AWS viser hele CloudFormation-løkka gjennom IaC MCP-serveren

Der cfn-lint stopper ved syntaks og cfn-guard ved policybrudd, er det tredje steget som pleier å koste tid: en deploy som ryker på en rettighet ingen statisk analyse kan se. AWS publiserte 4. august en gjennomgang på DevOps-bloggen som kjører hele runden gjennom IaC MCP-serveren, og feilsøkingsverktøyet er det som skiller den fra en vanlig lintekjede.

Selve serveren er ikke ny. AWS introduserte IaC MCP Server i november 2025 med støtte for både CDK og CloudFormation. Det nye er en fullstendig arbeidsflyt med fire verktøy: search_cloudformation_documentation henter oppdaterte ressursreferanser, validate_cloudformation_template kjører cfn-lint, check_cloudformation_template_compliance kjører cfn-guard, og troubleshoot_cloudformation_deployment henter stack-hendelser og korrelerer tidsstemplene mot CloudTrail-kall.

Eksempelet er bygget for å feile med vilje. Servicerollen du oppretter i forkant mangler iam:PassRole, så når CloudFormation prøver å tildele Lambda-funksjonen sin kjørerolle, faller deployen på AccessDenied. Feilsøkingsverktøyet finner den manglende rettigheten ved å koble de feilede ressursene mot CloudTrail, i stedet for at du selv leser stack-hendelser i konsollet og logger i en annen fane. Herder du malen etter cfn-guard-kjøringen, kan verktøyet også flagge rettigheter du nettopp skapte behov for, som s3:PutBucketObjectLockConfiguration mot loggbøtta.

Gjennomgangen bruker Kiro som klient, men serveren snakker MCP og fungerer mot enhver MCP-kompatibel assistent. Vær oppmerksom på to ting som ikke er verktøyets feil: en stack i ROLLBACK_COMPLETE må slettes før den kan deployes på nytt, og en S3-bøtte med objekter i seg blokkerer sletting av stacken.

Hva bør du gjøre?

1. Koble IaC MCP-serveren til assistenten din og pek den mot en eksisterende stack som har feilet. Feilsøkingsverktøyet gir mest verdi på noe du allerede har mislyktes med, ikke på et eksempel.
2. Klon aws-samples/sample-accelerate-cloudformation-with-iac-mcp-server hvis du vil kjøre den bevisste AccessDenied-feilen. Alt i eksempelet ligger innenfor gratisnivået, men slett begge stackene etterpå.
3. Behold cfn-lint og cfn-guard i CI. MCP-serveren pakker inn de samme åpne verktøyene, og en assistent i chat er ikke en gate.