Enlace de sesión URL de autorización de OAuth 2.0

Agente de invocación: el código de su agente invoca la GetResourceOauth2Token API para recuperar una URL de autorización cuando un usuario del agente originario desea acceder a alguna aplicación o recurso de su propiedad. he/she

Generar URL de autorización: AgentCore Identity genera una URL de autorización y una URI de sesión para que el usuario navegue hasta ellas y dé su consentimiento para acceder a ellas.

Autorizar y obtener el token de acceso: el usuario navega hasta la URL de autorización y otorga su consentimiento para que el agente acceda al his/her recurso. Después, AgentCore Identity redirige el navegador del usuario al punto final de la aplicación HTTPS con la información que contiene el usuario originario de la solicitud de autorización. En este punto, el punto final de la aplicación HTTPS determina si el usuario del agente original sigue siendo el mismo que el usuario de la aplicación que ha iniciado sesión en ese momento. Si coinciden, el punto final de la aplicación se invoca CompleteResourceTokenAuth para que AgentCore Identity pueda buscar y almacenar el token de acceso.

Re-invoke agente para obtener el token de acceso: una vez que la aplicación devuelva una respuesta válida, la aplicación de agente podrá recuperar los tokens de OAuth2.0 acceso que se solicitaron originalmente para el usuario. Si los usuarios no coinciden, la aplicación simplemente no hace nada o registra el intento.

Crea una URL de aplicación: para tu aplicación de navegador orientada al usuario, crea y aloja una nueva URL a la que se pueda acceder desde el navegador del usuario y que pueda aceptar solicitudes de redireccionamientos del navegador. Esta página debe redirigir a la página de una aplicación para que el usuario pueda continuar con su sesión de agente o mostrar alguna página web básica en la que se indique a los usuarios que devuelvan la sesión de agente que tienen activa actualmente. En las etapas posteriores de la implementación, esta página se usa para validar la sesión activa del usuario actual, por lo que también debería poder acceder a los datos de la sesión de usuario de la aplicación y mantenerlos.

Por ejemplo, es posible que los usuarios de su aplicación interactúen con un agente en una página principal de la aplicación, comohttps://myagentapp.com/assistant. Querrás mostrar una nueva URL como https://myagentapp.com/callback esa, de momento te redirigirá a la página principal de la aplicación. La lógica de código real de su /callback terminal se actualizará más adelante, siguiendo esta guía.

Actualice la identidad de la carga de trabajo con la URL de la aplicación: (se puede omitir si se realiza la prueba de forma local mediante la AgentCore CLI) Una vez que haya creado y alojado una URL de aplicación para que AgentCore Identity la redirija, actualice la identidad de la carga de trabajo para que la URL de la aplicación quede registrada como AllowedResourceOauth2ReturnUrl Asegúrese de que las credenciales de IAM utilizadas tengan permisos para realizar llamadas CreateWorkloadIdentity o en UpdateWorkloadIdentity función de si está creando una nueva identidad de carga de trabajo o actualizando una existente.

Ejemplo de llamada a la UpdateWorkloadIdentity API:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

Cree un proveedor de credenciales de OAuth 2.0 en AgentCore Identity: para registrar completamente el proveedor de credenciales de OAuth 2.0, necesita permisos para llamar a y. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Siga estos pasos:

Añade un controlador de código para realizar llamadas CompleteResourceTokenAuth: una vez que hayas creado tu proveedor de credenciales de OAuth 2.0, agrega el código y los permisos de IAM para llamar a la API en el CompleteResourceTokenAuth controlador de URL de tu aplicación. Al llamar a la CompleteResourceTokenAuth API, tu aplicación debe presentar la user_id cadena o el token de OAuth del proveedor de identidad entrante original que se utilizó para generar el token de acceso a la carga de trabajo para representar al usuario y a la aplicación del agente involucrados en el flujo de autorización de OAuth 2.0. Esta información debe obtenerse de la sesión activa de la aplicación en el navegador del usuario (normalmente mediante una cookie del navegador o en el almacenamiento local del navegador) y NO debe extraerse de ninguna caché de sesión remota.

Además, cada URL de autorización que genera AgentCore Identity se identifica de forma exclusiva con su propia URI de sesión. Este URI de sesión también debe presentarse junto con el identificador de usuario para vincular la sesión con el usuario previsto.

Ejemplo de código de aplicación:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Prueba: una vez que haya completado la configuración, estará listo para probar la integración. Comience por llamar GetResourceOauth2Token y, en su navegador, vaya a la URL de autorización que se devuelve. Tras completar la autorización en el proveedor de recursos de OAuth 2.0, verás que el navegador te redirige a la URL de tu aplicación e invoca la API. CompleteResourceTokenAuth Una vez que la aplicación devuelva una respuesta válida, tu aplicación de agente podrá recuperar los tokens de acceso de OAuth 2.0 que se solicitaron originalmente para el usuario. Estos tokens se pueden obtener llamando a la API. GetResourceOauth2Token