Python MCP Server からリレーショナルデータベースへの接続

connection ジェネレーターは、Python MCP Server を Python リレーショナルデータベース プロジェクトに接続し、サーバーに登録されたすべてのツールでデータベースセッションを利用できるようにします。

前提条件

このジェネレーターを使用する前に、以下を確認してください：

1. py#mcp-server プロジェクト
2. py#rdb プロジェクト

使用方法

ジェネレーターの実行

CLI

pnpm

pnpm nx g @aws/nx-plugin:connection

yarn

yarn nx g @aws/nx-plugin:connection

npm

npx nx g @aws/nx-plugin:connection

bun

bunx nx g @aws/nx-plugin:connection

変更されるファイルを確認するためにドライランを実行することもできます

pnpm

pnpm nx g @aws/nx-plugin:connection --dry-run

yarn

yarn nx g @aws/nx-plugin:connection --dry-run

npm

npx nx g @aws/nx-plugin:connection --dry-run

bun

bunx nx g @aws/nx-plugin:connection --dry-run

VSCode

1. インストール Nx Console VSCode Plugin まだインストールしていない場合
2. VSCodeでNxコンソールを開く
3. クリック Generate (UI) "Common Nx Commands"セクションで
4. 検索 @aws/nx-plugin - connection
5. 必須パラメータを入力
6. クリック Generate

MCP サーバープロジェクトをソースとして、リレーショナルデータベースプロジェクトをターゲットとして選択します。プロジェクトに複数の MCP サーバーコンポーネントが含まれている場合は、sourceComponent を指定して明確にします。

オプション

パラメータ	型	デフォルト	説明
sourceProject 必須	string	-	ソース プロジェクト
targetProject 必須	string	-	接続先のターゲット プロジェクト
sourceComponent	string	-	接続元のソース コンポーネント (コンポーネント名、ソース プロジェクト ルートからの相対パス、またはジェネレーター ID)。プロジェクトをソースとして明示的に選択するには '.' を使用します。
targetComponent	string	-	接続先のターゲット コンポーネント (コンポーネント名、ターゲット プロジェクト ルートからの相対パス、またはジェネレーター ID)。プロジェクトをターゲットとして明示的に選択するには '.' を使用します。
preferInstallDependencies	boolean	true	ジェネレーター実行後に依存関係のインストールを優先するかどうか。複数のジェネレーターをバッチ処理する際にインストールを延期する場合はfalseに設定します（後続のジェネレーターがNxプロジェクトグラフを計算できるよう、必要に応じてインストールは実行されます）。最後に一度だけインストールします。

ジェネレーターの出力

• Directorypackages/my_service

  • project.json my_mcp_server-dev からデータベースの dev ターゲットへの依存関係を追加
  • pyproject.toml データベースパッケージをワークスペース依存関係として追加
  • Directorymy_service

    • Directorymy_mcp_server

      • Dockerfile 直接 Aurora 接続に使用される RDS CA バンドルを追加

MCP ツールでのデータベースの使用

データベースパッケージから session_context をインポートし、MCP サーバーツール内で使用します：

packages/my_service/my_service/my_mcp_server/server.py

from sqlmodel import select
from my_scope.my_db import session_context
from my_scope.my_db.models.example import ExampleModel

@mcp.tool()
async def list_examples() -> str:
    """List all example records."""
    async with session_context() as session:
        items = (await session.execute(select(ExampleModel))).all()
        return str([item.model_dump() for item in items])

複数のデータベース

異なるターゲットでジェネレーターを再度実行すると、2 つ目のデータベースが最初のデータベースと並行して追加されます。両方のセッションコンテキストがすべてのツールで利用可能になります：

packages/my_service/my_service/my_mcp_server/server.py

from my_scope.my_db import session_context as my_db_session_context
from my_scope.other_db import session_context as other_db_session_context

インフラストラクチャ

生成された MCP サーバーコンストラクトは IGrantable と IConnectable を実装しているため、コンストラクト上で直接データベースへのネットワークアクセスと IAM アクセスを許可できます。

CDK

packages/infra/src/stacks/application-stack.ts

import { SecurityGroup } from 'aws-cdk-lib/aws-ec2';
import { RuntimeNetworkConfiguration } from 'aws-cdk-lib/aws-bedrockagentcore';
import { MyDatabase } from '@my-scope/common-constructs';

const db = new MyDatabase(this, 'Db', { vpc, ... });

const myMcpServer = new MyMcpServer(this, 'MyMcpServer', {
  networkConfiguration: RuntimeNetworkConfiguration.usingVpc(this, {
    vpc,
    vpcSubnets: { subnetType: SubnetType.PRIVATE_WITH_EGRESS },
    securityGroups: [
      new SecurityGroup(this, 'MyMcpServerSecurityGroup', { vpc, allowAllOutbound: true }),
    ],
  }),
});

db.allowDefaultPortFrom(myMcpServer);
db.grantConnect(myMcpServer);

allowDefaultPortFrom は、MCP サーバーランタイムがデータベースポートに到達できるようにセキュリティグループルールを開きます。grantConnect は、サーバーの実行ロールに IAM rds-db:connect 権限を付与します。

Terraform

MCP サーバーをデータベースと同じ VPC 内で実行し、additional_iam_policy_statements を介して rds-db:connect を付与し、セキュリティグループルールのペアでネットワークパスを開きます。aws_vpc.main と aws_subnet リソースは、データベースデプロイメントガイドで定義されています：

packages/infra/src/main.tf

module "my_database" {
  source              = "../../common/terraform/src/app/dbs/my-database"
  vpc_id              = aws_vpc.main.id
  database_subnet_ids = aws_subnet.database[*].id
  lambda_subnet_ids   = aws_subnet.private[*].id
}

module "my_mcp_server" {
  source     = "../../common/terraform/src/app/mcp-servers/my-mcp-server"
  enable_vpc = true
  vpc_id     = aws_vpc.main.id
  subnet_ids = aws_subnet.private[*].id

  appconfig_application_id  = module.runtime_config_appconfig.application_id
  appconfig_application_arn = module.runtime_config_appconfig.application_arn

  additional_iam_policy_statements = [
    {
      Effect = "Allow"
      Action = ["rds-db:connect"]
      Resource = [
        "arn:aws:rds-db:${data.aws_region.current.region}:${data.aws_caller_identity.current.account_id}:dbuser:${module.my_database.connect_resource_id}/${module.my_database.database_runtime_user}"
      ]
    }
  ]
}

resource "aws_vpc_security_group_ingress_rule" "mcp_server_to_database" {
  description                  = "Allow the MCP server runtime to connect to the database"
  security_group_id            = module.my_database.security_group_id
  referenced_security_group_id = module.my_mcp_server.security_group_id
  from_port                    = module.my_database.cluster_port
  to_port                      = module.my_database.cluster_port
  ip_protocol                  = "tcp"
}

resource "aws_vpc_security_group_egress_rule" "mcp_server_to_database" {
  description                  = "Allow outbound traffic from the MCP server runtime to the database"
  security_group_id            = module.my_mcp_server.security_group_id
  referenced_security_group_id = module.my_database.security_group_id
  from_port                    = module.my_database.cluster_port
  to_port                      = module.my_database.cluster_port
  ip_protocol                  = "tcp"
}

appconfig_application_id/appconfig_application_arn は、データベースモジュールからではなく、ルートモジュールで一度宣言された共有 ランタイム設定 AppConfig アプリケーションから取得されます。データベースモジュールのランタイム設定エントリがデプロイされるように、インスタンス化時に database 名前空間を含めます：

packages/infra/src/main.tf

module "runtime_config_appconfig" {
  source = "../../common/terraform/src/core/runtime-config/appconfig"

  application_name = "my-app-runtime-config"
  namespaces       = ["connection", "agentcore", "database"]
}

RDS Proxy を使用せずに接続する場合の SSL 要件

MCP サーバーが（RDS Proxy を使用せずに）Aurora クラスターに直接接続する場合、接続ジェネレーターは生成された MCP サーバー Dockerfile を更新して、Amazon RDS CA バンドルをシステムトラストストアにインストールします：

ADD https://truststore.pki.rds.amazonaws.com/global/global-bundle.pem /usr/local/share/ca-certificates/rds-global-bundle.crt
RUN update-ca-certificates

RDS Proxy を使用する場合、MCP サーバーランタイムで RDS CA バンドルを設定する必要はありません。

ローカル開発

pnpm

pnpm nx <mcp-server-name>-dev <project-name>

yarn

yarn nx <mcp-server-name>-dev <project-name>

npm

npx nx <mcp-server-name>-dev <project-name>

bun

bunx nx <mcp-server-name>-dev <project-name>

これにより、MCP サーバーと接続されたすべてのデータベースが起動します。LOCAL_DEV=true 環境変数により、データベースクライアントは Aurora ではなくローカル Docker データベースに接続します。