Содержание

1. Обзор

• Стоимость

2. Предварительные требования

• Операционная система

3. Шаги развертывания
4. Валидация развертывания
5. Запуск руководства
6. Следующие шаги
7. Уборка
8. FAQ, известные проблемы, дополнительные соображения и ограничения
9. Правки
10. Уведомления

Обзор

Это руководство демонстрирует, как развернуть серверы Model Context Protocol (MCP) на AWS с защищённой аутентификацией с использованием Amazon Cognito, реализуя спецификацию 2025-06-18 MCP с OAuth 2.0 Protected Resource Metadata (RFC9728). Оно позволяет размещать MCP-серверы, к которым можно получить удалённый доступ при сохранении безопасности через стандартизированные потоки аутентификации OAuth 2.0.

Решение решает несколько ключевых задач:

• Безопасный хостинг MCP-серверов на инфраструктуре AWS
• Аутентификация, соответствующая стандартам, с использованием метаданных защищённого ресурса OAuth 2.0 (RFC9728)
• Удалённый доступ к MCP-серверам через безопасный транспорт StreamableHTTP
• Архитектура серверов без состояния для поддержки параллельных клиентов
• Масштабируемое и поддерживаемое развертывание с использованием AWS CDK

Архитектура

Архитектура реализует:

1. CloudFront-дистрибуция для глобальной доставки контента с WAF-защитой

Guidance for Deploying Model Context Protocol Servers on AWS

Table of Contents

1. Overview
   • Cost
2. Prerequisites
   • Operating System
3. Deployment Steps
4. Deployment Validation
5. Running the Guidance
6. Next Steps
7. Cleanup
8. FAQ, known issues, additional considerations, and limitations
9. Revisions
10. Notices

Overview

This guidance demonstrates how to deploy Model Context Protocol (MCP) servers on AWS with secure authentication using Amazon Cognito, implementing the 2025-06-18 MCP specification with OAuth 2.0 Protected Resource Metadata (RFC9728). It enables you to host MCP servers that can be accessed remotely while maintaining security through standards-compliant OAuth 2.0 authentication flows.

The solution addresses several key challenges:

• Secure hosting of MCP servers on AWS infrastructure
• Standards-compliant authentication using OAuth 2.0 Protected Resource Metadata (RFC9728)
• Remote access to MCP servers through secure StreamableHTTP transport
• Stateless server architecture for concurrent client support
• Scalable and maintainable deployment using AWS CDK

Architecture

The architecture implements:

1. CloudFront distribution for global content delivery with WAF protection
2. Application Load Balancer for traffic distribution and SSL termination
3. ECS Fargate and Lambda for containerized and serverless MCP servers
4. AWS Cognito for OAuth 2.0 authorization server functionality
5. OAuth 2.0 Protected Resource Metadata endpoints for standards-compliant authentication
6. StreamableHTTP transport with stateless request handling
7. Four-stack CDK deployment: VPC, Security, CloudFront WAF, and MCP Server stacks

Cost

You are responsible for the cost of the AWS services used while running this Guidance. As of August 2025, the cost for running this Guidance with the default settings in the US East (N. Virginia) Region is approximately $194.18 per month for processing moderate traffic levels.

We recommend creating a Budget through AWS Cost Explorer to help manage costs. Prices are subject to change. For full details, refer to the pricing webpage for each AWS service used in this Guidance.

Estimated Cost Table

The following table provides a sample cost breakdown for deploying this Guidance with the default parameters in the US East (N. Virginia) Region for one month.

| AWS service | Dimensions | Cost [USD] |