scaleway-ops-mcp-server

Scaleway IAM(애플리케이션, API 키, 정책, 권한 세트) 및 Object Storage 버킷 정책 관리를 위한 MCP 서버입니다.

존재 이유

새로운 서비스를 위한 범위가 지정된 Scaleway 자격 증명을 프로비저닝하는 작업(IAM 애플리케이션 생성, API 키 발급, IAM 정책 연결, 대상 버킷에 버킷 정책 연결)은 이전에 웹 콘솔을 통해 수동으로 수행되던 반복적인 작업이었습니다. 이 서버는 실제 Scaleway API를 래핑하여 에이전트가 대신 도구 호출을 통해 이 작업을 수행할 수 있도록 합니다. 이 서버가 해결하고자 하는 해당 API의 비직관적인 부분은 docs/gotchas.md를 참조하세요.

Related MCP server: AWS Security MCP Server

설정

npm install
npm run build

구성

환경 변수 (.env.example 참조):

이 서버가 실행되는 자격 증명에는 자체 IAM 정책이 필요합니다. (최소) IAMApplicationManager + IAMPolicyManager(조직 범위) 및 ObjectStorageFullAccess(프로젝트 범위)를 부여해야 합니다. 이 두 가지가 별도의 정책 규칙이어야 하는 이유는 docs/gotchas.md를 참조하세요. scaleway-ops-mcp 애플리케이션(2026-08-12에 프로비저닝됨)에는 이미 이 정책이 있습니다. 특별히 다른 범위의 ID를 원하지 않는 한 새 자격 증명을 발급하지 말고 해당 자격 증명을 재사용하세요.

실행

Claude Code / 모든 MCP 클라이언트를 통해 stdio 서버로 실행:

{
  "mcpServers": {
    "scaleway-ops": {
      "command": "node",
      "args": ["/absolute/path/to/scaleway-ops-mcp-server/dist/index.js"],
      "env": {
        "SCW_ACCESS_KEY": "...",
        "SCW_SECRET_KEY": "...",
        "SCW_ORGANIZATION_ID": "...",
        "SCW_PROJECT_ID": "..."
      }
    }
  }
}

도구

IAM 애플리케이션

• scaleway_iam_create_application, scaleway_iam_list_applications, scaleway_iam_get_application, scaleway_iam_update_application, scaleway_iam_delete_application

IAM API 키

• scaleway_iam_create_api_key, scaleway_iam_list_api_keys, scaleway_iam_update_api_key, scaleway_iam_delete_api_key

• update_api_key는 description/expires_at/default_project_id만 다룹니다. access_key/secret_key 쌍은 절대 변경되지 않으므로 자격 증명을 순환시키지 않습니다.

IAM 정책

• scaleway_iam_create_policy, scaleway_iam_list_policies, scaleway_iam_get_policy, scaleway_iam_update_policy, scaleway_iam_delete_policy

• update_policy는 name/description/tags만 다룹니다. rules의 경우 아래 두 도구를 사용하세요. get_policy는 rules를 반환하지 않습니다.

IAM 정책 규칙 (정책 객체 자체와는 별도의 엔드포인트 - docs/gotchas.md 참조)

• scaleway_iam_list_policy_rules, scaleway_iam_set_policy_rules (원자적 전체 교체 PUT, 삭제 후 재생성 잠금 위험 없음)

IAM 사용자 (사람 ID, 이슈 #4; 초대 의미론 미확인 - gotchas 참조)

• scaleway_iam_list_users, scaleway_iam_get_user

• scaleway_iam_create_user (확인 보호됨; 실제 초대 이메일 전송 - 일회용 사서함 없이 의미론 미확인)

• scaleway_iam_update_user (프로필 필드), scaleway_iam_delete_user (확인 + 소유자 거부 + 게스트 범위 API 오류 표시)

• scaleway_iam_lock_user / scaleway_iam_unlock_user (잠금은 확인 보호됨 - 사람에 대해 작동)

• scaleway_iam_update_user_password (관리자 설정 재설정, 확인 보호됨), scaleway_iam_update_user_username (확인 보호됨)

• scaleway_iam_delete_user_mfa_otp (확인 보호됨, 보안 약화), scaleway_iam_list_user_grace_periods

IAM 그룹 (이슈 #5; 정책 도구가 이미 허용하는 group_id 보안 주체 루프 완성 - 완전히 실시간 검증됨, 폭발 반경 제로)

• scaleway_iam_list_groups (이름은 정확히 일치, 부분 문자열 아님), scaleway_iam_get_group

• scaleway_iam_create_group (확인 불필요 - 되돌릴 수 있으며, 누구에게도 부작용 없음), scaleway_iam_update_group (이름/설명/태그)

• scaleway_iam_delete_group (확인 보호됨; 관리형/특수/deletable=false 그룹은 도구 측에서 거부)

• scaleway_iam_add_group_member (한 명의 사용자 및/또는 하나의 애플리케이션), scaleway_iam_add_group_members (대량, 추가) — 둘 다 관리형/특수/editable=false 그룹 거부

• scaleway_iam_set_group_members (확인 보호됨; 전체 교체 - 생략된 구성원은 제거됨), scaleway_iam_remove_group_member (확인 보호됨) — 동일한 특수/편집 불가 거부

IAM SSH 키 (이슈 #6; 이 서버의 다른 IAM 도구와 달리 projects 범위 권한 - gotchas 참조)

• scaleway_iam_list_ssh_keys, scaleway_iam_get_ssh_key, scaleway_iam_create_ssh_key (공개 키만 해당 - 개인 키처럼 보이는 것은 거부), scaleway_iam_update_ssh_key (이름 변경만), scaleway_iam_delete_ssh_key (확인 보호됨)

IAM JWT (이슈 #6; 브라우저/콘솔 세션 토큰, API 키 아님)

• scaleway_iam_list_jwts, scaleway_iam_get_jwt, scaleway_iam_delete_jwt (확인 보호됨) - list는 권한에 관계없이 애플리케이션/API 키 자격 증명에 대해 구조적으로 403을 반환합니다(gotchas 참조). get/delete가 더 나은 경우를 대비하여 수정된 /jwts 경로에 따라 구현되었습니다.

IAM SAML SSO (이슈 #6; 조직 전체 - 이 문제가 발견된 라이브 인시던트는 gotchas 참조)

• scaleway_iam_get_saml_config, scaleway_iam_enable_saml / update_saml / disable_saml (모두 확인 보호됨, 조직 전체 폭발 반경), scaleway_iam_list/add/get/delete_saml_certificate (파괴적인 경우 add/get/delete 확인 보호됨; 단일 인증서 경로 미확인, gotchas 참조)

IAM SCIM 프로비저닝 (이슈 #6; SAML과 동일한 조직 전체 주의)

• scaleway_iam_get_scim_config, scaleway_iam_enable_scim / disable_scim (확인 보호됨), scaleway_iam_list/create/delete_scim_token (create/delete 확인 보호됨; 토큰 시크릿은 API 키처럼 한 번 반환됨)

IAM 보안 설정 (이슈 #6; 조직 전체 인증 정책 - 양방향 실시간 검증됨)

• scaleway_iam_get_security_settings, scaleway_iam_update_security_settings (확인 보호됨; 전달된 필드만 변경됨)

IAM 권한 세트

• scaleway_iam_list_permission_sets - 정책을 생성/연결하기 전에 호출하세요. docs/gotchas.md를 참조하세요.

Object Storage 버킷 (S3 호환 엔드포인트, IAM API와 별도의 인증 경로)

• scaleway_s3_create_bucket, scaleway_s3_list_buckets, scaleway_s3_delete_bucket - 버킷 수명 주기.

Object Storage 버킷 구성 (이슈 #7; 동작 사실은 2026-08-18에 실시간 검증됨, docs/gotchas.md 참조)

• 태그: scaleway_s3_get/put/delete_bucket_tagging (put = 전체 교체).

• CORS: scaleway_s3_get/put/delete_bucket_cors (put = 전체 교체).

• 버전 관리: scaleway_s3_get_bucket_versioning, scaleway_s3_set_bucket_versioning (일시 중단은 확인 필요).

• 웹사이트: scaleway_s3_get/put/delete_bucket_website (put은 엔드포인트를 게시하며, 확인 필요).

• 가시성: scaleway_s3_get/set_bucket_visibility - 캔드 ACL을 통한 대략적인 공개/비공개 (공개는 확인 필요; 버킷 정책이 세분화된 메커니즘임).

• 수명 주기 규칙: scaleway_s3_get/put/delete_bucket_lifecycle (put/delete 확인 보호됨 - 만료 규칙은 객체를 영구적으로 삭제함).

• 암호화 구성: scaleway_s3_get/put/delete_bucket_encryption - 실제 전환 가능한 설정(콘솔 확인됨), 비활성 메타데이터가 아님; docs/gotchas.md 참조.

• 객체 잠금: scaleway_s3_get_object_lock, scaleway_s3_enable_object_lock (단방향: 비활성화 불가능, 버전 관리 전제 조건 처리됨, 이후 버전 관리 고정됨; 생성 시 잠금 플래그는 Scaleway에서 자동으로 무시됨).

• 버킷 로깅 또는 버킷 메트릭스 도구 없음: Scaleway의 S3 엔드포인트는 둘 다에 대해 NotImplemented를 반환함.

Object Storage 버킷 정책

• scaleway_s3_get_bucket_policy, scaleway_s3_put_bucket_policy, scaleway_s3_delete_bucket_policy

Object Storage 객체 (단일 파트만 해당; 멀티파트/대용량 파일 업로드는 범위를 벗어남)

• scaleway_s3_put_object, scaleway_s3_get_object, scaleway_s3_list_objects, scaleway_s3_head_object, scaleway_s3_copy_object, scaleway_s3_delete_object, scaleway_s3_delete_objects

• put_object/get_object는 바이너리 페이로드를 base64로 전달합니다(encoding: "base64"). 디코딩된 크기는 MAX_PUT_OBJECT_BYTES(기본값 5MB)로 제한됩니다. get_object는 UTF-8 텍스트와 바이너리를 자동 감지하고 그에 따라 encoding을 반환합니다.

• scaleway_s3_get_object_tags, scaleway_s3_put_object_tags (put은 전체 태그 세트를 교체하며, put_bucket_policy와 동일한 교체-비-병합 의미론을 가짐)

• scaleway_s3_generate_presigned_url - MCP 외부의 대상에 직접 객체 액세스를 제공하기 위한 시간 제한 GET/PUT URL로, 이 서버의 자격 증명을 노출하지 않음.

감사 추적 — 이벤트 쿼리 (읽기 전용; 모두 이 서버의 자격 증명에 AuditTrailReadOnly 필요 - scaleway_iam_set_policy_rules를 통해 부여)

• scaleway_audit_list_events - 누가, 언제, 어디서 무엇을 했는지(API/리소스 활동).

• scaleway_audit_list_authentication_events - 인증 활동(로그인/토큰/MFA 결과) - 별도 엔드포인트.

• scaleway_audit_list_system_events - Scaleway 자체 시스템이 리소스에 대해 수행한 작업.

• scaleway_audit_list_combined_events - 세 가지 스트림을 하나의 시간순 피드로 결합, 각 이벤트는 api/auth/system으로 태그 지정됨.

• scaleway_audit_get_last_events_overview - 콘솔의 감사 추적 랜딩 페이지에 표시되는 최근 이벤트 스냅샷.

• scaleway_audit_list_products - 감사 추적과 통합된 제품/서비스/메서드(유효한 필터 값 카탈로그).

감사 추적 — 알림 규칙

• scaleway_audit_list_alert_rules, scaleway_audit_set_alert_rules_enabled (추가적), scaleway_audit_replace_enabled_alert_rules (전체 교체, 확인 보호됨) - Scaleway의 사전 구성된 규칙; 활성화/비활성화만 가능하며 생성 또는 삭제는 불가능. 알 수 없는 규칙 ID는 전체 요청을 원자적으로 거부함(2026-08-18 실시간 검증됨).

• scaleway_audit_list_custom_alert_rules, scaleway_audit_create_custom_alert_rule, scaleway_audit_update_custom_alert_rule (이름/설명만), scaleway_audit_delete_custom_alert_rule, scaleway_audit_set_custom_alert_rules_enabled, scaleway_audit_replace_enabled_custom_alert_rules - 주의: Scaleway는 이러한 엔드포인트를 문서화하지만 배포된 API는 모든 사용자 정의 알림 규칙 메서드에 대해 HTTP 501을 반환함(2026-08-18 실시간 검증됨). 도구는 준비되어 있으며 해당 오류를 그대로 표시합니다. Scaleway가 백엔드를 제공하면 작동할 것입니다.

감사 추적 — 내보내기 작업 (감사 이벤트를 Object Storage 버킷으로 전송)

• scaleway_audit_list_export_jobs, scaleway_audit_create_export_job, scaleway_audit_delete_export_job (확인 보호됨; 향후 내보내기를 중단하지만 이미 내보낸 객체는 삭제하지 않음).

• 경고/내보내기 쓰기 도구는 이 서버의 자격 증명에 AuditTrailReadOnly보다 더 많은 권한이 필요합니다. 권한 오류는 그대로 표시됩니다.

범위

의도적으로 좁게 설정: IAM ID/정책 관리(애플리케이션, 사용자, 그룹), SSH 키, JWT, SAML/SCIM/보안 설정, 버킷 정책, 버킷 수명 주기 및 구성, 객체 스토리지 객체 CRUD(put/get/list/head/copy/delete/tags/사전 서명된 URL, 단일 파트만 해당), 감사 추적(이벤트 쿼리, 경고 규칙, 내보내기 작업)입니다. 지금까지 실제로 마찰을 일으킨 부분이기 때문입니다. 일반적인 Scaleway API 래퍼가 아닙니다. 컴퓨팅, 데이터베이스, 컨테이너, 멀티파트 업로드, 버킷 로깅/메트릭(Scaleway의 S3 API는 이를 구현하지 않음), 할당량(실제 엔드포인트를 찾을 수 없음 - docs/gotchas.md 참조)은 포함하지 않습니다. 이러한 부분이 반복적인 필요가 될 때 같은 방식으로 확장하십시오.

개발

npm run dev     # tsc --watch
node scripts/smoke-test.mjs   # exercises real tool calls against the live account via .env - not automated CI