View a markdown version of this page

Tambahkan klien OAuth menggunakan penyedia khusus - Batu Dasar Amazon AgentCore

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Tambahkan klien OAuth menggunakan penyedia khusus

Penyedia khusus memungkinkan Anda untuk terhubung ke server OAuth2-compatible sumber daya apa pun di luar opsi penyedia bawaan. Anda dapat mengonfigurasi penyedia khusus dengan meminta sistem mengambil detail konfigurasi secara otomatis, atau dengan memberikan informasi server secara manual.

Untuk menambahkan klien OAuth menggunakan penyedia khusus

  1. Buka konsol AgentCore Identity.

  2. Di bagian Outbound Auth, pilih Tambahkan klien/kunci API OAuth, lalu pilih Tambahkan klien OAuth.

  3. Untuk Nama, Anda dapat menggunakan nama yang dibuat secara otomatis atau memasukkan nama deskriptif Anda sendiri untuk membantu mengidentifikasi klien OAuth ini di akun Anda. Gunakan karakter alfanumerik, tanda hubung, dan garis bawah saja, dengan panjang maksimum 50 karakter.

  4. Untuk Penyedia, pilih Penyedia khusus.

  5. Di bagian Konfigurasi Penyedia, tergantung pada persyaratan penyedia Anda, pilih salah satu opsi berikut:

    1. URL Penemuan (disarankan) — Pilih opsi ini agar AgentCore Identitas secara otomatis mengambil detail konfigurasi dari penyedia Anda. Anda memberikan URL penemuan tempat penyedia Anda menerbitkan konfigurasi OpenID Connect-nya, dan AgentCore Identity menangani proses penemuan titik akhir. Ini adalah pendekatan yang disarankan bila tersedia karena mengurangi konfigurasi manual.

      1. Untuk metode otentikasi Kli en, pilih metode otentikasi klien yang digunakan untuk mengotentikasi dengan titik akhir token penyedia identitas. Untuk informasi selengkapnya, lihat Metode otentikasi klien.

      2. Untuk Discovery URL, masukkan URL tempat penyedia Anda menerbitkan konfigurasi OpenID Connect-nya. URL penemuan harus diakhiri dengan.well-known/openid-configuration. Misalnya, https://example.com/.well known/openid - -configuration.

      3. Untuk ID Klien, masukkan pengenal unik yang Anda terima saat mendaftarkan aplikasi Anda dengan penyedia identitas.

      4. Jika metode otentikasi Kli en adalahPRIVATE_KEY_JWT, tidak ada rahasia klien yang diperlukan. Untuk metode lain, pilih salah satu opsi berikut untuk metode pemilihan rahasia Klien:

        1. Memberikan rahasia klien — Masukkan nilai rahasia klien secara langsung.

          1. Untuk Rahasia klien, masukkan kunci rahasia yang terkait dengan ID klien Anda yang disimpan AgentCore Identity dengan aman untuk otentikasi.

        2. Berikan rahasia Klien melalui Manajer Rahasia — Referensikan rahasia yang disimpan di Manajer AWS Rahasia alih-alih memasukkan nilai secara langsung.

          1. Untuk Manajer Rahasia, masukkan atau pilih ARN rahasia Manajer Rahasia yang berisi rahasia klien Anda.

          2. Untuk kunci JSON, masukkan kunci JSON di rahasia Manajer Rahasia Anda yang berisi nilai rahasia klien untuk klien OAuth Anda.

    2. Konfigurasi manual — Pilih opsi ini untuk menentukan informasi server secara langsung ketika penyedia Anda tidak mendukung penemuan otomatis. Anda akan menentukan setiap URL titik akhir secara individual, memberi Anda kontrol penuh atas detail konfigurasi.

      1. Untuk metode otentikasi Kli en, pilih metode otentikasi klien yang digunakan untuk mengotentikasi dengan titik akhir token penyedia identitas. Untuk informasi selengkapnya, lihat Metode otentikasi klien.

      2. Untuk Penerbit, masukkan URL dasar yang mengidentifikasi server otorisasi Anda. Nilai ini muncul dalam iss klaim token yang dikeluarkan dan membantu memverifikasi keaslian token.

      3. Untuk Titik akhir Otorisasi, masukkan URL tempat pengguna akan diarahkan untuk memberikan izin ke aplikasi Anda. Ini adalah titik masuk untuk aliran otorisasi OAuth.

      4. Untuk titik akhir Token, masukkan URL tempat agen Anda menukar kode otorisasi dengan token akses. Titik akhir ini menangani proses pertukaran kredensia.

      5. (Opsional) Di bagian Jenis respons, konfigurasikan cara klien OAuth Anda menerima respons otentikasi dengan memilih Tambahkan jenis respons dan memilih format token yang harus dikembalikan oleh penyedia Anda. Jenis umum termasuk code untuk aliran kode otorisasi atau token untuk aliran implisit.

      6. Untuk ID Klien, masukkan pengenal unik yang Anda terima saat mendaftarkan aplikasi Anda dengan penyedia identitas.

      7. Jika metode otentikasi Kli en adalahPRIVATE_KEY_JWT, tidak ada rahasia klien yang diperlukan. Untuk metode lain, pilih salah satu opsi berikut untuk metode pemilihan rahasia Klien:

        1. Memberikan rahasia klien — Masukkan nilai rahasia klien secara langsung.

          1. Untuk Rahasia klien, masukkan kunci rahasia yang terkait dengan ID klien Anda yang disimpan AgentCore Identity dengan aman untuk otentikasi.

        2. Berikan rahasia Klien melalui Manajer Rahasia — Referensikan rahasia yang disimpan di Manajer AWS Rahasia alih-alih memasukkan nilai secara langsung.

          1. Untuk Manajer Rahasia, masukkan atau pilih ARN rahasia Manajer Rahasia yang berisi rahasia klien Anda.

          2. Untuk kunci JSON, masukkan kunci JSON di rahasia Manajer Rahasia Anda yang berisi nilai rahasia klien untuk klien OAuth Anda.

  6. (Opsional) Perluas Konfigurasi tambahan untuk mengonfigurasi pertukaran token on-behalf of. Pilih salah satu mode jenis Hibah berikut:

    1. Tidak ada: pertukaran On-behalf-of token tidak didukung

    2. Pemberian otorisasi JWT: lakukan pertukaran token on-behalf of menggunakan sintaks RFC 7523. Identitas masuk digunakan sebagai pemberian otorisasi untuk mendapatkan token akses

    3. Pertukaran token: lakukan pertukaran token on-behalf of menggunakan sintaks RFC 8693. Ini adalah standar terbaru untuk menangkap hubungan delegasi. Anda dapat menyesuaikan token aktor menggunakan mode berikut:

      1. Tidak ada: Token aktor tidak akan diberikan dalam permintaan

      2. AWS IAM ID Token JWT: Otentikasi menggunakan JWT bertanda tangan yang dikeluarkan oleh AWS IAM yang mewakili identitas panggilan sebagai token aktor AWS

      3. Mesin ke Mesin (M2M): Otentikasi menggunakan token akses mes in-ke-mesin (M2M) sebagai token aktor

        1. (Opsional) Menyediakan cakupan token Aktor untuk digunakan sebagai parameter lingkup saat mengotentikasi

  7. (Opsional) Perluas Konfigurasi tambahan untuk mengonfigurasi titik akhir pribadi untuk menghubungkan ke penyedia identitas yang dihosting di dalam VPC Anda. Pilih salah satu mode berikut:

    1. VPC Terkelola: AgentCore membuat dan mengelola sumber daya VPC atas nama Anda. Ini adalah opsi yang lebih sederhana untuk konektivitas VPC dalam akun.

      1. Untuk VPC, pilih pengenal VPC Anda.

      2. Untuk Subnet, pilih satu atau beberapa subnet yang memiliki akses jaringan ke IdP Anda.

      3. Untuk jenis alamat IP, pilih IPV4 atauIPV6.

      4. (Opsional) Untuk grup Keamanan, pilih grup keamanan yang mengizinkan lalu lintas ke IdP Anda.

    2. Self-managed Lattice: Anda membuat dan mengelola gateway sumber daya VPC Lattice dan konfigurasi sumber daya sendiri. Opsi ini mendukung konektivitas lintas akun melalui AWS RAM dan memberikan visibilitas tata kelola penuh.

      1. Untuk konfigurasi sumber daya ARN, pilih ARN konfigurasi sumber daya VPC Lattice Anda.

      2. (Opsional) Untuk penggantian domain, masukkan domain tambahan yang harus dirutekan melalui titik akhir pribadi. Gunakan ini ketika titik akhir penyedia identitas Anda (seperti token atau titik akhir otorisasi) di-host di domain yang berbeda dari domain IdP utama yang dikonfigurasi dalam konfigurasi sumber daya Anda.

  8. Pilih Tambahkan Klien OAuth.

Untuk perbandingan terperinci mode Lattice terkelola vs yang dikelola sendiri, lihat Mode keluar VPC yang didukung.

Setelah menyelesaikan salah satu konfigurasi, AgentCore Identity menyimpan pengaturan OAuth Anda dengan aman dan menyediakan ARN yang dapat Anda rujuk dalam kode agen Anda, mengaktifkan permintaan token tanpa menyematkan kredenSIAL sensitif dalam aplikasi Anda. Anda dapat menemukan ARN ini di halaman properti klien OAuth (Pilih nama klien di bagian Outbound Aut h).