KubeAid MCP

Ein MCP-Server für KubeAid-verwaltete Kubernetes-Cluster. Integrieren Sie ihn in Claude Code, Claude Desktop, Cursor oder einen beliebigen MCP-kompatiblen Client und stellen Sie Fragen wie „welche Apps sind nicht mehr synchron?“, „warum ist kube-prometheus degraded?“ oder „synchronisiere die cert-manager-App“ — das Modell antwortet, indem es die Tools dieses Servers aufruft, die über Ihre eigenen kubeconfig-Anmeldeinformationen mit Ihrem Cluster sprechen.

In TypeScript gebaut auf dem offiziellen @modelcontextprotocol/sdk und @kubernetes/client-node.

Autor: Deep Poharkar

Warum KubeAid-spezifisch?

KubeAid betreibt Cluster auf GitOps-Weise: Jede Anwendung ist eine ArgoCD-Application, die aus Ihrem kubeaid-config-Repo generiert wird, und Auto-Sync ist standardmäßig deaktiviert — Drift zwischen Git und Cluster ist normal und wartet auf einen bewussten Sync. Ein allgemeiner Kubernetes-Assistent versteht diesen Workflow nicht. Dieser Server schon:

• Die ArgoCD-Application-CR ist ein Bürger erster Klasse: Sync-Status, Health, fehlgeschlagene Bedingungen und abgedriftete Ressourcen sind nur einen Tool-Aufruf entfernt.

• Sync wird als die explizite „Jetzt bereitstellen“-Entscheidung modelliert, die es in KubeAid ist — abgesichert hinter einem Opt-in-Flag, mit dry_run-Unterstützung, und auf Kontexten, die Sie als geschützt markieren, nie erlaubt.

• Die gebündelten Prompts kodieren KubeAid-Betriebsgewohnheiten: Drift vor dem Sync prüfen, Dinge im kubeaid-config-Repo beheben, anstatt den Cluster von Hand zu bearbeiten.

Tools

Lese-Tools — immer registriert:

Schreib-Tools — nur registriert, wenn KUBEAID_MCP_ALLOW_WRITES=true:

Jedes Tool akzeptiert ein optionales context-Argument, um von einem einzelnen Serverprozess aus jeden Cluster in Ihrer kubeconfig anzusteuern.

Prompts

Prompts erscheinen als Slash-Befehle / Menüpunkte im Client und führen das Modell mit den obigen Tools durch einen Workflow:

Schnellstart

Erfordert Node.js 20+.

git clone <your-repo-url> kubeaid-mcp
cd kubeaid-mcp
npm install
npm run build

Claude Code

claude mcp add kubeaid -- node "$(pwd)/dist/index.js"

Standardmäßig schreibgeschützt. Um Schreibzugriff zu aktivieren und die Produktion unantastbar zu lassen:

claude mcp add kubeaid \
  -e KUBEAID_MCP_ALLOW_WRITES=true \
  -e KUBEAID_MCP_PROTECTED_CONTEXTS=prod-cluster-1,prod-cluster-2 \
  -- node "$(pwd)/dist/index.js"

Claude Desktop

Aktivieren Sie Einstellungen → Entwickler → Lokale MCP-Server und fügen Sie dann der Konfigurationsdatei, die diese Seite öffnet, Folgendes hinzu:

{
  "mcpServers": {
    "kubeaid": {
      "command": "node",
      "args": ["/absolute/path/to/kubeaid-mcp/dist/index.js"],
      "env": {
        "KUBEAID_MCP_ALLOW_WRITES": "true",
        "KUBEAID_MCP_PROTECTED_CONTEXTS": "prod-cluster-1"
      }
    }
  }
}

Beenden Sie die App danach vollständig und öffnen Sie sie erneut.

Konfiguration

Die gesamte Konfiguration erfolgt über Umgebungsvariablen, die beim Start einmal gelesen werden:

Sicherheitsmodell

Drei unabhängige Ebenen:

1. Capability-Gating — bei deaktiviertem Schreibzugriff (Standard) werden mutierende Tools nie registriert, sodass das Modell sie nicht einmal sehen kann.

2. Geschützte Kontexte — jeder mutierende Handler prüft den Zielkontext erneut gegen KUBEAID_MCP_PROTECTED_CONTEXTS und lehnt geschützte ab, ganz gleich, was das Modell verlangt.

3. Client-Bestätigung — Tools tragen MCP-readOnlyHint/destructiveHint-Annotationen, sodass sich gut verhaltende Clients Sie vor riskanten Aufrufen um Bestätigung bitten.

Der Server besitzt keine eigenen Anmeldeinformationen; er kann nur das tun, wozu Ihre kubeconfig-Identität bereits über RBAC autorisiert ist.

Entwicklung

npm run typecheck   # strict TS, no emit
npm run build       # compile to dist/
npm run smoke       # spawn the server, MCP handshake, list tools + prompts
KUBEAID_MCP_ALLOW_WRITES=true npm run smoke   # verify write tools register

Der Smoke-Test benötigt keinen Cluster — er steuert das rohe JSON-RPC-Protokoll über stdio.

Roadmap

• check_chart_updates: vergleicht die bereitgestellten Chart-Versionen mit dem Upstream-Verzeichnis argocd-helm-charts von KubeAid.

• Sealed-Secrets-Helfer: SealedSecret-Status auflisten, fehlgeschlagene Entsiegelungen markieren.

• Prometheus/Alertmanager-Tools: aktive Alerts aus dem kube-prometheus-Stack anzeigen, den KubeAid mitliefert.

Danksagungen

• KubeAid von Obmondo — der Cluster-Management-Stack, für den dieser Server gebaut wurde.

• Argo CD — die GitOps-Engine unter KubeAid.

Lizenz

MIT © 2026 Deep Poharkar