Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Méthodes d'authentification des clients

La méthode d'authentification du client contrôle la manière dont le client OAuth s'authentifie auprès du point de terminaison du jeton du serveur d'autorisation lorsqu'il demande des jetons d'accès.

Pour les fournisseurs d'informations d'identification spécifiques aux fournisseurs, AgentCore Identity gère la méthode d'authentification des clients pour vous en fonction des exigences de chaque fournisseur, de sorte qu'aucune configuration supplémentaire n'est nécessaire.

Pour les cas d'utilisation nécessitant un contrôle plus précis, comme l'authentification à l'aide d'une assertion IAM-signed JWT au lieu d'un secret client, ou le ciblage d'un serveur d'autorisation dont les exigences diffèrent de celles d'un fournisseur intégré, utilisez le fournisseur personnalisé, qui vous permet de choisir parmi les méthodes prises en charge ci-dessous.

Méthodes d'authentification client prises en charge

AgentCore Identity prend en charge les valeurs suivantes pour la méthode d'authentification du client.

Comment configurer la méthode d'authentification du client

Configuration de la méthode d'authentification du client pour CustomOauth 2

Pour configurer la méthode d'authentification du client pour un fournisseur personnalisé sur la AWS console, voir Ajouter un client OAuth à l'aide d'un fournisseur personnalisé. Vous pouvez également le configurer à l'aide de la CLI.

Exemple de CLI : utilisation de CLIENT_SECRET_BASIC comme méthode d'authentification du client

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-client-basic",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://my.idp.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientSecret": "your-client-secret",
        "clientAuthenticationMethod": "CLIENT_SECRET_BASIC"
      }
    }
  }'

Exemple de CLI : utilisation de AWS_IAM_ID _TOKEN_JWT comme méthode d'authentification du client

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-iam-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://my.idp.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "AWS_IAM_ID_TOKEN_JWT"
      }
    }
  }'

Exemple de CLI : utilisation de PRIVATE_KEY_JWT comme méthode d'authentification du client

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://your-idp.example.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "RS256"
        }
      }
    }
  }'

Pour plus d'informations sur la référence de configuration complète, y compris la configuration de la clé KMS, la prise en charge de plusieurs comptes et les options d'algorithme de signature, consultez Private Key JWT.

Notice (Avis)

Le tokenEndpointAuthMethods champ n'est pas recommandé en faveur de la méthode d'authentification du client, mais il est conservé pour des raisons de compatibilité descendante dans la CLI et le SDK. Le fait de fournir les deux dans la même demande entraînera une erreur de validation.