Amazon Bedrock AgentCore RuntimeでカスタムMCPプロキシをサーバーレス展開する方法
本記事は、AIエージェントがツールと連携する際のガバナンスとセキュリティを強化するための高度なアーキテクチャパターンを解説しています。AIエージェントがモデルコンテキストプロトコル（MCP）を通じてデータベースクエリやAPIコールを行う際、本番環境では入力のサニタイズ、監査証跡の生成、機密データのマスキングなど、厳格な制御が必要です。Amazon Bedrock AgentCore Gatewayは中央集権的なガバナンスを提供しますが、カスタムロジックを組み込む場合、独自の課題が生じます。そこで、本記事では、AgentCore Runtime上でサーバーレスMCPプロキシをデプロイする手法を提案しています。このプロキシは、MCPクライアントとアップストリームMCPサーバーの間に介在し、プロトコル層でカスタムロジックを適用する「プログラマブルな層」を提供します。具体的には、プロキシが起動時にアップストリームサーバーから利用可能な全ツールカタログを動的に取得し、クライアントにはそのままのツールセットを提供します。その後、クライアントからのリクエストはプロキシを経由し、プロキシがカスタムロジックを適用した上で、アップストリームサーバーに転送します。この仕組みにより、アップストリームサーバーやクライアントを修正することなく、プロトコルレベルでカスタム制御を導入できます。認証面では、エージェントからプロキシへの接続にはAgentCore Identityが、プロキシからアップストリームサーバーへの接続にはAWS SigV4（IAMベース）またはOAuth 2.0（JWTベース）がそれぞれ独立して適用され、多層的な信頼境界が確保されています。このパターンは、既存のカスタムフィルタリングロジックを再利用したい組織や、ハイブリッド環境での移植性を重視する組織にとって特に有用です。
背景
AIエージェントの普及に伴い、エージェントが外部ツール（API、データベースなど）と連携する際のセキュリティとガバナンスの確保が喫緊の課題となっています。従来のゲートウェイやインターセプターでは対応しきれない、プロトコル層での高度なカスタム制御や、複数のシステムにまたがる移植性の高い制御レイヤーが必要とされています。
重要用語解説
- モデルコンテキストプロトコル (MCP): AIエージェントが外部ツールやサービスと連携するための標準的な通信プロトコル。ツール利用の定義や呼び出しを行う際に使用されます。
- Amazon Bedrock AgentCore Runtime: AIエージェントのデプロイとMCPサーバーのホスティングを可能にする、フルマネージドなサーバーレスコンピューティング環境。自動スケーリングやオブザーバビリティを提供します。
- MCPプロキシ: MCPクライアントとアップストリームMCPサーバーの間に介在し、リクエストを傍受・検証・変換などのカスタムロジックを適用してから転送する中間層のサーバー。
今後の影響
本パターンを導入することで、企業はAIエージェントの外部連携におけるセキュリティポリシーやコンプライアンス要件を、基盤システムを変更することなく柔軟に適用できるようになります。これにより、ガバナンスが強化され、より安全かつ信頼性の高いAIアプリケーションの構築が可能となり、エンタープライズAI導入の障壁が低減すると予想されます。