OAuth 2.0-Autorisierungs-URL-Sitzungsbindung

Agent aufrufen — Ihr Agentencode ruft die GetResourceOauth2Token API auf, um eine Autorisierungs-URL abzurufen, wenn ein Benutzer, der den Agenten ursprünglich verwendet, auf eine Anwendung oder Ressource zugreifen möchte, die ihm gehört. he/she

Autorisierungs-URL generieren — AgentCore Identity generiert eine Autorisierungs-URL und eine Sitzungs-URI, zu der der Benutzer navigieren und dem Zugriff zustimmen kann.

Zugriffstoken autorisieren und abrufen — Der Benutzer navigiert zur Autorisierungs-URL und erteilt Ihrem Agenten die Zustimmung zum Zugriff auf his/her die Ressource. Danach leitet AgentCore Identity den Browser des Benutzers mit Informationen über den ursprünglichen Benutzer der Autorisierungsanfrage an Ihren HTTPS-Anwendungsendpunkt weiter. Zu diesem Zeitpunkt bestimmt Ihr HTTPS-Anwendungsendpunkt, ob der ursprüngliche Agent-Benutzer immer noch derselbe ist wie der aktuell angemeldete Benutzer Ihrer Anwendung. Wenn sie übereinstimmen, wird Ihr Anwendungsendpunkt aufgerufen, CompleteResourceTokenAuth sodass AgentCore Identity das Zugriffstoken abrufen und speichern kann.

Re-invoke Agent zum Abrufen des Zugriffstokens — Sobald die Anwendung eine gültige Antwort zurückgibt, kann Ihre Agentenanwendung die OAuth2.0 Zugriffstoken abrufen, die ursprünglich für den Benutzer angefordert wurden. Wenn die Benutzer nicht übereinstimmen, unternimmt Ihre Anwendung einfach nichts oder protokolliert den Versuch.

Erstellen Sie eine Anwendungs-URL — Erstellen und hosten Sie für Ihre benutzerorientierte Browseranwendung eine neue URL, auf die über den Benutzerbrowser zugegriffen werden kann und Anfragen von Browserumleitungen annehmen kann. Diese Seite sollte entweder zu einer Anwendungsseite weiterleiten, auf der Ihr Benutzer seine Agentensitzung fortsetzen kann, ODER eine einfache Webseite rendern, auf der Ihre Benutzer angewiesen werden, zu ihrer derzeit aktiven Agentensitzung zurückzukehren. In späteren Phasen der Implementierung wird diese Seite zur Überprüfung der aktiven Sitzung des aktuellen Benutzers verwendet. Daher sollte diese Seite auch Zugriff auf die Sitzungsdaten Ihres Anwendungsbenutzers haben und diese verwalten können.

Beispielsweise können die Benutzer Ihrer Anwendung auf einer primären Anwendungsseite mit einem Agenten interagieren lassen, https://myagentapp.com/assistant z. Sie sollten vorerst eine solche neue URL veröffentlichenhttps://myagentapp.com/callback, die zur primären Anwendungsseite weiterleitet. Die tatsächliche Codelogik in Ihrem /callback Endpunkt wird später aktualisiert, wenn Sie dieser Anleitung folgen.

Workload-Identität mit Anwendungs-URL aktualisieren — (Kann übersprungen werden, wenn Sie lokal über AgentCore CLI testen) Nachdem Sie eine Anwendungs-URL erstellt und gehostet haben, zu der AgentCore Identity weitergeleitet werden soll, aktualisieren Sie Ihre Workload-Identität, sodass die Anwendungs-URL als AllowedResourceOauth2ReturnUrl registriert ist. Stellen Sie sicher, dass die verwendeten IAM-Anmeldeinformationen über Aufrufberechtigungen verfügen CreateWorkloadIdentity oder davon UpdateWorkloadIdentity abhängen, ob Sie eine neue Workload-Identität erstellen oder eine bestehende aktualisieren.

Beispiel für einen UpdateWorkloadIdentity API-Aufruf:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

OAuth 2.0-Anmeldeinformationsanbieter in AgentCore Identity erstellen — Um den OAuth 2.0-Anmeldeinformationsanbieter vollständig zu registrieren, benötigen Sie Berechtigungen zum Aufrufen von und. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Dazu gehen Sie wie folgt vor:

Code-Handler für Aufrufe hinzufügen CompleteResourceTokenAuth — Nachdem Sie Ihren OAuth 2.0-Anbieter für Anmeldeinformationen erstellt haben, fügen Sie Code und die IAM-Berechtigungen zum Aufrufen der CompleteResourceTokenAuth API in Ihrem Anwendungs-URL-Handler hinzu. Wenn Sie die CompleteResourceTokenAuth API aufrufen, muss Ihre Anwendung das ursprüngliche OAuth-Token oder die user_id Zeichenfolge des Inbound-Identity-Providers vorlegen, das zur Generierung des Workload-Zugriffstokens verwendet wurde, um den Benutzer und die Agentenanwendung darzustellen, die am OAuth 2.0-Autorisierungsablauf beteiligt sind. Diese Informationen sollten aus der aktiven Anwendungssitzung im Browser des Benutzers abgerufen werden (normalerweise über ein Browser-Cookie oder im lokalen Speicher des Browsers) und NICHT aus einem Remote-Sitzungscache abgerufen werden.

Darüber hinaus wird jede Autorisierungs-URL, die von AgentCore Identity generiert wird, mit ihrer eigenen Sitzungs-URI eindeutig identifiziert. Dieser Sitzungs-URI muss auch zusammen mit der Benutzerkennung angegeben werden, um die Sitzung mit dem vorgesehenen Benutzer zu verknüpfen.

Beispiel für einen Anwendungscode:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Test — Sobald Sie das Setup abgeschlossen haben, können Sie die Integration testen. Rufen Sie zunächst an GetResourceOauth2Token und rufen Sie in Ihrem Browser die Autorisierungs-URL auf, die zurückgegeben wird. Nach Abschluss der Autorisierung beim OAuth 2.0-Ressourcenanbieter sollte der Browser zurück zu Ihrer Anwendungs-URL weiterleiten und die API aufrufen. CompleteResourceTokenAuth Sobald die Anwendung eine gültige Antwort zurückgibt, kann Ihre Agentenanwendung die OAuth 2.0-Zugriffstoken abrufen, die ursprünglich für den Benutzer angefordert wurden. Diese Token können durch Aufrufen der API abgerufen werden. GetResourceOauth2Token