Siapkan otorisasi masuk untuk gateway Anda

Sebelum Anda membuat gateway Anda, Anda harus mengatur otorisasi masuk. Otorisasi masuk memvalidasi pengguna yang mencoba mengakses target melalui gateway Anda. AgentCore AgentCore mendukung jenis otorisasi masuk berikut:

Jika Anda tidak berencana untuk menggunakan konfigurasi otorisasi default menggunakan Amazon Cognito, pilih topik yang sesuai dengan jenis otorisasi yang akan digunakan untuk mempelajari cara mengaturnya:

IAM-based otorisasi masuk

IAM-based otorisasi masuk memungkinkan Anda menggunakan kredensil IAM pemanggil gateway untuk otorisasi. Anda dapat menggunakan opsi ini jika Anda ingin membuat identitas IAM di mana pengguna yang memanggil gateway Anda dapat diautentikasi.

Untuk mengatur IAM-based otorisasi masuk

Contoh kebijakan

Contoh berikut menunjukkan kebijakan yang dapat Anda lampirkan ke identitas untuk memungkinkannya memanggil gateway dengan ID my-gateway-12345

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowGatewayInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:InvokeGateway"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/my-gateway-12345"
      ]
    }
  ]
}

Sumber Daya

Otorisasi masuk berbasis JSON Web Token (JWT)

JSON Web Token (JWT) adalah token aman dan ringkas yang digunakan untuk otorisasi. Anda dapat membuat JWT dengan penyedia identitas yang didukung. Setelah Anda membuat JWT, Anda dapat mengambilnya dan menentukannya sebagai konfigurasi otorisasi saat Anda membuat gateway.

Anda dapat menggunakan AgentCore CLI untuk mengatur JWT default, atau membuatnya secara manual dengan penyedia identitas yang didukung. Untuk mempelajari lebih lanjut tentang berbagai metode untuk menyiapkan JWT, pilih dari topik berikut:

Siapkan JWT default

AgentCore CLI memungkinkan Anda dengan mudah membuat konfigurasi otorisasi default menggunakan Amazon Cognito yang kemudian dapat Anda gunakan saat membuat gateway. Saat Anda menjalankanagentcore create, CLI meminta Anda untuk mengonfigurasi otorisasi masuk dan dapat secara otomatis menyiapkan kumpulan pengguna Amazon Cognito untuk Anda.

agentcore create

Setelah perintah selesai, AgentCore CLI memberikan informasi otentikasi dan otorisasi:

Siapkan JWT secara manual

Amazon Bedrock AgentCore mendukung JWT dari semua penyedia identitas. Anda dapat melihat beberapa contoh di pengaturan dan konfigurasi Penyedia.

Dalam proses pembuatan JWT, perhatikan nilai-nilai berikut, yang akan Anda isi CustomJWTAuthorizerConfigurationsaat Anda membuat gateway, jika berlaku untuk kasus penggunaan Anda:

Anda memerlukan nilai-nilai ini untuk melakukan hal berikut:

Iklan lingkup dalam tantangan otentikasi

Ketika klien mengirim permintaan ke JWT-authorized gateway tanpa token akses yang valid, gateway mengembalikan respons kesalahan dengan WWW-Authenticate header yang mengiklankan cakupan OAuth yang diperlukan. Ini mengikuti format tantangan token RFC 6750 Bearer dan memungkinkan MCP-compliant klien untuk secara otomatis menemukan cakupan yang diperlukan untuk akuisisi token.

Gateway mengembalikan respons berikut tergantung pada kesalahan:

scopeNilai berisi cakupan yang dibatasi ruang yang dikonfigurasi sebagai cakupan yang Diizinkan di gateway. CustomJWTAuthorizerConfiguration resource_metadataNilai menunjuk ke dokumen Metadata Sumber Daya Terproteksi OAuth gateway di/.well-known/oauth-protected-resource, yang dapat diambil klien untuk menemukan server otorisasi dan cakupan yang didukung.

Gunakan penyedia identitas pribadi (VPC-hosted)

AgentCore Gateway mendukung otorisasi JWT-based masuk dengan penyedia identitas yang dihosting di dalam VPC Anda. Anda dapat mengonfigurasi privateEndpoint on customJWTAuthorizer untuk memungkinkan AgentCore untuk mencapai penemuan OIDC pribadi, token, dan titik akhir JWKS Anda tanpa memaparkannya ke internet publik.

Kepala IAM Anda harus memiliki iam:CreateServiceLinkedRole izin untukidentity-network.bedrock-agentcore.amazonaws.com, sehingga AgentCore Identity dapat membuat peran AWSServiceRoleForBedrockAgentCoreIdentity terkait layanan atas nama Anda jika belum ada.

privateEndpointIni berlaku untuk domain didiscoveryUrl. Jika penyedia identitas Anda menggunakan domain yang berbeda untuk titik akhir lainnya (misalnya, token atau titik akhir JWKS diselesaikan ke domain yang berbeda dari URL penemuan), gunakan untuk menentukan konfigurasi titik akhir pribadi terpisah privateEndpointOverrides untuk setiap domain tambahan.

Contoh berikut membuat gateway dengan penyedia identitas pribadi menggunakan kisi terkelola:

{
  "name": "my-private-idp-gateway",
  "protocolType": "MCP",
  "roleArn": "arn:aws:iam::123456789012:role/my-gateway-role",
  "authorizerType": "CUSTOM_JWT",
  "authorizerConfiguration": {
    "customJWTAuthorizer": {
      "allowedAudience": [
        "my-audience"
      ],
      "discoveryUrl": "https://my-idp.internal.example.com/.well-known/openid-configuration",
      "privateEndpoint": {
        "managedVpcResource": {
          "vpcIdentifier": "vpc-0abc123def456",
          "subnetIds": ["subnet-0abc123", "subnet-0def456"],
          "endpointIpAddressType": "IPV4",
          "securityGroupIds": ["sg-0abc123def"]
        }
      }
    }
  }
}

Jika token atau titik akhir JWKS Anda menggunakan domain yang berbeda dari URL penemuan, tambahkan privateEndpointOverrides entri untuk setiap domain tambahan. Saat ini, hanya privateEndpointOverrides didukung dengan sumber daya Lattice yang dikelola sendiri:

{
  ...
  "authorizerConfiguration": {
    "customJWTAuthorizer": {
      "allowedAudience": ["my-audience"],
      "discoveryUrl": "https://my-idp.internal.example.com/.well-known/openid-configuration",
      "privateEndpoint": {
        "selfManagedLatticeResource": {
          "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
        }
      },
      "privateEndpointOverrides": [
        {
          "domain": "my-token-server.internal.example.com",
          "privateEndpoint": {
            "selfManagedLatticeResource": {
              "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-def456"
            }
          }
        }
      ]
    }
  }
}

Untuk Lattice yang dikelola sendiri, pengaturan lintas akun, dan konfigurasi lanjutan, lihat Connect to private resources di VPC menggunakan VPC Lattice. Untuk panduan komprehensif yang mencakup skenario IDP pribadi masuk dan keluar, lihat Connect to private identity providers.

Otorisasi masuk yang dibongkar

Dengan otorisasi masuk yang diturunkan, gateway tidak membuat keputusan otorisasi sendiri. Sebagai gantinya, ia menurunkan otorisasi ke komponen lain:

AgentCore menawarkan dua jenis yang diturunkan:

Dengan salah satu jenis, Anda memutuskan di mana otorisasi sebenarnya diberlakukan:

Authenticate-only otorisasi

Dengan autentikasi hanya otorisasi (AUTHENTICATE_ONLY), gateway memverifikasi tanda tangan Signature Version 4 (SigV4) pemanggil untuk mengonfirmasi identitas mereka, tetapi tidak membuat keputusan otorisasi sendiri. Setiap prinsipal IAM yang diautentikasi dapat memanggil gateway terlepas dari izinnya, dan permintaan diteruskan ke target. Otorisasi didelegasikan ke layanan target hilir atau ke mesin kebijakan yang terpasang pada gateway.

Tanpa Otorisasi

Anda dapat membuat gateway yang dikonfigurasi tanpa otorisasi dengan menggunakanauthorizerType=NONE. Gateway tidak akan melakukan otorisasi apa pun pada permintaan gateway yang masuk dan permintaan dapat tidak diautentikasi.

Praktik Terbaik Keamanan

Onboard runtime yang ada tanpa mengubah autentikasi

Saat Anda memasangkan tipe inbound yang di-offload dengan tipe otorisasi keluar yang cocok yang meneruskan identitas pemanggil ke runtime, orientasi ke gateway bisa semudah menyetel penggantian titik akhir pada klien Anda yang ada — tidak diperlukan perubahan autentikasi: