Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Flujo de autorización

Amazon Bedrock AgentCore Gateway evalúa las políticas de Cedar en función de las solicitudes entrantes. En esta sección se explica cómo fluye la información de autorización desde la solicitud hasta la evaluación de la política.

Procesamiento de solicitudes

Amazon Bedrock AgentCore Gateway procesa dos datos clave de cada solicitud:

Solicitud de autorización de Cedar

The Gateway extrae información de ambas fuentes y crea una solicitud de autorización de Cedar.

Solicitud de autorización completa:

{
  "principal": "AgentCore::OAuthUser::\"12345678-1234-1234-1234-123456789012\"",
  "action": "AgentCore::Action::\"RefundTool___process_refund\"",
  "resource": "AgentCore::Gateway::\"arn:aws:bedrock-agentcore:us-west-2:123456789012:gateway/refund-gateway\"",
  "context": {
    "input": {
      "orderId": "12345",
      "amount": 450,
      "reason": "Defective product"
    }
  }
}

Componentes:

Tienda de entidades: las afirmaciones de JWT se almacenan como etiquetas en la OAuthUser entidad:

{
  "uid": {
    "type": "AgentCore::OAuthUser",
    "id": "12345678-1234-1234-1234-123456789012"
  },
  "attrs": {
    "id": "12345678-1234-1234-1234-123456789012"
  },
  "tags": {
    "username": "refund-agent",
    "iss": "https://cognito-idp.us-east-1.amazonaws.com/us-east-1_Vg2efaoGO",
    "scope": "aws.cognito.signin.user.admin refund:write",
    "role": "admin",
    "department": "finance"
  }
}

Contexto de sesión para políticas temporales

Cuando hay un x-amzn-bedrock-agentcore-policy-session-id encabezado, la puerta de enlace incluye el contexto de la sesión en la solicitud de autorización que se envía al motor de políticas. El contexto de la sesión proporciona el historial de acciones acumulado para la sesión actual. Las reglas de política temporal evalúan las restricciones a lo largo del tiempo utilizando este historial.

{
  "principal": "AgentCore::OAuthUser::\"12345678-1234-1234-1234-123456789012\"",
  "action": "AgentCore::Action::\"PaymentTool___transfer_funds\"",
  "resource": "AgentCore::Gateway::\"arn:aws:bedrock-agentcore:us-west-2:123456789012:gateway/my-gateway\"",
  "context": {
    "input": {
      "amount": 500,
      "recipient": "account-789"
    }
  },
  "sessionId": "12345678-1234-1234-1234-123456789012"
}

El sessionId campo vincula la solicitud actual con su historial de sesiones. El motor de políticas resuelve el estado de la sesión y evalúa todas las reglas temporales aplicables comparándolas con la cadena de acciones acumulada.

Para obtener más información sobre cómo proporcionar el identificador de sesión, el ciclo de vida de la sesión y cómo se propaga la identidad en las llamadas de varios saltos, consulte Sesiones de políticas y propagación de identidades.

Evaluación de políticas

Cedar evalúa:

Resultado: PERMITIR: se aprueban todos los cheques y se autoriza el reembolso.