MCP 服务端删除。删除后，大模型在生成参数时会忽略这些参数，降低错误率并减少 Token 消耗。

MCP 访问控制

AI Agent 集成 OpenAPI MCP Server 后，Agent 本身不具备访问云资源的权限，必须由用户触发授权流程，以代理用户身份进行操作。例如，客户端通过唤起 OAuth 流程，在用户授权后，Agent 才能获得临时的访问权限。所有操作均需用户授权，Agent 能执行的任务受限于用户自身的权限，实现了最小权限原则。此外，操作审计记录的是实际执行操作的用户身份。

适用场景：CherryStudio、通义灵码、Qwen Code、Cursor、Claude Code、Dify、AgentScope、LangGraph 等客户端 Agent 或需要代理用户身份的场景。

常见问题

1. Tools 中的 API，在 MCP 客户端是否都可以调用？

不一定。调用是否成功取决于发起 OAuth 授权的 RAM 用户的权限。如果该 RAM 用户没有某个 API 的调用权限，则大模型也无法调用该 API。

解决方案：为 RAM 用户授予相应 API 的权限。具体操作，请参见为RAM用户授权。

重要

为防止大模型因理解错误而调用删除资源的 API，导致业务受到影响，建议不要为 RAM 用户授予删除资源的权限。

2. 使用 RAM 用户创建 MCP Server 时，提示无权限操作

解决方案：

为 RAM 用户授予系统权限策略 AliyunOpenAPIMCPServerFullAccess。具体操作，请参见为RAM用户授权。
为 RAM 用户授予自定义权限策略：
1. 使用管理员账号在RAM 控制台创建自定义权限策略。具体操作，请参见创建自定义权限策略。
  权限策略内容如下：
  点击查看 MCP Server 操作相关权限策略
  该权限策略包括创建、更新、查询及删除 MCP Server 的权限，以及查询 MCP 系统工具的权限。
```
{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "openapiexplorer:*Mcp*",
        "ram:*Application*"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ]
}
```
2. 使用管理员账号为目标 RAM 用户授予该自定义权限。具体操作，请参见为RAM用户授权。

3. MCP Server 连接端点（Endpoint）暴露后，是否会被他人盗用？

不会。客户端配置端点后会触发 OAuth 授权流程，用户需登录并授权。系统验证发起授权的 RAM 用户所属主账号与 MCP Server 所属主账号是否一致，只有两者一致时才能访问。