MCPでネットワーク障害調査を自動化する前に直すべき3つのこと

1. MCPでネットワーク障害調査を ⾃動化する前に直すべき3つのこと AWSのNetOps×AIベストプラクティスを 実物で確かめた ⼭下 祐樹
2. ⼭下 祐樹 クラウドエンジニア AWS Community Builder(AI Engineering) 2026 Japan AWS All Certification Engineer Business JAWS 運営・⽴ち上げメンバー
3. 夜中のNW障害 調べたことありますか？
4. それ AIに 任せられたら？
5. ベストプラクティスが出た！ 2026年9⽉25⽇のAWSブログ AIエージェントとMCPで ネットワーク運⽤を⽀える © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 5
6. タイムアウトの犯⼈は複数 TGWの戻りルートがない NACLの戻りルール漏れ Network Firewallのルール 6
7. じゃあ AIに どう調べさせるの？
8. MCP is 何？ AIエージェントが 道具を呼ぶための共通規格 すごく雑に⾔うと AIのためのUSB端⼦ 8
9. エージェントは3種類 AIエージェント DevOps Agent AgentCore Kiro 9
10. 道具はMCPサーバー AIエージェント MCPサーバー DevOps Agent Network AgentCore CloudWatch Kiro PCAP Analyzer 10
11. AWSへは 読み取り専⽤で⼊る AIエージェント DevOps Agent MCPサーバー AWS Cloud Network VPC 読み取り専用 AgentCore CloudWatch Transit Gateway Kiro PCAP Analyzer CloudWatch 11
12. AIは どこから 調べ始めるの？
13. 順番は SKILL.md に書いておく ルーティング → ポリシー → プロトコル 最初に⾒つかった層で ⽌まる 13
14. フローログで 次に⾒る層が決まる フローログの⾒え⽅ 疑う層 送信元ACCEPT 宛先に記録なし ルーティング 宛先でREJECT ポリシー 両側ACCEPTでもアプリが失敗 プロトコル 14
15. 変更の前後も ⾒てくれる 変更前は シミュレーション 伝播が⽌まれば ロールバック 変更後は パケットで確認 15
16. 本番の変更は ⼈間が承認します 操作 進め⽅ 調査 シミュレーション エージェントが⾃律 SG Firewallの変更 案とロールバックまで 本番のTGWルート 明⽰的な承認を待つ 16
17. よし サンプルを コピーして動かそう！
18. …そのままでは 動きませんでした
19. ① ツール名が7件ずれていた ⽂書の名前 実際の名前 get_cloudwan_routes get_cwan_routes get_cloudwan_logs get_cwan_logs get_tgw_details get_tgw 19
20. ② SKILL.mdが閉じていない 1 2 12 61 --name: network-triage ... # Network Triage ... --- descriptionの後に --- を⾜す 20
21. ③ PCAP解析が起動しない AttributeError: 'Server' object has no attribute 'list_tools' MCP SDK 2.x が⼊ってしまうのが原因 21
22. SDKを1.x系に固定！ uvx --with "mcp<2" --from <リポジトリ> ¥ awslabs.pcap-analyzer-mcp-server 46個のツールが⾒えた 22
23. 直したら もう安⼼？
24. 空の結果は エラーに⾒えない TGWがNetwork Manager未登録だと ルートが空のまま返ってくる 経路なし と報告されかねない 24
25. 先に整えるのはネットワーク側 フローログは CloudWatch Logsへ TGWは Network Managerに登録 logs:GetQueryResults を忘れずに 25
26. 確かめたのは 起動まで AWSのAPIは 呼んでいない 実環境での調査は 未検証 26
27. まずは IDEから 読み取り専⽤で試しませんか？ ありがとうございました