OpenAPI MCP Server使用指南

一键配置

如果您在Cherry Studio或Cursor中使用MCP，可以通过官方提供的一键配置功能完成MCP配置。

手动配置

示例一：操作非cn-hangzhou地域的资源时，可能会出现报错或数据不准确。

MCP底层是通过x_mcp_region_id切换endpoint的。如果大模型未能根据您的输入理解需要传递x_mcp_region_id，它将默认操作cn-hangzhou地域的资源。

您可以通过以下两种方式实现：

• 在提问时明确告诉大模型需要设置 x_mcp_region_id。

  请帮我查询regionId为cn-qingdao的ECS实例列表，并设置x_mcp_region_id。

• 在MCP服务端调整API的概述或请求参数RegionId描述。

  例如在API概述中补充“将用户描述的地域传递给 x_mcp_region_id”，或在RegionId中添加“如果参数RegionId存在，必须将其与x_mcp_region_id一起传递”。

  操作步骤：

  1. 访问我的MCP服务，单击MCP服务操作栏的编辑按钮。

  2. 选中待调优的API，单击操作栏的编辑按钮。

     

  3. 修改概述、API请求说明或API参数描述等。

  4. 保存修改内容后，在客户端需断开MCP服务并重新连接，以使修改内容生效。

示例二：删除API中部分非必填参数。

由于API文档中的参数是包括了所有场景，其中部分非必填参数可能在您的绝大多数的场景下并不需要使用，因此您可以在MCP服务端中删除这些非必填参数。大模型在传参时将不会“看到”这些被删除的参数，这不仅可以降低大模型的错误率，还可以减少tokens的使用。

程序身份访问

是指以Agent自身的身份权限进行访问。例如，阿里云百炼自定义MCP通过配置访问OpenAPI MCP的角色后，Agent在添加该自定义MCP后，便自动获取了配置访问OpenAPI MCP角色的权限。用户在使用Agent执行操作时，仅能执行Agent所具备权限的操作，而与用户权限无关，从而实现了与用户的解耦。由于Agent需要获取所有可能需要操作的权限的并集，因此需要在Agent前做好“谁能使用Agent的这个功能”的权限控制；同时操作审计记录到的是Agent的程序身份，要实现端到端审计，还需要在Agent前做好“谁用了Agent的这个功能”，并与操作审计记录进行关联，从而实现端到端审计。

适用的Agent：阿里云百炼。

用户身份访问

Agent本身不具备访问阿里云的身份权限，必须由用户主动触发，以代理用户身份进行云操作。例如，客户端通过唤起OAuth流程，在用户授权后，Agent获得临时的访问权限。由于所有操作均需经过用户授权，因此Agent能够执行的任务受到用户权限的限制，从而实现最小授权。此外，在操作审计中，由于操作是由用户执行的，因此会记录具体是由哪个用户进行的操作。

适用的Agent：CherryStudio、通义灵码、Qwen Code、Cursor、Claude Code、Dify、AgentScope、LangGraph等。

1. Tools中的API，在MCP客户端是否都可以调用？

问题原因：不一定都能调用成功，具体情况取决于RAM用户的权限，如果RAM用户没有某个API的调用权限，则大模型也将无法调用该API。

解决方案：可以为该RAM用户授予相应API的权限，具体操作请参见为RAM用户授权。

2. 使用RAM用户创建MCP Server时，提示无权限进行MCP操作，请联系具有管理员权限的账号授权。

解决方案：

• 为RAM用户授予系统权限策略AliyunOpenAPIMCPServerFullAccess，具体操作，请参见为RAM用户授权。

• 为RAM用户授予自定义权限策略：

  1. 请联系具有管理员权限的账号在RAM 控制台创建自定义权限策略，具体操作，请参见创建自定义权限策略。

     权限策略内容如下：

     点击查看MCP Server操作相关权限策略

     该权限策略包括创建、更新、查询及删除MCP Server的权限，以及查询MCP系统工具的权限。

     {
       "Version": "1",
       "Statement": [
         {
           "Action": [
             "openapiexplorer:*Mcp*",
             "ram:*Application*"
           ],
           "Resource": "*",
           "Effect": "Allow"
         }
       ]
     }

  2. 请联系具有管理员权限的账号为该无权限的RAM用户授予自定义权限，具体操作，请参见为RAM用户授权。

3. 如果MCP Server连接端点（Endpoint）暴露了，是不是谁都可以用了？

MCP Server连接端点暴露后，其他人也不能用。当在客户端中填入MCP Server连接端点保存之后，会由客户端实现OAuth的发现。首先，会弹出阿里云控制台的授权登录页面。完成授权后，将验证MCP Server所属的阿里云主账号与授权OAuth的RAM用户所属主账号是否一致，只有在两者一致的情况下，才能访问MCP Server。