View a markdown version of this page

Tentukan jenis otorisasi dan kredensyal untuk mengakses target gateway - Batuan Dasar Amazon AgentCore
AgentCore Otorisasi peran layanan gateway (IAM)Otorisasi OAuthOtorisasi kunci APIOtorisasi kredensyal IAM peneleponOtorisasi passthrough JWT

Tentukan jenis otorisasi dan kredensyal untuk mengakses target gateway

Di badan CreateGatewayTargetpermintaan, Anda menentukan konfigurasi penyedia kredensyal dalam credentialProviderConfigurations array. Konfigurasi tergantung pada jenis otorisasi keluar yang Anda atur. Untuk informasi referensi tentang struktur API untuk konfigurasi penyedia kredensyal, lihat CredentialProviderConfiguration. Untuk informasi selengkapnya tentang otorisasi keluar, lihat Mengatur otorisasi keluar untuk gateway Anda.

Untuk mempelajari lebih lanjut tentang konfigurasi penyedia kredensyal, pilih topik:

AgentCore Otorisasi peran layanan gateway (IAM)

Jika Anda menggunakan otorisasi IAM melalui peran layanan AgentCore Gateway untuk target Anda, tentukan sebagai. credentialProviderType GATEWAY_IAM_ROLE Konfigurasi tergantung pada jenis target Anda.

Untuk target Lambda, API Gateway, Smithy, dan Konektor

iamCredentialProviderKonfigurasi tidak diperlukan karena nama layanan target sudah diketahui oleh layanan AgentCore Gateway. Gunakan hanya credentialProviderType konfigurasi, seperti yang ditunjukkan pada contoh berikut:

{
    "credentialProviderType": "GATEWAY_IAM_ROLE"
}

Untuk server MCP dan target OpenAPI

Untuk server MCP dan target OpenAPI, Anda juga harus memberikan nama layanan iamCredentialProvider yang digunakan AWS untuk penandatanganan Signature Version 4 (Sig V4). Bidang service wajib diisi. regionBidang ini opsional dan default ke Region gateway.

{
    "credentialProviderType": "GATEWAY_IAM_ROLE",
    "credentialProvider": {
        "iamCredentialProvider": {
            "service": "execute-api",
            "region": "us-west-2"
        }
    }
}

Tabel berikut menjelaskan bidang dalam iamCredentialProvider objek:

Bidang Diperlukan Deskripsi

service

Ya

Nama AWS layanan yang digunakan untuk penandatanganan SiGv4. Nilai ini harus sesuai dengan nama layanan yang diharapkan target saat memverifikasi tanda tangan SigV4. Berikut ini adalah nilai-nilai umum:

  • bedrock-agentcore— Untuk server MCP yang dihosting di Amazon Bedrock AgentCore, seperti runtime (lihat Menyebarkan server MCP di AgentCore Runtime) atau gateway lain.

  • execute-api— Untuk server MCP atau target OpenAPI di belakang Amazon API Gateway.

  • lambda— Untuk server MCP di belakang URL Fungsi Lambda.

region

Tidak

AWS Wilayah untuk penandatanganan SiGv4. Jika dihilangkan, default ke Region gateway.

Otorisasi OAuth

Jika Anda menggunakan otorisasi OAuth, Anda menentukan sebagai. credentialProviderType OAUTH Di objek yang dipetakan credentialProvider bidang, petakan nama oauthCredentialProvider bidang ke OAuthCredentialProviderobjek dan berikan nilai berdasarkan pengaturan otorisasi keluar Anda.

Struktur OAuthCredentialProviderberbeda tergantung pada jenis pola otentikasi yang Anda atur. Untuk mempelajari lebih lanjut tentang pola otentikasi yang berbeda, lihat Pola autentikasi yang didukung.

  • Jika Anda menyiapkan otentikasi mesin-ke-mesin, juga dikenal sebagai hibah kredensial klien atau OAuth berkaki 2 (2LO), ikuti struktur di tab Kredensyal Klien.

  • Jika Anda mengatur akses yang didelegasikan pengguna, juga dikenal sebagai hibah kode otorisasi atau OAuth berkaki 3 (3LO), ikuti struktur di tab Kode Otorisasi.

  • Jika Anda menyiapkan pertukaran token on-behalf-of untuk menyebarkan identitas pengguna yang diautentikasi ke layanan hilir atau mendapatkan token akses dengan konteks aktor, ikuti struktur di tab Token exchange (). On-behalf-of

Pilih salah satu metode berikut:

contoh
Client credentials

  1. Tentukan grantType asCLIENT_CREDENTIALS, seperti pada contoh berikut:

    {
    "credentialProviderType": "OAUTH",
    "credentialProvider": {
        "oauthCredentialProvider": {
            "providerArn": "string",
            "grantType": "CLIENT_CREDENTIALS",
            "scopes": [
                "string",
                ...
            ],
            "customParameters": {
                "string": "string"
            }
        }
    }
}
Authorization code

  1. Tentukan grantType as AUTHORIZATION_CODE dan sertakan, di defaultReturnUrl bidang, URL yang akan mengarahkan browser pengguna akhir setelah mendapatkan kode otorisasi, seperti pada contoh berikut:

    {
    "credentialProviderType": "OAUTH",
    "credentialProvider": {
        "oauthCredentialProvider": {
            "providerArn": "string",
            "grantType": "AUTHORIZATION_CODE",
            "defaultReturnUrl": "string",
            "scopes": [
                "string",
                ...
            ],
            "customParameters": {
                "string": "string"
            }
        }
    }
}

    Untuk mempelajari lebih lanjut tentang otentikasi 3LO, lihat pengikatan sesi URL otorisasi OAuth 2.0.

Token exchange (On-behalf-of)

  1. Tentukan grantType sebagaiTOKEN_EXCHANGE. Gateway menukar token akses pengguna masuk dengan token cakupan target melalui penyedia kredensi. Sertakan IdP-specific parameter apa pun dicustomParameters. Untuk informasi selengkapnya tentang mengonfigurasi penyedia kredensi, lihat On-behalf-of pertukaran token.

    {
    "credentialProviderType": "OAUTH",
    "credentialProvider": {
        "oauthCredentialProvider": {
            "providerArn": "string",
            "grantType": "TOKEN_EXCHANGE",
            "scopes": [
                "string",
                ...
            ],
            "customParameters": {
                "subject_token_type": "urn:ietf:params:oauth:token-type:access_token"
            }
        }
    }
}
    catatan

    customParametersBidang meneruskan nilai langsung ke titik akhir token penyedia identitas. Parameter yang diperlukan bervariasi menurut penyedia. Misalnya, Okta membutuhkan audience parameter selainsubject_token_type. Lihat dokumentasi penyedia identitas dan pertukaran On-behalf-of token Anda untuk detailnya.

Otorisasi kunci API

Jika Anda menyiapkan otorisasi kunci API, Anda menentukan credentialProviderType sebagaiAPI_KEY. Di objek yang dipetakan credentialProvider bidang, petakan nama apiKeyCredentialProvider bidang ke ApiKeyCredentialProviderobjek dan berikan nilai berdasarkan pengaturan otorisasi keluar Anda. JSON berikut menunjukkan struktur:

{
    "credentialProviderType": "API_KEY",
    "credentialProvider": {
        "apiKeyCredentialProvider": {
            "providerArn": "string",
            "credentialLocation": "HEADER" | "QUERY_PARAMETER",
            "credentialParameterName": "string",
            "credentialPrefix": "string"
        }
    }
}

Otorisasi kredensyal IAM penelepon

Jika Anda ingin gateway menggunakan identitas IAM dan izin pemanggil untuk menandatangani permintaan ke target hilir, tentukan sebagai. credentialProviderType CALLER_IAM_CREDENTIALS Dengan jenis otorisasi ini, gateway membuat permintaan ke target hilir atas nama pemanggil gateway menggunakan SiGv4. Hal ini memungkinkan target hilir untuk menerapkan kebijakan IAM berdasarkan siapa yang awalnya disebut gateway.

catatan

CALLER_IAM_CREDENTIALShanya tersedia untuk gateway yang memiliki AWS_IAM atau AUTHENTICATE_ONLY sebagai jenis otorisasi.

{
    "credentialProviderType": "CALLER_IAM_CREDENTIALS"
}

Otorisasi passthrough JWT

Jika Anda ingin gateway meneruskan token pembawa dari permintaan yang masuk langsung ke target hilir tanpa modifikasi, tentukan sebagai. credentialProviderType JWT_PASSTHROUGH Gateway memvalidasi token masuk dan kemudian meneruskannya ke target dalam permintaan keluar. Ini berguna ketika layanan target menangani otorisasi sendiri menggunakan token pemanggil asli.

catatan

JWT_PASSTHROUGHhanya tersedia untuk target HTTP (passthrough dan AgentCore Runtime).

{
    "credentialProviderType": "JWT_PASSTHROUGH"
}