Amazon CloudFront と AWS WAF によりエッジで MCP エンドポイントを保護する

ユースケース 1：有効な MCP プロトコルバージョンを持たないリクエストを拒否する

{
  "Name": "RequireMCPProtocolVersion",
  "Priority": 1,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "/mcp",
            "FieldToMatch": {
              "UriPath": {}
            },
            "PositionalConstraint": "STARTS_WITH",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "NONE"
              }
            ]
          }
        },
        {
          "NotStatement": {
            "Statement": {
              "RegexMatchStatement": {
                "RegexString": "^2026-07-28$",
                "FieldToMatch": {
                  "SingleHeader": {
                    "Name": "mcp-protocol-version"
                  }
                },
                "TextTransformations": [
                  {
                    "Priority": 0,
                    "Type": "NONE"
                  }
                ]
              }
            }
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "RequireMCPProtocolVersion"
  }
}

正規表現にはアンカーを付けているため、わずかに異なる値 ( たとえば 2026-07-28-preview ) も拒否されます。新しいリビジョンがリリースされた場合は、 ^(2026-07-28|2026-11-15)$ のようにマッチする候補を追加してください。対象を /mcp に限定しているため、同じディストリビューション上のほかのコンテンツには影響しません。

ユースケース 2：AWS WAF Bot Control で各呼び出し元のアイデンティティにラベルを付ける

• SignalNonBrowserUserAgent は、 User-Agent が実際のブラウザではない呼び出し元をブロックします。そのため、標準的な HTTP クライアント (python-requests 、Go の net/http 、 Node の fetch) を使用するエージェントフレームワークはすべて、このルールに引っかかります。
• CategoryHttpLibrary は、既知の HTTP ライブラリを直接ブロックします。 curl や wget に加え、ほとんどの MCP クライアントのコードベースが依存している SDK も対象になります。
• SignalAutomatedBrowser は、ヘッドレス Chrome 、Selenium 、Playwright をブロックします。これらは、エージェントフレームワークが内部でよく利用しているものです。
• CategoryAI は、 AI エージェントのトラフィックであることを自ら名乗るトラフィックをブロックします。正当な MCP クライアントのほとんどは、このカテゴリに該当します。
• SignalKnownBotDataCenter は、既知のクラウドデータセンターの IP 範囲からの呼び出し元をブロックします。 MCP エンドポイントへのエージェントのトラフィックの大半は、一般家庭の IP ではなくデータセンターから送信されます。そのため、このルールをそのまま有効にすると、正当な呼び出し元のほとんどがブロックされてしまいます。

{
  "Name": "BotControlCommon",
  "Priority": 2,
  "OverrideAction": {
    "None": {}
  },
  "Statement": {
    "ManagedRuleGroupStatement": {
      "VendorName": "AWS",
      "Name": "AWSManagedRulesBotControlRuleSet",
      "ManagedRuleGroupConfigs": [
        {
          "AWSManagedRulesBotControlRuleSet": {
            "InspectionLevel": "COMMON"
          }
        }
      ],
      "RuleActionOverrides": [
        {
          "Name": "SignalNonBrowserUserAgent",
          "ActionToUse": {
            "Count": {}
          }
        },
        {
          "Name": "CategoryHttpLibrary",
          "ActionToUse": {
            "Count": {}
          }
        },
        {
          "Name": "SignalAutomatedBrowser",
          "ActionToUse": {
            "Count": {}
          }
        },
        {
          "Name": "CategoryAI",
          "ActionToUse": {
            "Count": {}
          }
        },
        {
          "Name": "SignalKnownBotDataCenter",
          "ActionToUse": {
            "Count": {}
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "BotControlCommon"
  }
}

これらのラベルを利用できるような状態であると、後続のルールでアイデンティティの条件と Mcp-Name のマッチングを組み合わせられます。たとえば「呼び出し元の Web Bot Auth 署名が無効で、かつ高コストなツールを呼び出している場合はブロックする」といったルールを、独自のフィンガープリンティングのロジックなしで記述できます。次の例がそのルールです。tools/call に一致し、ツールが expensive-tools パターンセットに含まれ、かつ Web Bot Auth のラベルが invalid または unknown_botである場合にブロックします。

{
  "Name": "BlockUnverifiedBotOnHighCostTool",
  "Priority": 4,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "tools/call",
            "FieldToMatch": {
              "SingleHeader": {
                "Name": "mcp-method"
              }
            },
            "PositionalConstraint": "EXACTLY",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "LOWERCASE"
              }
            ]
          }
        },
        {
          "RegexPatternSetReferenceStatement": {
            "ARN": "arn:aws:wafv2:us-east-1:123456789012:global/regexpatternset/mcp-expensive-tools/def456",
            "FieldToMatch": {
              "SingleHeader": {
                "Name": "mcp-name"
              }
            },
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "NONE"
              }
            ]
          }
        },
        {
          "OrStatement": {
            "Statements": [
              {
                "LabelMatchStatement": {
                  "Scope": "LABEL",
                  "Key": "awswaf:managed:aws:bot-control:bot:web_bot_auth:invalid"
                }
              },
              {
                "LabelMatchStatement": {
                  "Scope": "LABEL",
                  "Key": "awswaf:managed:aws:bot-control:bot:web_bot_auth:unknown_bot"
                }
              }
            ]
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "BlockUnverifiedBotOnHighCostTool"
  }
}

ユースケース 3：検査の前にサイズの大きすぎるリクエストボディをブロックする

{
  "Name": "mcp-web-acl",
  "Scope": "CLOUDFRONT",
  "AssociationConfig": {
    "RequestBody": {
      "CLOUDFRONT": {
        "DefaultSizeInspectionLimit": "KB_32"
      }
    }
  },
  "DefaultAction": {
    "Allow": {}
  },
  "Rules": [ /* ... */ ]
}

プリフライトチェックのルールは次のとおりです。

{
  "Name": "MCPBodySizePreflight",
  "Priority": 5,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "SizeConstraintStatement": {
      "FieldToMatch": {
        "Body": {
          "OversizeHandling": "MATCH"
        }
      },
      "ComparisonOperator": "GT",
      "Size": 32768,
      "TextTransformations": [
        {
          "Priority": 0,
          "Type": "NONE"
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "MCPBodySizePreflight"
  }
}

ユースケース 4：呼び出し可能なツールを許可リストで制限する

{
  "Name": "BlockUnapprovedMCPTools",
  "Priority": 10,
  "Action": {
    "Block": {
      "CustomResponse": {
        "ResponseCode": 403,
        "CustomResponseBodyKey": "McpBlockedTool",
        "ResponseHeaders": [
          {
            "Name": "x-mcp-waf-request-id",
            "Value": "${awswaf:request_id:}"
          }
        ]
      }
    }
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "tools/call",
            "FieldToMatch": {
              "SingleHeader": {
                "Name": "mcp-method"
              }
            },
            "PositionalConstraint": "EXACTLY",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "LOWERCASE"
              }
            ]
          }
        },
        {
          "NotStatement": {
            "Statement": {
              "RegexPatternSetReferenceStatement": {
                "ARN": "arn:aws:wafv2:us-east-1:123456789012:global/regexpatternset/mcp-allowed-tools/abc123",
                "FieldToMatch": {
                  "SingleHeader": {
                    "Name": "mcp-name"
                  }
                },
                "TextTransformations": [
                  {
                    "Priority": 0,
                    "Type": "NONE"
                  }
                ]
              }
            }
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "BlockUnapprovedMCPTools"
  }
}

参照先のレスポンスボディはウェブ ACL レベルで一度だけ定義するため、ほかの Block アクションでも再利用できます。

{
  "CustomResponseBodies": {
    "McpBlockedTool": {
      "ContentType": "APPLICATION_JSON",
      "Content": "{\"error\":\"tool_not_allowed\",\"waf_request_id\":\"${awswaf:request_id:}\",\"client_ip\":\"${awswaf:ip:}\"}"
    }
  }
}

正規表現パターンセットは、サーバーの tools/list レスポンスから生成するため、マニフェストと常に同期した状態を保てます。初期の内容は、ツール名をアンカー付きの選択肢として連結したものです：^(query_database|get_document|send_notification)$

ユースケース 5：query_database ツールで破壊的な SQL をブロックする

{
  "Name": "LabelToolQueryDatabase",
  "Priority": 15,
  "Action": {
    "Count": {}
  },
  "RuleLabels": [
    {
      "Name": "mcp:tool:query_database"
    }
  ],
  "Statement": {
    "ByteMatchStatement": {
      "SearchString": "query_database",
      "FieldToMatch": {
        "SingleHeader": {
          "Name": "mcp-name"
        }
      },
      "PositionalConstraint": "EXACTLY",
      "TextTransformations": [
        {
          "Priority": 0,
          "Type": "LOWERCASE"
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "LabelToolQueryDatabase"
  }
}

{
  "Name": "BlockDestructiveSQL",
  "Priority": 20,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "LabelMatchStatement": {
            "Scope": "LABEL",
            "Key": "mcp:tool:query_database"
          }
        },
        {
          "RegexMatchStatement": {
            "RegexString": "\\b(DROP|TRUNCATE|ALTER|GRANT|REVOKE|CREATE|DELETE\\s+FROM|INSERT\\s+INTO|UPDATE\\s+.+\\s+SET)\\b",
            "FieldToMatch": {
              "JsonBody": {
                "MatchPattern": {
                  "IncludedPaths": [
                    "/params/arguments/query"
                  ]
                },
                "MatchScope": "VALUE",
                "InvalidFallbackBehavior": "MATCH",
                "OversizeHandling": "NO_MATCH"
              }
            },
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "COMPRESS_WHITE_SPACE"
              },
              {
                "Priority": 1,
                "Type": "UPPERCASE"
              }
            ]
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "BlockDestructiveSQL"
  }
}

{
  "Name": "BlockMCPSSRF",
  "Priority": 30,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "tools/call",
            "FieldToMatch": {
              "SingleHeader": {
                "Name": "mcp-method"
              }
            },
            "PositionalConstraint": "EXACTLY",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "LOWERCASE"
              }
            ]
          }
        },
        {
          "OrStatement": {
            "Statements": [
              {
                "RegexMatchStatement": {
                  "RegexString": "(169\\.254\\.169\\.254|metadata\\.google\\.internal|kubernetes\\.default(\\.svc)?|\\.(local|internal)([^a-z0-9.-]|$))",
                  "FieldToMatch": {
                    "JsonBody": {
                      "MatchPattern": {
                        "IncludedPaths": [
                          "/params/arguments"
                        ]
                      },
                      "MatchScope": "VALUE",
                      "InvalidFallbackBehavior": "NO_MATCH",
                      "OversizeHandling": "NO_MATCH"
                    }
                  },
                  "TextTransformations": [
                    {
                      "Priority": 0,
                      "Type": "URL_DECODE"
                    },
                    {
                      "Priority": 1,
                      "Type": "LOWERCASE"
                    }
                  ]
                }
              },
              {
                "RegexMatchStatement": {
                  "RegexString": "\\b(10|127|169\\.254|172\\.(1[6-9]|2[0-9]|3[01])|192\\.168)\\.\\d{1,3}\\.\\d{1,3}\\b",
                  "FieldToMatch": {
                    "JsonBody": {
                      "MatchPattern": {
                        "IncludedPaths": [
                          "/params/arguments"
                        ]
                      },
                      "MatchScope": "VALUE",
                      "InvalidFallbackBehavior": "NO_MATCH",
                      "OversizeHandling": "NO_MATCH"
                    }
                  },
                  "TextTransformations": [
                    {
                      "Priority": 0,
                      "Type": "URL_DECODE"
                    }
                  ]
                }
              },
              {
                "RegexMatchStatement": {
                  "RegexString": "(::1|::ffff:|f[cd][0-9a-f]{2}:|fe80:)",
                  "FieldToMatch": {
                    "JsonBody": {
                      "MatchPattern": {
                        "IncludedPaths": [
                          "/params/arguments"
                        ]
                      },
                      "MatchScope": "VALUE",
                      "InvalidFallbackBehavior": "NO_MATCH",
                      "OversizeHandling": "NO_MATCH"
                    }
                  },
                  "TextTransformations": [
                    {
                      "Priority": 0,
                      "Type": "URL_DECODE"
                    },
                    {
                      "Priority": 1,
                      "Type": "LOWERCASE"
                    }
                  ]
                }
              }
            ]
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "BlockMCPSSRF"
  }
}

{
  "Name": "MCPSQLiProtection",
  "Priority": 40,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "tools/call",
            "FieldToMatch": {
              "SingleHeader": {
                "Name": "mcp-method"
              }
            },
            "PositionalConstraint": "EXACTLY",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "LOWERCASE"
              }
            ]
          }
        },
        {
          "NotStatement": {
            "Statement": {
              "LabelMatchStatement": {
                "Scope": "LABEL",
                "Key": "mcp:tool:execute_sql"
              }
            }
          }
        },
        {
          "SqliMatchStatement": {
            "FieldToMatch": {
              "JsonBody": {
                "MatchPattern": {
                  "IncludedPaths": [
                    "/params/arguments"
                  ]
                },
                "MatchScope": "VALUE",
                "InvalidFallbackBehavior": "NO_MATCH",
                "OversizeHandling": "NO_MATCH"
              }
            },
            "SensitivityLevel": "LOW",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "URL_DECODE"
              },
              {
                "Priority": 1,
                "Type": "HTML_ENTITY_DECODE"
              },
              {
                "Priority": 2,
                "Type": "LOWERCASE"
              }
            ]
          }
        }
      ]
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "MCPSQLiProtection"
  }
}

{
  "Name": "MCPExpensiveToolRateLimit",
  "Priority": 50,
  "Action": {
    "Block": {}
  },
  "Statement": {
    "RateBasedStatement": {
      "Limit": 200,
      "EvaluationWindowSec": 300,
      "AggregateKeyType": "CUSTOM_KEYS",
      "CustomKeys": [
        {
          "Header": {
            "Name": "mcp-name",
            "TextTransformations": [
              {
                "Priority": 0,
                "Type": "LOWERCASE"
              }
            ]
          }
        },
        {
          "IP": {}
        }
      ],
      "ScopeDownStatement": {
        "RegexPatternSetReferenceStatement": {
          "ARN": "arn:aws:wafv2:us-east-1:123456789012:global/regexpatternset/mcp-expensive-tools/def456",
          "FieldToMatch": {
            "SingleHeader": {
              "Name": "mcp-name"
            }
          },
          "TextTransformations": [
            {
              "Priority": 0,
              "Type": "NONE"
            }
          ]
        }
      }
    }
  },
  "VisibilityConfig": {
    "SampledRequestsEnabled": true,
    "CloudWatchMetricsEnabled": true,
    "MetricName": "MCPExpensiveToolRateLimit"
  }
}

Mcp-Name と送信元 IP の組み合わせで集計しているのは、単一の呼び出し元がツール全体の割り当て予算を使い切ってしまうことを防ぎつつ、多数の正当な呼び出し元がそれぞれ自分の割り当て分を利用できるようにするためです。これは、OAuth トークンをデコードせずに AWS WAF で実現できる「呼び出し元ごと・ツールごと」の制限にもっとも近い方法であり、エッジにおける妥当なデフォルトです。ただし、IP はアイデンティティの代わりとしては大まかな指標にすぎません。エージェントのトラフィックは少数のデータセンターの送信元 IP 範囲から送られる傾向があり、何千もの異なるユーザーがわずかな数の IP の背後にまとまってしまうことがあります。真のユーザーごとのレート制限を行うべきレイヤーはオリジンであり、ベアラートークンを検証してユーザーのアイデンティティを確立された後に行うべきです。