View a markdown version of this page

Ping Identity - Base amazónica AgentCore
Salida

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ping Identity

La PingOne plataforma de Ping Identity se puede configurar como un proveedor de credenciales de AgentCore identidad para el acceso a los recursos salientes. Esto permite a sus agentes autenticar a los usuarios a través PingOne del servicio OAuth2 y obtener tokens de acceso para los recursos de la API. PingOne

Salida

nota

Solo puede configurar una aplicación PingOne OAuth2 como una federación de usuarios o como un cliente OAuth2 M2M, pero no ambos.

nota

AgentCore Identity emite una URL de devolución de llamada de OAuth2 única para cada proveedor de credenciales que cree. La URL de devolución de llamada única permite vincular la sesión, lo que protege el intercambio de códigos de autorización de OAuth2 contra la reproducción entre proveedores y los CSRF-style ataques, ya que garantiza que una respuesta de autorización solo se pueda canjear contra el proveedor de credenciales específico que la inició. Como la URL es única para cada proveedor, no la sabrás hasta después de llamar. CreateOauth2CredentialProvider Crea primero tu aplicación PingOne OAuth2 y, a continuación, vuelve a la consola de PingOne administración para registrar la URL de devolución de llamada una vez que AgentCore Identity la haya emitido.

Paso 1: Crea la aplicación OAuth2 de Ping Identity

Utilice el siguiente procedimiento para configurar una aplicación PingOne OAuth2 y obtener las credenciales de cliente necesarias para Identity. AgentCore Si está configurando un cliente de federación de usuarios, registrará el URI de redireccionamiento en el paso 3, después de que AgentCore Identity emita la URL de devolución de llamada única.

Para configurar una aplicación PingOne OAuth2

  1. Inicia sesión en la consola de PingOne administración.

  2. En la barra de navegación, en Aplicaciones, selecciona Aplicación.

  3. En la página, selecciona el icono + situado junto a Aplicaciones para crear una nueva aplicación.

  4. Para configurar la aplicación como cliente M2M OAuth2:

    • Seleccione las credenciales del cliente para el tipo de concesión.

    • Seleccione la publicación secreta del cliente para el método de autenticación con token de punto final.

    • Cree un recurso personalizado en Aplicaciones→Recursos en las pestañas, incluido un ámbito. A continuación, añada ese ámbito a la aplicación en su pestaña de Recursos personales. Luego, asegúrese de que el alcance esté presente en el campo «ámbitos» de GetResourceOauth2AccessToken.

  5. Para configurar tu aplicación como un cliente Oauth2 de federación de usuarios:

    • Seleccione el código para el tipo de respuesta.

    • Seleccione el código de autorización para el tipo de subvención.

    • Seleccione Client Secret Basic para el método de autenticación mediante token de punto final.

    • Deje la lista de URI de redireccionamiento vacía por ahora. Añadirá la URL de devolución de llamada única en el paso 3.

Para obtener más información, consulta la documentación de la PingOne API de Ping Identity.

Paso 2: Crear el proveedor de credenciales de AgentCore identidad

Para configurarlo PingOne como proveedor de recursos salientes, utilice lo siguiente:

{
  "name": "PingOne",
  "credentialProviderVendor": "PingOneOauth2",
  "oauth2ProviderConfigInput" : {
    "includedOauth2ProviderConfig": {
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
      "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
      "issuer": "https://auth.pingone.com/your-env-id/as"
    }
  }
}

Para usar el intercambio de tokens de PingIdentity OAuth 2.0 para la delegación, usa un proveedor personalizado para la configuración avanzada. Para obtener más información, consulta el artículo sobre el intercambio de On-behalf-of tokens con Identity AgentCore . 

{
  "name": "PingOne",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
          "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
          "issuer": "https://auth.pingone.com/your-env-id/as"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "M2M"
        }
      }
    }
  }
}

Para usar el intercambio de tokens de PingIdentity OAuth 2.0 para la suplantación de identidad, usa un proveedor personalizado para la configuración avanzada. Para obtener más información, consulta el artículo sobre el intercambio de On-behalf-of tokens con Identity. AgentCore 

{
  "name": "PingOne",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
          "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
          "issuer": "https://auth.pingone.com/your-env-id/as"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "NONE"
        }
      }
    }
  }
}

La CreateOauth2CredentialProvider respuesta incluye un callbackUrl campo. Esta URL es exclusiva de este proveedor de credenciales y tiene el siguiente aspecto:https://bedrock-agentcore.us-east-1.amazonaws.com/identities/oauth2/callback/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX. Guarde este valor para el siguiente paso.

nota

La URL de devolución de llamada única solo se aplica a los clientes de federación de usuarios. Si lo configuró PingOne como cliente M2M, no es necesario registrar la URL de devolución de llamada.

Paso 3: Registre la URL de devolución de llamada única con PingOne

Vuelve a la consola de PingOne administración y añade la URL de devolución de llamada única a la lista de URI de redireccionamiento de tu aplicación de federación de usuarios.

  1. Inicia sesión en la consola de PingOne administración y abre la aplicación que creaste en el paso 1.

  2. Agregue el callbackUrl valor devuelto por CreateOauth2CredentialProvider a la configuración de URI de redireccionamiento de la aplicación.

  3. Guarde los cambios.