Pulumi MCP Server

Der Pulumi MCP Server verbindet KI-Assistenten wie Claude Code, Codex oder Cursor mit Pulumi Cloud und der Pulumi Registry. Wer Infrastruktur mit Pulumi verwaltet, kann dem Assistenten damit Fragen stellen wie „Welche Stacks gibt es in unserer Organisation?“, „Wo laufen unverschlüsselte Buckets?“ oder „Wie sieht die Ressource für ein verwaltetes Kubernetes-Cluster bei AWS aus?“, ohne zwischen Terminal, Weboberfläche und Dokumentation zu wechseln. Betrieben wird der Server von Pulumi selbst. Laut Dokumentation ist er als gehosteter Endpunkt unter mcp.ai.pulumi.com erreichbar, lokal muss nichts installiert werden.

Was ist der Pulumi MCP Server?

Pulumi beschreibt Cloud-Infrastruktur in Programmiersprachen statt in reinen Konfigurationsdateien. Die Zustände dieser Infrastruktur, die sogenannten Stacks, und die dazugehörigen Richtlinien und Mitglieder verwaltet Pulumi Cloud. Der MCP-Server macht diese Daten für Sprachmodelle abfragbar und schlägt zusätzlich die Brücke zur Pulumi Registry, in der alle verfügbaren Ressourcen, Funktionen und Typen der Cloud-Anbieter dokumentiert sind. Die Verbindung läuft über Streamable HTTP mit OAuth im Browser oder, für automatisierte Umgebungen, per Token im Header.

Welche Werkzeuge stehen zur Verfügung?

Die Dokumentation gliedert die Werkzeuge in drei Gruppen. Für Pulumi Cloud gibt es get-stacks zum Auflisten der Stacks einer Organisation, resource-search zum Durchsuchen von Ressourcen mit einer Abfragesyntax, get-policy-violations zum Anzeigen von Richtlinienverstößen und get-users für die Mitglieder samt Rollen. Die Neo-Integration umfasst neo-bridge zum Starten von Aufgaben und Genehmigen von Rückfragen, neo-get-tasks, neo-continue-task und neo-reset-conversation. Aus der Registry stammen list-resources, list-functions, get-resource, get-function und get-type; sie liefern dem Assistenten die genauen Schemata, damit er korrekten Pulumi-Code schreibt. Dazu kommt deploy-to-aws, das schrittweise Anleitungen für Deployments auf AWS zurückgibt.

Wofür ist er besonders nützlich?

Der größte Nutzen liegt an zwei Stellen. Erstens beim Schreiben von Infrastrukturcode: Weil der Assistent die Registry-Schemata direkt abfragt, rät er Eigenschaften und Typen nicht mehr aus dem Gedächtnis, sondern liest sie nach. Das reduziert fehlerhafte Programme spürbar. Zweitens beim Betrieb: Plattform- und Sicherheitsteams können Bestände durchsuchen, Verstöße gegen Richtlinien auflisten und sich einen Überblick über Stacks verschaffen, ohne eigene Skripte zu bauen. Wer Pulumi Neo, den KI-Agenten des Anbieters, nutzt, kann Aufgaben über den Server anstoßen und Rückfragen im Chat freigeben.

Einrichtung

Tragen Sie https://mcp.ai.pulumi.com/mcp als Remote-Server ein. In Claude Code genügt claude mcp add --transport http pulumi https://mcp.ai.pulumi.com/mcp. Clients ohne direkte Remote-Unterstützung können laut Dokumentation npx -y mcp-remote als Brücke nutzen. Beim ersten Verbinden geben Sie im Browser ein Pulumi-Zugriffstoken ein und wählen die Organisation; die Sitzung gilt 30 Tage. Für CI-Umgebungen ohne Browser lässt sich das Token als Bearer-Header zusammen mit dem Header X-Pulumi-Org übergeben. Verwenden Sie dafür ein eigenes Token, das nicht mit dem CLI-Token identisch ist.

Sicherheit und Berechtigungen

Der Assistent arbeitet mit der Identität des Tokens. Rollenbasierte Zugriffskontrolle, Ablaufrichtlinien für Tokens und Organisationsrichtlinien gelten laut Dokumentation weiter. Praktisch heißt das: Vergeben Sie dem Token nur die Rechte, die der Assistent wirklich braucht, und bevorzugen Sie ein Token mit lesendem Zuschnitt, solange Sie den Server nur zum Nachschlagen und Auswerten nutzen. Beachten Sie außerdem, dass Antworten mit Stack- und Ressourcendaten in den Kontext des KI-Clients und damit zum Modellanbieter gelangen.

Kosten

Nach der Dokumentation funktionieren die Registry-Werkzeuge und deploy-to-aws mit jedem Pulumi-Konto. Die Ressourcensuche und weitere Funktionen setzen einen der kostenpflichtigen Pläne Essentials, Pro oder Enterprise voraus, und die Neo-Nutzung wird gesondert abgerechnet. Pulumi nennt auf seiner Preisseite einen kostenlosen Plan ohne Kreditkarte; welche Leistungen in welchem Plan stecken, entnehmen Sie bitte der offiziellen Preisseite.

Für wen lohnt sich der Pulumi MCP Server?

Er lohnt sich für Teams, die ihre Infrastruktur bereits mit Pulumi verwalten und den KI-Assistenten beim Schreiben, Prüfen und Durchsuchen einsetzen wollen. Wer Terraform, OpenTofu oder reine Cloud-Konsolen nutzt, hat davon keinen Vorteil, denn der Server kennt nur Pulumi-Stacks und die Pulumi Registry. Einsteiger profitieren schon mit dem kostenlosen Konto von den Registry-Werkzeugen, größere Organisationen vor allem von Ressourcensuche und Richtlinienprüfung.

Ein Pulumi-Cloud-Konto mit Zugriffstoken und ein MCP-Client mit Unterstützung für Remote-Server (Streamable HTTP), etwa Claude Code, Codex, Cursor oder VS Code. Für Ressourcensuche und Neo ist ein kostenpflichtiger Plan nötig.

Mit dem Pulumi MCP Server fragt ein KI-Assistent Stacks, Ressourcen und Richtlinienverstöße Ihrer Pulumi-Organisation ab und liest Registry-Schemata nach. Dieser Ratgeber führt von der Token-Erstellung bis zur ersten Abfrage.

Schritt 1: Voraussetzungen prüfen

Sie benötigen ein Pulumi-Cloud-Konto, ein Zugriffstoken und einen MCP-Client, der Remote-Server per Streamable HTTP unterstützt, etwa Claude Code, Codex oder Cursor. Ressourcensuche und Neo setzen laut Dokumentation einen kostenpflichtigen Plan voraus.

Schritt 2: Token anlegen

Erstellen Sie in Pulumi Cloud ein eigenes Zugriffstoken für den MCP-Server. Laut Dokumentation sollte es nicht mit dem Token Ihrer CLI identisch sein. Wählen Sie ein Organisationstoken oder ein persönliches Token mit möglichst engen Rechten.

Schritt 3: Server eintragen

Tragen Sie https://mcp.ai.pulumi.com/mcp als Remote-Server ein. In Claude Code genügt claude mcp add --transport http pulumi https://mcp.ai.pulumi.com/mcp. Clients ohne Remote-Unterstützung nutzen npx -y mcp-remote https://mcp.ai.pulumi.com/mcp als Brücke.

claude mcp add --transport http pulumi https://mcp.ai.pulumi.com/mcp
npx -y mcp-remote https://mcp.ai.pulumi.com/mcp

Schritt 4: Anmelden und Organisation wählen

Beim ersten Verbinden öffnet sich ein Browserfenster. Geben Sie dort das Zugriffstoken ein und wählen Sie die Organisation. Die Sitzung bleibt laut Dokumentation 30 Tage gültig. In CI-Umgebungen übergeben Sie das Token als Bearer-Header zusammen mit dem Header X-Pulumi-Org.

Schritt 5: Erste Abfragen

Beginnen Sie lesend: „Liste die Stacks meiner Organisation auf“ oder „Zeige die Eigenschaften der Ressource für einen S3-Bucket in der Registry“. Prüfen Sie, ob die Antworten zur richtigen Organisation gehören.

Neo mit Bedacht einsetzen

Über neo-bridge lassen sich Neo-Aufgaben starten und Rückfragen freigeben. Neo kann Infrastruktur verändern und wird gesondert abgerechnet. Lassen Sie Freigaben deshalb immer bewusst einzeln bestätigen.

OAuth-Ablauf im Browser mit Pulumi-Zugriffstoken (Organisations- oder persönliches Token, nicht das CLI-Token) und Organisationsauswahl; alternativ Bearer-Header plus X-Pulumi-Org für CI.

Zugriff auf Stacks, Ressourcen, Richtlinienverstöße und Mitglieder der gewählten Organisation sowie auf die Pulumi Registry und Neo-Aufgaben, im Rahmen der Rechte des verwendeten Tokens.

Der Server läuft gehostet bei Pulumi. Stack-, Ressourcen- und Mitgliederdaten, die der Assistent abruft, gelangen in den Kontext des KI-Clients und damit zum Modellanbieter.

Offenlegung von Infrastrukturdaten und Mitgliederlisten gegenüber dem Modellanbieter, zu weit gefasste Token-Rechte sowie unbeabsichtigt gestartete oder freigegebene Neo-Aufgaben, die Infrastruktur verändern können.