Header-Propagierung mit Gateway

Was ist Weitergabe von Header- und Abfrageparametern

Header-Propagierung bezieht sich auf die systematische Weiterleitung selektiver HTTP-Header von eingehenden Anfragen über Ihr Gateway an konfigurierte Ziele und die selektive Weiterleitung von Antwort-Headern zurück an den Client. Ähnlich wie bei der Header-Propagierung ermöglicht die Weitergabe von Abfrageparametern die Weiterleitung von URL-Abfrageparametern von eingehenden Anfragen an konfigurierte Ziele. Diese Funktion kann für Anwendungsfälle verwendet werden, in denen Sie Kontext-, Authentifizierungs-, Tracing- und andere wichtige Informationen zwischen Client und Zielen austauschen müssen. Die Header auf der Vorabliste, die im Aufruf des Tools zum Aufrufen des Gateways bereitgestellt oder von einem benutzerdefinierten Interceptor-Lambda gesendet wurden, werden an die jeweiligen Ziele weitergeleitet.

Diese Funktion funktioniert nach einem Modell mit geteilter Verantwortung:

Header-Einschränkungen

Um die Sicherheit zu gewährleisten und die Offenlegung vertraulicher Informationen zu verhindern, sind die folgenden Header eingeschränkt und können nicht für die Weitergabe konfiguriert werden:

Für zulässige Header gelten zusätzliche Validierungsregeln:

Konfiguration der Weitergabe von Header- und Abfrageparametern

Sie können Header- und Abfrageparameter auf Zielebene konfigurieren, wenn Sie Gateway-Ziele erstellen oder aktualisieren. Header und Abfrageparameter werden pro Ziel angegeben, sodass sichergestellt wird, dass jedes Ziel nur die Header erhält, die es benötigt.

Target-level Konfiguration

Konfigurieren Sie die Header-Propagierung allowedRequestHeadersallowedResponseHeaders, indem Sie allowedQueryParameters Felder, und zu den Feldern Ihres Ziels hinzufügenmetadataConfiguration:

{
    "name": "my-target",
    "description": "my target description",
    "credentialProviderConfigurations": [{
        "credentialProviderType": "OAUTH",
        "credentialProvider": {
            "oauthCredentialProvider": {
                "providerArn": "arn:aws:bedrock-agentcore:us-west-2:123456789012:credential-provider/example",
                "scopes": []
            }
        }
    }],
    "targetConfiguration": {
        "mcp": {
            "mcpServer": {
                "endpoint": "https://example.com/mcp"
            }
        }
    },
    "metadataConfiguration": {
        "allowedRequestHeaders": [
            "request-header"
        ],
        "allowedResponseHeaders": [
            "response-header"
        ],
        "allowedQueryParameters": [
            "query-param"
        ]
    }
}

Verwenden des Python-SDK:

import boto3

# Initialize the client
client = boto3.client('bedrock-agentcore', region_name='us-west-2')

# Create target with header propagation
response = client.create_gateway_target(
    gatewayId='gateway-123',
    name='mcp-target-with-headers',
    description='MCP target with header propagation',
    targetConfiguration={
        'mcp': {
            'mcpServer': {
                'endpoint': 'https://example.com/mcp'
            }
        }
    },
    metadataConfiguration={
        'allowedRequestHeaders': ['x-correlation-id', 'x-tenant-id'],
        'allowedResponseHeaders': ['x-rate-limit-remaining'],
        'allowedQueryParameters': ['version']
    }
)

Header-Weitergabe von Interceptor-Lambda

Wenn Sie benutzerdefinierte Interceptor-Lambdas mit Ihrem Gateway verwenden, können Sie die Header-Übertragung dynamisch steuern, indem Sie Header in Ihre Interceptor-Lambda-Antwort aufnehmen.

So funktioniert die Weitergabe von Interceptor-Headern

Interceptor-Lambdas können die Header-Propagierung auf folgende Weise beeinflussen:

Implementierung der Header-Weitergabe in Interzeptoren

Konfigurieren Sie Ihr Interceptor-Lambda so, dass Header zurückgegeben werden, die an das Ziel weitergegeben werden sollen:

import json
import boto3

def lambda_handler(event, context):
    # Extract request context
    request_context = event.get('requestContext', {})
    user_identity = request_context.get('identity', {})

    # Fetch credentials from secure store (example)
    credentials_client = boto3.client('secretsmanager')
    secret = credentials_client.get_secret_value(
        SecretId=f"mcp-credentials/{user_identity.get('userId')}"
    )

    credentials = json.loads(secret['SecretString'])

    # Return response with headers to propagate
    return {
        "interceptorOutputVersion": "1.0",
        "mcp": {
            "transformedGatewayRequest": {
                "headers": {
                    # Authorization header will be propagated automatically
                    "Authorization": f"Bearer {credentials['access_token']}",
                    # Custom headers (must be in target allowlist)
                    "x-tenant-id": user_identity.get('tenantId'),
                    "x-correlation-id": request_context.get('requestId')
                },
                "body": event['mcp']['gatewayRequest']['body']
            }
        }
    }

Zu den häufigsten Anwendungsfällen für die Weitergabe von Interceptor-Headern gehören:

Sicherheitsüberlegungen

Beachten Sie bei der Implementierung der Header-Weitergabe mit Interceptor-Lambdas die folgenden bewährten Sicherheitsmethoden:

Bewährte Methoden

Beachten Sie bei der Implementierung der Header-Propagierung die folgenden bewährten Methoden: