Conectar o Devin ao MongoDB

​

Dois planos, duas identidades

• Uma service account com permissão para criar usuários de banco de dados (GROUP_OWNER, GROUP_DATABASE_ACCESS_ADMIN) pode criar para si mesma uma identidade no plano de dados. O servidor MCP do MongoDB faz exatamente isso quando recebe uma solicitação para se conectar a um cluster (Opção B).
• Os dados de consultas lentas incluem os valores literais das consultas.

​

Escolha como o Devin se conecta

​

Por que conectar o Devin ao MongoDB?

• O schema está nos próprios documentos. O MongoDB não tem information_schema, e os modelos do Mongoose ou do Prisma acabam divergindo do que está realmente armazenado. O Devin coleta amostras das coleções em produção e trabalha com base na estrutura real.
• O ciclo de consultas lentas se resolve em uma única sessão. O Devin lê o Performance Advisor e o log de consultas lentas, executa explain() na coleção real, encontra o código que dispara a consulta e abre um PR com a correção e o índice proposto.
• As funções do usuário do banco de dados definem o que o Devin pode acessar. Comece com acesso somente leitura em produção e um sandbox devin_dev para gravações; cada ação fica registrada nos logs do Atlas com a identidade própria do Devin.

​

Pré-requisitos

• Um projeto com um cluster.
• Organization Owner para criar uma conta de serviço; Project Owner para o usuário do banco de dados e as listas de acesso.

• Permissão para editar o blueprint do ambiente e adicionar Segredos.
• Para as opções via MCP, a permissão Manage MCP Servers.

• Os IPs do Devin incluídos na lista de acesso por IP do projeto (Etapa 1).
• Se você usa uma network policy do Devin, permita *.mongodb.net e cloud.mongodb.com, além dos hosts de onde o blueprint faz as instalações: pgp.mongodb.com e repo.mongodb.org (Opção A), registry.npmjs.org e nodejs.org (Opção B). O driver se conecta pela porta 27017, e não pela 443; como as entradas da policy são hostnames ou CIDRs, não há porta para configurar. Os builds do snapshot são executados sob a mesma policy.

​

Etapa 1: Libere o acesso à rede

atlas accessLists create <ip> --type ipAddress --comment "Devin" --projectId <project-id>
atlas accessLists create <cidr> --type cidrBlock --comment "Devin" --projectId <project-id>

​

Etapa 2: Crie as identidades do Devin

​

Usuário do banco de dados

atlas dbusers create \
  --username devin-sessions \
  --password "<generated-password>" \
  --role read@analytics,read@billing,readWrite@devin_dev \
  --scope <cluster-name> \
  --projectId <project-id>

​

Conta de serviço (somente se o Devin precisar do plano de controle)

​

Etapa 3: Conectar o Devin

​

Opção A: CLI em um blueprint

​

1. Adicione os Devin Secrets

​

2. Adicione o blueprint

initialize:
  - name: Install the Atlas CLI and mongosh
    run: |
      curl -fsSL https://pgp.mongodb.com/server-8.0.asc \
        | sudo gpg --batch --yes -o /usr/share/keyrings/mongodb-server-8.0.gpg --dearmor
      echo "deb [ arch=amd64,arm64 signed-by=/usr/share/keyrings/mongodb-server-8.0.gpg ] https://repo.mongodb.org/apt/ubuntu jammy/mongodb-org/8.0 multiverse" \
        | sudo tee /etc/apt/sources.list.d/mongodb-org-8.0.list
      sudo apt-get update
      sudo apt-get install -y mongodb-atlas-cli mongodb-mongosh
      atlas --version && mongosh --version

knowledge:
  - name: mongodb-access
    contents: |
      Connect to MongoDB with `mongosh "$MONGODB_URI"`; the URI is a Devin Secret. The Atlas CLI
      authenticates as a service account from MONGODB_ATLAS_CLIENT_ID and MONGODB_ATLAS_CLIENT_SECRET,
      with MONGODB_ATLAS_PROJECT_ID as the default project. Do not run `atlas auth login`, do not ask
      for a username, password, or API key, and never write the connection string into a file, script,
      log, or PR. Production databases are read-only; write only to the devin_dev database. Ship
      schema, index, and migration changes through a pull request.

​

3. Faça o build do snapshot

​

Opção B: servidor MCP do MongoDB

• --readOnly impede o registro das ferramentas de criação, atualização e exclusão, e rejeita agregações que contenham $out ou $merge. Sem essa opção, essas agregações são executadas após um prompt de confirmação, ou sem confirmação se o cliente MCP não oferecer suporte a prompts. Use-a em tudo que apontar para produção.
• --indexCheck rejeita consultas cujo plano seja uma varredura de coleção. Trata-se de uma proteção de desempenho; se o próprio explain falhar, a consulta é executada mesmo assim.

initialize:
  - name: Install Node.js for the MongoDB MCP server
    uses: github.com/actions/setup-node@v4
    with:
      node-version: "22"

​

Opção C: plugin do MongoDB Atlas

1. Um Organization Owner ativa o acesso de clientes de IA (Organization Settings > App Connections) e define o modo de acesso como Read, para que as ferramentas de escrita não sejam registradas. Essa configuração vale para todos os clientes de IA da organização, não apenas para o Devin.
2. Crie um usuário do Atlas dedicado ao Devin com GROUP_READ_ONLY e GROUP_DATA_ACCESS_READ_ONLY, apenas nos projetos que ele tem permissão para ler. GROUP_DATA_ACCESS_READ_ONLY permite ler documentos em todos os bancos de dados do projeto, ou seja, esse acesso é mais amplo que o do usuário devin-sessions.
3. Instale o plugin e conclua o login OAuth uma única vez em Customize > MCPs, conectado como esse usuário, e não com sua própria conta.
4. Quando estiver funcionando, fixe o plugin em um commit.

​

Rebuilds e fixação de versões

​

Etapa 4: Defina as permissões

​

Etapa 5: Verificar

mongosh "$MONGODB_URI" --quiet --eval 'JSON.stringify(db.runCommand({connectionStatus: 1}), null, 2)'
atlas clusters list --projectId "$MONGODB_ATLAS_PROJECT_ID"

mongosh "$MONGODB_URI" --quiet --eval 'db.getSiblingDB("<prod-db>").devin_probe.insertOne({probe: 1})'
mongosh "$MONGODB_URI" --quiet --eval 'db.getSiblingDB("devin_dev").devin_probe.insertOne({probe: 1}); db.getSiblingDB("devin_dev").devin_probe.drop()'

​

Solução de problemas

​

Limitações

​

Suporte