Pengikatan sesi URL otorisasi OAuth 2.0

Invoke agent — Kode agen Anda memanggil GetResourceOauth2Token API untuk mengambil URL otorisasi, ketika pengguna agen asal ingin mengakses beberapa aplikasi atau sumber daya yang dimiliki. he/she

Hasilkan URL otorisasi — AgentCore Identitas menghasilkan URL otorisasi dan URI sesi bagi pengguna untuk menavigasi dan menyetujui akses.

Otorisasi dan dapatkan token akses — Pengguna menavigasi ke URL otorisasi dan memberikan persetujuan kepada agen Anda untuk mengakses sumber daya. his/her Setelah itu, AgentCore Identity mengalihkan browser pengguna ke titik akhir aplikasi HTTPS Anda dengan informasi yang berisi pengguna asal permintaan otorisasi. Pada titik ini, titik akhir aplikasi HTTPS Anda menentukan apakah pengguna agen asal masih sama dengan pengguna aplikasi Anda yang saat ini masuk. Jika cocok, titik akhir aplikasi Anda akan dipanggil CompleteResourceTokenAuth sehingga AgentCore Identity dapat mengambil dan menyimpan token akses.

Re-invoke agen untuk mendapatkan token akses — Setelah aplikasi mengembalikan respons yang valid, aplikasi agen Anda akan dapat mengambil token OAuth2.0 akses yang awalnya diminta untuk pengguna. Jika pengguna tidak cocok, aplikasi Anda tidak melakukan apa pun atau mencatat upaya.

Buat URL aplikasi — Untuk aplikasi browser yang menghadap pengguna Anda, buat dan host URL baru yang dapat diakses dari browser pengguna dan dapat menerima permintaan dari pengalihan browser. Halaman ini harus mengarahkan ulang ke halaman aplikasi yang dapat dilanjutkan oleh pengguna Anda dengan sesi agen mereka ATAU membuat beberapa halaman web dasar yang menginstruksikan pengguna Anda untuk mengembalikan sesi agen mereka yang saat ini aktif. Di bagian selanjutnya dari implementasi, halaman ini digunakan untuk validasi sesi aktif pengguna saat ini, sehingga halaman ini juga harus dapat mengakses dan memelihara data sesi pengguna aplikasi Anda.

Sebagai contoh, aplikasi Anda mungkin memiliki penggunanya berinteraksi dengan agen di halaman aplikasi utama sepertihttps://myagentapp.com/assistant. Anda akan ingin mengekspos URL baru seperti https://myagentapp.com/callback itu untuk saat ini akan mengarahkan ke halaman aplikasi utama. Logika kode aktual di /callback titik akhir Anda akan diperbarui nanti saat mengikuti panduan ini.

Perbarui identitas beban kerja dengan URL aplikasi - (Dapat dilewati jika pengujian secara lokal melalui AgentCore CLI) Setelah Anda membuat dan menghosting URL aplikasi untuk AgentCore Identity untuk dialihkan, perbarui identitas beban kerja Anda sehingga URL aplikasi terdaftar sebagai file. AllowedResourceOauth2ReturnUrl Pastikan kredenal IAM yang digunakan memiliki izin untuk menelepon CreateWorkloadIdentity atau UpdateWorkloadIdentity bergantung pada apakah Anda membuat identitas beban kerja baru atau memperbarui identitas yang sudah ada.

Contoh panggilan UpdateWorkloadIdentity API:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

Buat penyedia kredensi OAuth 2.0 di AgentCore Identity — Untuk mendaftarkan penyedia kredensi OAuth 2.0 sepenuhnya, Anda memerlukan izin untuk menelepon dan. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Ikuti langkah-langkah ini:

Tambahkan kode handler untuk menelepon CompleteResourceTokenAuth - Setelah Anda membuat penyedia kredensi OAuth 2.0 Anda, tambahkan kode dan izin IAM untuk memanggil CompleteResourceTokenAuth API di penangan URL aplikasi Anda. Saat memanggil CompleteResourceTokenAuth API, aplikasi Anda harus menampilkan token OAuth penyedia identitas masuk asli atau user_id String yang digunakan untuk menghasilkan token akses beban kerja untuk mewakili pengguna dan aplikasi agen yang terlibat dalam alur otorisasi OAuth 2.0. Informasi ini harus diambil dari sesi aplikasi aktif di browser pengguna (biasanya melalui cookie browser atau penyimpanan lokal browser) dan TIDAK boleh ditarik dari cache sesi jarak jauh.

Selain itu, setiap URL otorisasi yang dihasilkan oleh AgentCore Identity diidentifikasi secara unik dengan URI sesinya sendiri. URI sesi ini juga harus disajikan bersama pengenal pengguna untuk mengikat sesi dengan pengguna yang dituju.

Contoh kode aplikasi:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Tes — Setelah Anda menyelesaikan pengaturan, Anda siap untuk menguji integrasi. Mulailah dengan menelepon GetResourceOauth2Token dan di browser Anda pergi ke URL Otorisasi yang dikembalikan. Setelah menyelesaikan otorisasi di penyedia sumber daya OAuth 2.0, Anda akan melihat browser mengalihkan kembali ke URL aplikasi Anda dan memanggil API. CompleteResourceTokenAuth Setelah aplikasi mengembalikan respons yang valid, aplikasi agen Anda akan dapat mengambil token akses OAuth 2.0 yang awalnya diminta untuk pengguna. Token ini dapat diambil dengan memanggil GetResourceOauth2Token API.