Enlace de sesión con URL de autorización de OAuth 2.0

Invocar el agente: el código de su agente invoca la GetResourceOauth2Token API para recuperar una URL de autorización cuando un usuario del agente de origen quiere acceder a alguna aplicación o recurso de su propiedad. he/she

Generar URL de autorización: AgentCore Identity genera una URL de autorización y un URI de sesión para que el usuario navegue y dé su consentimiento al acceso.

Autorizar y obtener el token de acceso: el usuario navega hasta la URL de autorización y otorga su consentimiento para que su agente acceda al his/her recurso. Después, AgentCore Identity redirige el navegador del usuario al punto final de la aplicación HTTPS con la información que contiene el usuario que originó la solicitud de autorización. En este punto, el punto final de la aplicación HTTPS determina si el usuario del agente de origen sigue siendo el mismo que el usuario que ha iniciado sesión actualmente en la aplicación. Si coinciden, el punto final de la aplicación se invoca CompleteResourceTokenAuth para que AgentCore Identity pueda recuperar y almacenar el token de acceso.

Re-invoke agente para obtener el token de acceso: una vez que la aplicación devuelva una respuesta válida, su aplicación de agente podrá recuperar los tokens de OAuth2.0 acceso que se solicitaron originalmente para el usuario. Si los usuarios no coinciden, la aplicación simplemente no hace nada o registra el intento.

Crea una URL de aplicación: para tu aplicación de navegador orientada al usuario, crea y aloja una nueva URL a la que se pueda acceder desde el navegador del usuario y que pueda aceptar solicitudes de redireccionamientos del navegador. Esta página debería redirigir a una página de aplicación para que el usuario pueda continuar con su sesión de agente o mostrar alguna página web básica en la que se indique a los usuarios que devuelvan su sesión de agente actualmente activa. En las fases posteriores de la implementación, esta página se utiliza para validar la sesión activa del usuario actual, por lo que también debería poder acceder a los datos de la sesión del usuario de la aplicación y mantenerlos.

Por ejemplo, es posible que los usuarios de su aplicación interactúen con un agente en una página principal de la aplicación, por ejemplohttps://myagentapp.com/assistant. Querrás mostrar una nueva URL como la https://myagentapp.com/callback que, por ahora, redirigirá a la página principal de la aplicación. La lógica del código actual de su /callback terminal se actualizará más adelante al seguir esta guía.

Actualice la identidad de la carga de trabajo con la URL de la aplicación: (se puede omitir si se realiza una prueba local mediante AgentCore CLI) Una vez que haya creado y alojado una URL de aplicación para que AgentCore Identity la redirija, actualice la identidad de la carga de trabajo para que la URL de la aplicación se registre como. AllowedResourceOauth2ReturnUrl Asegúrese de que las credenciales de IAM utilizadas tengan permisos para llamar CreateWorkloadIdentity o en UpdateWorkloadIdentity función de si va a crear una nueva identidad de carga de trabajo o a actualizar una existente.

Ejemplo de llamada a la UpdateWorkloadIdentity API:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

Cree un proveedor de credenciales de OAuth 2.0 en AgentCore Identity: para registrar completamente el proveedor de credenciales de OAuth 2.0, necesita permisos para llamar y. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Siga estos pasos:

Agrega un controlador de código para las llamadas CompleteResourceTokenAuth: una vez que hayas creado tu proveedor de credenciales de OAuth 2.0, agrega el código y los permisos de IAM para llamar a la API en el CompleteResourceTokenAuth controlador de URL de tu aplicación. Al llamar a la CompleteResourceTokenAuth API, tu aplicación debe presentar el token o user_id cadena de OAuth original del proveedor de identidad entrante que se utilizó para generar el token de acceso a la carga de trabajo para representar al usuario y a la aplicación agente que participan en el flujo de autorización de OAuth 2.0. Esta información debe obtenerse de la sesión de la aplicación activa en el navegador del usuario (normalmente mediante una cookie del navegador o en el almacenamiento local del navegador) y no debe extraerse de la memoria caché de ninguna sesión remota.

Además, cada URL de autorización que genera AgentCore Identity se identifica de forma única con su propio URI de sesión. Este URI de sesión también debe presentarse junto con el identificador de usuario para vincular la sesión con el usuario previsto.

Ejemplo de código de aplicación:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Prueba: una vez que haya completado la configuración, estará listo para probar la integración. Comience por llamar GetResourceOauth2Token y, en su navegador, vaya a la URL de autorización que aparece. Tras completar la autorización en el proveedor de recursos de OAuth 2.0, deberías ver cómo el navegador se redirige a la URL de tu aplicación e invoca la API. CompleteResourceTokenAuth Cuando la aplicación devuelva una respuesta válida, tu aplicación agente podrá recuperar los tokens de acceso de OAuth 2.0 que se solicitaron originalmente para el usuario. Estos tokens se pueden obtener llamando a la API. GetResourceOauth2Token