managed-web-search-selfhost

Amazon Bedrock AgentCore のマネージド Web Search Tool を CDK で自分の AWS アカウントにデプロイし、MCP サーバーとして使うためのプロジェクトです。Bedrock 経由の Claude Code やローカル LLM のクライアントなど、Web 検索を持たない MCP クライアントに検索機能を追加できます。検索インデックスは Amazon が運用していて、検索クエリは AWS の外に出ません。

認証方式

API Key 方式は、Gateway を認証なしで公開し、Lambda 関数側でキーを検証する構成です。キーが漏れると誰でも検索でき、誤ったキーのリクエストにも料金がかかるため、ほかの方式を使えるならそちらを選んでください。

Related MCP server: FoundryNet Search

コスト

固定費は、IAM 方式と Cognito 方式なら $0 です（Cognito 方式で IP 制限を使う場合は WAF の月 $6 程度）。API Key 方式は WAF とシークレットで月 $6.4 程度かかります。

費用のほとんどは Web Search の検索料金です。1 日 100 回検索すると、月におよそ 3,000 クエリで $21 になります。Gateway ごとに検索回数の上限（既定は 1 分あたり 60 回）を設けていますが、上限まで使い続けると 1 日 $600 程度になるため、searchesPerMinute で利用量に合わせて下げ、AWS Budgets で予算アラートを設定しておくことをおすすめします。

料金は 2026 年 10 月時点の us-east-1 のものです。最新の料金は AgentCore の料金ページ を確認してください。

注意事項

• 検索結果をユーザーに表示するときは、利用規約に従って出典 URL を残してください。検索結果を大量に保存・複製する用途や、競合する検索インデックスを作る用途には使えません

• 対応リージョンは us-east-1 / eu-west-1 / ap-northeast-1 です

デプロイ

Node.js 22 以上、pnpm、AWS 認証情報、cdk bootstrap 済みの環境が必要です。IAM 方式で接続するクライアント側には uv が必要です。

pnpm install
pnpm run deploy   # 既定では IAM 方式だけを作る
pnpm smoke        # デプロイした Gateway に接続して検索できるか確認する

ほかの方式やオプションは -c で指定します。

pnpm run deploy -c authModes=iam,cognito                # Cognito 方式も作る
pnpm run deploy -c allowedIps=203.0.113.0/24,2001:db8::/32  # 送信元 IP を制限する

クライアントから接続する

pnpm mcp-config を実行すると、デプロイした Gateway の URL や ID を埋め込んだ設定が出力されます。以下は Claude Code の例です。

IAM 方式

呼び出し元に bedrock-agentcore:InvokeGateway の権限が必要です（スタック出力の IamGatewayInvokePolicyArn）。

claude mcp add websearch -- uvx mcp-proxy-for-aws@latest <IamGatewayUrl> --service bedrock-agentcore --region us-east-1

Cognito 方式

管理者が利用者を招待すると、仮パスワードがメールで届きます。

aws cognito-idp admin-create-user --user-pool-id <CognitoUserPoolId> \
  --username user@example.com \
  --user-attributes Name=email,Value=user@example.com Name=email_verified,Value=true

利用者は Claude Code に登録してから、/mcp でログインします。ブラウザで Cognito のログイン画面が開き、ログインすると Claude Code に戻ります。

claude mcp add --transport http websearch <CognitoGatewayUrl> --client-id <CognitoClientId> --callback-port 53280

API Key 方式

claude mcp add --transport http websearch <ApiKeyGatewayUrl> --header "Authorization: Bearer <API_KEY>"

API Key は pnpm mcp-config --with-key で確認できます。

ツール

その他

• 削除: pnpm run destroy

• 開発: pnpm build（型チェック）、pnpm test、pnpm synth

• 設計の詳細、IP 制限の仕組み、ユーザーやキーの運用手順は docs/design.md にまとめています

ライセンス

MIT