KubeAid MCP

MCP-сервер для Kubernetes-кластеров под управлением KubeAid. Подключите его к Claude Code, Claude Desktop, Cursor или любому MCP-совместимому клиенту и задавайте вопросы вроде «какие приложения рассинхронизированы?», «почему kube-prometheus в статусе degraded?» или «синхронизируй приложение cert-manager» — модель отвечает, вызывая инструменты этого сервера, а те общаются с вашим кластером через ваши собственные учётные данные kubeconfig.

Написан на TypeScript поверх официальных @modelcontextprotocol/sdk и @kubernetes/client-node.

Автор: Deep Poharkar

Почему это специфично для KubeAid?

KubeAid управляет кластерами в стиле GitOps: каждое приложение — это ArgoCD-ресурс Application, сгенерированный из вашего репозитория kubeaid-config, а автосинхронизация по умолчанию отключена — расхождение между Git и кластером это норма, ожидающая осознанной синхронизации. Универсальный Kubernetes-ассистент такого процесса не понимает. Этот сервер — понимает.

• ArgoCD Application CR — полноценный объект: статус синхронизации, здоровье, проблемные conditions и рассинхронизированные ресурсы доступны одним вызовом инструмента.

• Синхронизация смоделирована как то самое явное решение «задеплоить сейчас», каким она является в KubeAid, — она доступна за опциональным флагом включения, поддерживает dry_run и никогда не выполняется на контекстах, помеченных вами как защищённые.

• Встроенные промпты кодируют эксплуатационные привычки KubeAid: сначала проверяйте расхождение, а потом синхронизируйте; вносите изменения в репозиторий kubeaid-config, а не правьте кластер вручную.

Инструменты

Инструменты чтения — регистрируются всегда:

Инструменты записи — регистрируются только при KUBEAID_MCP_ALLOW_WRITES=true:

Каждый инструмент принимает необязательный аргумент context, чтобы целиться в любой кластер из вашего kubeconfig, работая всего из одного процесса сервера.

Промпты

Промпты появляются в клиенте как slash-команды или пункты меню и проводят модель через рабочий процесс с помощью инструментов выше:

Быстрый старт

Требуется Node.js 20+.

git clone <your-repo-url> kubeaid-mcp
cd kubeaid-mcp
npm install
npm run build

Claude Code

claude mcp add kubeaid -- node "$(pwd)/dist/index.js"

По умолчанию — только чтение. Чтобы включить запись, оставив продакшн-окружение нетронутым:

claude mcp add kubeaid \
  -e KUBEAID_MCP_ALLOW_WRITES=true \
  -e KUBEAID_MCP_PROTECTED_CONTEXTS=prod-cluster-1,prod-cluster-2 \
  -- node "$(pwd)/dist/index.js"

Claude Desktop

Включите Settings → Developer → Local MCP servers, затем добавьте в открывшийся на этой странице файл конфигурации:

{
  "mcpServers": {
    "kubeaid": {
      "command": "node",
      "args": ["/absolute/path/to/kubeaid-mcp/dist/index.js"],
      "env": {
        "KUBEAID_MCP_ALLOW_WRITES": "true",
        "KUBEAID_MCP_PROTECTED_CONTEXTS": "prod-cluster-1"
      }
    }
  }
}

Полностью закройте и снова запустите приложение после этого.

Конфигурация

Вся конфигурация задаётся переменными окружения и считывается один раз при запуске:

Модель безопасности

Три независимых слоя:

1. Ограничение возможностей (capability gating) — при отключённых записях (по умолчанию) изменяющие инструменты вообще не регистрируются, поэтому модель их даже не видит.

2. Защищённые контексты — каждый изменяющий обработчик повторно проверяет целевой контекст по списку KUBEAID_MCP_PROTECTED_CONTEXTS и отказывается обрабатывать защищённые, что бы модель ни запрашивала.

3. Подтверждение клиентом — инструменты несут MCP-аннотации readOnlyHint/destructiveHint, поэтому корректно работающие клиенты запросят подтверждение перед рискованными вызовами.

Сервер не хранит никаких собственных учётных данных; он может делать только то, что вашей учётной записи kubeconfig уже разрешено делать по RBAC.

Разработка

npm run typecheck   # strict TS, no emit
npm run build       # compile to dist/
npm run smoke       # spawn the server, MCP handshake, list tools + prompts
KUBEAID_MCP_ALLOW_WRITES=true npm run smoke   # verify write tools register

Смоук-тесту не нужен кластер — он работает по сырому протоколу JSON-RPC через stdio.

Дорожная карта

• check_chart_updates: сравнение установленных версий чартов с каталогом argocd-helm-charts из апстрима KubeAid.

• Хелперы для Sealed Secrets: выводить статус SealedSecret, помечать неудачные расшифровки (unseal).

• Инструменты Prometheus/Alertmanager: показывать активные алстерты из kube-prometheus-стека, который поставляет KubeAid.

Благодарности

• KubeAid от Obmondo — стек управления кластерами, для которого создан этот сервер.

• Argo CD — GitOps-движок под капотом у KubeAid.

Лицензия

MIT © 2026 Deep Poharkar