Pulumi MCP Server

Что умеет сервер

Pulumi MCP Server размещает сама компания Pulumi по адресу mcp.ai.pulumi.com/mcp, поэтому ставить и запускать ничего локально не нужно. Через него агент, которым вы уже пользуетесь, получает доступ к Pulumi Cloud: может вывести список стеков, искать ресурсы по всем стекам, проверять нарушения политик и смотреть участников организации с их ролями. Отдельная группа инструментов обращается к реестру Pulumi: список ресурсов и функций провайдера или модуля, свойства и документация ресурса, входы и выходы функции, JSON-схема типа.

Есть инструмент deploy-to-aws, который возвращает пошаговые инструкции: агент анализирует приложение и пишет программу Pulumi для развёртывания в AWS. Кроме того, сервер предлагает готовые подсказки (prompts) для конвертации Terraform HCL в программу Pulumi на TypeScript и для планирования и выполнения миграции с AWS CDK. Инструмент neo-bridge передаёт задачи Pulumi Neo, инфраструктурному агенту Pulumi.

Когда использовать

Сервер подходит, когда нужно задавать вопросы об инфраструктуре обычными фразами: какие стеки есть и какие давно не обновлялись, где лежат бакеты S3 без тегов, какие нарушения политик у боевых стеков. Он же помогает писать код: агент подтягивает схему ресурса из реестра и составляет программу точнее, чем по памяти. Для миграции с Terraform или AWS CDK есть готовые подсказки.

Ограничения и безопасность

Сам сервер никогда не запускает pulumi up и не меняет вашу инфраструктуру, большинство его инструментов только читают данные. Но каждый вызов выполняется с правами вашего токена Pulumi: агент видит и делает ровно то, что разрешено токену по RBAC организации. Для отдельного MCP-сервера создайте отдельный токен, не тот, что использует Pulumi CLI, чтобы отзывать его независимо. Токен организации позволяет ограничить роль, например правом чтения стеков.

Платным может оказаться только инструмент neo-bridge: каждая запущенная им задача, сообщение или подтверждение выполняется в Pulumi Cloud и учитывается в использовании Neo вашей организации. Подтверждение запроса Neo может позволить ему изменить инфраструктуру или открыть pull request. Роль токена от этого не защищает, поэтому запретите neo-bridge в настройках инструментов агента, если нужен режим только для чтения. Поиск ресурсов и Neo доступны не во всех редакциях Pulumi Cloud. Сессия после входа через браузер действует 30 дней.

Claude Code

claude mcp add --transport http pulumi https://mcp.ai.pulumi.com/mcp

Затем выполните в Claude Code команду /mcp, выберите pulumi и войдите в открывшемся окне браузера, указав токен доступа Pulumi.

Cursor

Добавьте сервер в .cursor/mcp.json в домашнем каталоге или в корне проекта:

{
  "mcpServers": {
    "pulumi": {
      "url": "https://mcp.ai.pulumi.com/mcp"
    }
  }
}

Затем нажмите Connect рядом с сервером в Cursor Settings, Tools & MCP и войдите в браузере.

Claude Desktop

Откройте Settings, Connectors и выберите Add custom connector. Задайте имя Pulumi и адрес https://mcp.ai.pulumi.com/mcp, перезапустите Claude Desktop и войдите в браузере.

Windsurf

Добавьте сервер в конфигурацию MCP (Windsurf Settings, MCP Servers) и войдите в браузере:

{
  "mcpServers": {
    "pulumi": {
      "serverUrl": "https://mcp.ai.pulumi.com/mcp"
    }
  }
}

Kiro

Kiro подключается к удалённым серверам через пакет mcp-remote, для него нужен Node.js. Добавьте в mcp.json:

{
  "mcpServers": {
    "pulumi": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://mcp.ai.pulumi.com/mcp"]
    }
  }
}

Вход без браузера

Для CI и безголовых агентов передайте токен в заголовке Authorization, а организацию заголовком X-Pulumi-Org:

{
  "mcpServers": {
    "pulumi": {
      "url": "https://mcp.ai.pulumi.com/mcp",
      "headers": {
        "Authorization": "Bearer ${PULUMI_MCP_TOKEN}",
        "X-Pulumi-Org": "acme"
      }
    }
  }
}

Читайте токен из переменной окружения или хранилища секретов, а не записывайте в репозиторий.

Запрет Neo в Claude Code

Чтобы агент не запускал задачи Neo, добавьте mcp__pulumi__neo-bridge в permissions.deny файла settings.json.