Skip to main content
Pulumi アカウントを接続して、Alex（クラウドエンジニア）がスタックを調査し、Pulumi が管理するリソースを検索し、ポリシー違反を確認し、Pulumi がホストする MCP サーバー経由で Registry のスキーマを参照できるようにします。Pulumi は OAuth を使うため、Pulumi のアクセストークンを CloudThinker に貼り付ける必要はありません。

​
前提条件

  • CloudThinker に調査させたい組織に所属する Pulumi Cloud アカウント。
  • Pulumi の OAuth フローで CloudThinker を承認する権限。
ツールが読み取るのは、Pulumi アカウントの既定の組織です。対象のスタックを保有する組織に所属するアカウントで認可してください。そうしないとエージェントは空の一覧を報告します。

​
セットアップ

1

CloudThinker を開く

ワークスペースで Connections → Pulumi を開きます。
2

OAuth フローを開始する

Connect をクリックして Pulumi の認可ページを開きます。
3

CloudThinker を認可する

対象のスタックを参照できる Pulumi アカウントでサインインし、アクセスを承認します。
4

CloudThinker に戻る

CloudThinker が OAuth トークンを保存し、接続が Connected 状態になります。

​
接続詳細

Pulumi は OAuth を使うため、入力する項目はありません。認可が完了すると CloudThinker がトークンを自動的に保存します。

​
必要な権限

CloudThinker は OAuth で付与された Pulumi の権限を引き継ぎます。
  • 読み取り操作：スタック、管理対象リソース、ポリシー違反、組織メンバー、Neo のタスク履歴、Registry のスキーマ。
  • デプロイと Pulumi Neo：対応する Pulumi の権限に加えて、CloudThinker での明示的な承認が必要です。どちらもクラウドリソースを変更するためです。
組織を管理するアカウントではなく、組織を読み取れるアカウントで認可してください。読み取り権限だけで、確認を求める 2 つの機能を除くすべての機能をまかなえます。

​
エージェントの機能

接続すると、Alex は次のことができます。

​
接続を確認する

​
プロンプト例

​
承認が必要なツール

実際の状態を変更する Pulumi のツールは 4 つあり、CloudThinker は呼び出しのたびに確認します。AWS へのデプロイと、Pulumi Neo を操作する 3 つのツール（ブリッジ、タスクの継続、会話のリセット）です。エージェントはスタックと影響を示したうえで、回答を待ちます。 この接続のその他の操作はすべて読み取りです。スタックの読み取りで確認が入ることはないため、棚卸しやポリシーの質問は 1 ターンで完了します。
プロンプトに示されたスタックに心当たりがある場合にのみデプロイを承認してください。Pulumi のデプロイは実際のクラウドリソースを作成し、クラウドアカウントに課金されます。

​
トラブルシューティング

ブラウザが別の Pulumi アカウントでサインインしている可能性があります。app.pulumi.com で目的のアカウントにサインインしてから、CloudThinker で Connect をやり直してください。
Pulumi はアカウントの既定の組織について回答します。そのアカウントが対象スタックを保有する組織のメンバーであることを確認し、正しいアカウントで接続し直してください。
トークンが届くのは、Pulumi ユーザーが所属する組織だけです。Pulumi でそのユーザーを組織に追加するか、すでに所属しているアカウントで接続し直してください。
これは承認ゲートで、呼び出しごとに動作します。会話の中で確認に回答してください。CloudThinker がゲート付きツールをどう扱うかは承認を参照してください。
CloudThinker は確認済みの Pulumi ツールのみを公開します。Pulumi が後から追加したツールは、CloudThinker が内容を確認し承認の要否を決めるまで表示されません。

​
セキュリティ

  • 最小権限 — エージェントがユースケースに必要な権限のみを付与します。まず読み取り専用から始め、後から拡張してください。
  • デフォルトで読み取り専用 — エージェントにこの接続で変更を行わせる場合を除き、読み取り専用の認証情報を使用してください。
  • 認証情報のローテーション — 通常のスケジュールに従ってキーとトークンをローテーションしてください。接続を更新すると、CloudThinker が新しい値を自動的に取得します。
  • オフボーディング時に失効 — 接続を削除するか、チームメンバーが退職する際には、プロバイダー側で認証情報を無効化してください。
  • ゲートを維持する — デプロイと Pulumi Neo は承認必須のままにしてください。ここでクラウドを変更できるツールはこの 2 種類だけです。
  • 接続はよく考えて張り直す — 接続の到達範囲は認可したアカウントの到達範囲そのものです。アカウントを変えるときは接続を削除して認可し直してください。

​
関連

Alex Agent

クラウドインフラとコストの分析

承認

状態を変更するツールを CloudThinker がどうゲートするか