Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan otorisasi masuk untuk gateway Anda

Sebelum membuat gateway, Anda harus mengatur otorisasi masuk. Otorisasi masuk memvalidasi pengguna yang mencoba mengakses target melalui gateway Anda AgentCore . AgentCore mendukung jenis otorisasi inbound berikut:

Jika Anda tidak berencana untuk menggunakan konfigurasi otorisasi default menggunakan Amazon Cognito, pilih topik yang sesuai dengan jenis otorisasi yang akan Anda gunakan untuk mempelajari cara mengaturnya:

IAM-based otorisasi masuk

IAM-based otorisasi masuk memungkinkan Anda menggunakan kredentif IAM pemanggil gateway untuk otorisasi. Anda dapat menggunakan opsi ini jika Anda ingin membuat identitas IAM yang melaluinya pengguna yang memanggil gateway Anda dapat diautentikasi.

Untuk mengatur IAM-based otorisasi masuk

Contoh kebijakan

Contoh berikut menunjukkan kebijakan yang dapat Anda lampirkan ke identitas untuk memungkinkannya memanggil gateway dengan ID my-gateway-12345

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowGatewayInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:InvokeGateway"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-12345"
      ]
    }
  ]
}

Sumber daya

Otorisasi masuk berbasis JSON Web Token (JWT)

JSON Web Token (JWT) adalah token aman dan ringkas yang digunakan untuk otorisasi. Anda dapat membuat JWT dengan penyedia identitas yang didukung. Setelah Anda membuat JWT, Anda dapat mengambilnya dan menentukannya sebagai konfigurasi otorisasi saat Anda membuat gateway.

Anda dapat menggunakan AgentCore CLI untuk mengonfigurasi gateway dengan penyedia identitas JWT yang ada. Untuk mempelajari lebih lanjut tentang metode konfigurasi JWT, pilih dari topik berikut:

Konfigurasikan otorisasi JWT

Buat aplikasi dan klien dengan penyedia identitas yang didukung. Untuk contoh Amazon Cognito, lihat Mem ulai dengan Amazon Cognit o. Perhatikan URL penemuan OIDC dan ID klien.

Jalankan perintah berikut di direktori AgentCore proyek:

agentcore add gateway \
  --name MyGateway \
  --protocol-type MCP \
  --authorizer-type CUSTOM_JWT \
  --discovery-url <OIDC_DISCOVERY_URL> \
  --allowed-clients <CLIENT_ID>

AgentCore CLI menggunakan konfigurasi OIDC yang ada; itu tidak membuat sumber daya penyedia identitas. Untuk memanggil gateway, dapatkan token akses dari penyedia Anda. Untuk Amazon Cognito, lihat T itik akhir penerbit token di Panduan Pengembang Amazon Cognito.

Siapkan JWT secara manual

Amazon Bedrock AgentCore mendukung JWT dari semua penyedia identitas. Anda dapat melihat beberapa contoh di Peng aturan dan konfigurasi Penyedia.

Dalam proses pembuatan JWT, perhatikan nilai-nilai berikut, yang akan Anda isi CustomJWTAuthorizerConfiguration saat membuat gateway, jika itu berlaku untuk kasus penggunaan Anda:

Anda memerlukan nilai-nilai ini untuk melakukan hal berikut:

Lingkup iklan dalam tantangan otentikasi

Ketika klien mengirim permintaan ke JWT-authorized gateway tanpa token akses yang valid, gateway mengembalikan respons kesalahan dengan WWW-Authenticate header yang mengiklankan cakupan OAuth yang diperlukan. Ini mengikuti format tantangan token RFC 6750 Bearer dan memungkinkan MCP-compliant klien untuk secara otomatis menemukan cakupan yang diperlukan untuk akuisisi token.

Gateway mengembalikan respons berikut tergantung pada kesalahan:

scopeNilai berisi cakupan yang dibatasi spasi yang dikonfigurasi sebagai cakupan yang diizinkan di gateway. CustomJWTAuthorizerConfiguration resource_metadataNilai tersebut menunjuk ke dokumen Metadata Sumber Daya Terlindungi OAuth gateway di/.well-known/oauth-protected-resource, yang dapat diambil klien untuk menemukan server otorisasi dan cakupan yang didukung.

Gunakan penyedia identitas pribadi (VPC-hosted)

AgentCore Gateway mendukung JWT-based otorisasi masuk dengan penyedia identitas yang dihosting di dalam VPC Anda. Anda dapat mengonfigurasi a privateEndpoint customJWTAuthorizer untuk mengaktifkan AgentCore untuk mencapai penemuan OIDC pribadi, token, dan titik akhir JWKS Anda tanpa mengeksposnya ke internet publik.

Prinsipal IAM Anda harus memiliki iam:CreateServiceLinkedRole izin untukidentity-network.bedrock-agentcore.amazonaws.com, sehingga AgentCore Identity dapat membuat AWSServiceRoleForBedrockAgentCoreIdentity peran terkait layanan atas nama Anda jika itu belum ada.

Ini privateEndpoint berlaku untuk domain didiscoveryUrl. Jika penyedia identitas Anda menggunakan domain yang berbeda untuk titik akhir lain (misalnya, token atau titik akhir JWKS diselesaikan ke domain yang berbeda dari URL penemuan), gunakan privateEndpointOverrides untuk menentukan konfigurasi titik akhir pribadi terpisah untuk setiap domain tambahan.

Contoh berikut membuat gateway dengan penyedia identitas pribadi menggunakan Lattice terkelola:

{
  "name": "my-private-idp-gateway",
  "protocolType": "MCP",
  "roleArn": "arn:aws:iam::123456789012:role/my-gateway-role",
  "authorizerType": "CUSTOM_JWT",
  "authorizerConfiguration": {
    "customJWTAuthorizer": {
      "allowedAudience": [
        "my-audience"
      ],
      "discoveryUrl": "https://my-idp.internal.example.com/.well-known/openid-configuration",
      "privateEndpoint": {
        "managedVpcResource": {
          "vpcIdentifier": "vpc-0abc123def456",
          "subnetIds": ["subnet-0abc123", "subnet-0def456"],
          "endpointIpAddressType": "IPV4",
          "securityGroupIds": ["sg-0abc123def"]
        }
      }
    }
  }
}

Jika token atau titik akhir JWKS Anda menggunakan domain yang berbeda dari URL penemuan, tambahkan privateEndpointOverrides entri untuk setiap domain tambahan. Saat ini, hanya privateEndpointOverrides didukung dengan sumber daya Lattice yang dikelola sendiri:

{
  ...
  "authorizerConfiguration": {
    "customJWTAuthorizer": {
      "allowedAudience": ["my-audience"],
      "discoveryUrl": "https://my-idp.internal.example.com/.well-known/openid-configuration",
      "privateEndpoint": {
        "selfManagedLatticeResource": {
          "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
        }
      },
      "privateEndpointOverrides": [
        {
          "domain": "my-token-server.internal.example.com",
          "privateEndpoint": {
            "selfManagedLatticeResource": {
              "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-def456"
            }
          }
        }
      ]
    }
  }
}

Untuk Lattice yang dikelola sendiri, pengaturan lintas akun, dan konfigurasi lanjutan, lihat Menghubun gkan ke sumber daya pribadi di VPC menggunakan VPC Lattice. Untuk panduan komprehensif yang mencakup skenario IdP pribadi masuk dan keluar, lihat Menghubun gkan ke penyedia identitas pribadi.

Otorisasi masuk yang diturunkan

Dengan otorisasi inbound yang diturunkan, gateway tidak membuat keputusan otorisasi sendiri. Sebagai gantinya, ini menurunkan otorisasi ke komponen lain:

AgentCore menawarkan dua jenis yang diturunkan:

Dengan salah satu jenis, Anda memutuskan di mana otorisasi sebenarnya diberlakukan:

Authenticate-only otorisasi

Dengan authenticate-only authentication (AUTHENTICATE_ONLY), gateway memverifikasi tanda tangan Signature Version 4 (SigV4) pemanggil untuk mengkonfirmasi identitas mereka, tetapi tidak membuat keputusan otorisasi sendiri. Setiap prinsipal IAM yang diautentikasi dapat memanggil gateway terlepas dari izin mereka, dan permintaan diteruskan ke target. Otorisasi didelegasikan ke layanan target hilir atau ke mesin kebijakan yang dilampirkan ke gateway.

Tidak ada Otorisasi

Anda dapat membuat gateway yang dikonfigurasi tanpa otorisasi dengan menggunakanauthorizerType=NONE. Gateway tidak akan melakukan otorisasi apa pun pada permintaan gateway masuk dan permintaan dapat tidak diautentikasi.

Praktik Terbaik Keamanan

Memasukkan runtime yang ada tanpa mengubah autentiknya

Saat Anda memasangkan tipe inbound yang diturunkan dengan jenis otorisasi keluar yang cocok yang meneruskan identitas pemanggil ke runtime, orientasi ke gateway dapat sesederhana menetapkan penggantian titik akhir pada klien Anda yang ada — tidak diperlukan perubahan autentikasi: