Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Otentikasi klien JWT Kunci Pribadi

Dengan Private Key JWT, AgentCore Identity mengotentikasi ke titik akhir token penyedia identitas hilir menggunakan pernyataan klien JWT yang ditandatangani, per RFC 7523, Bagian 2.2, alih-alih rahasia klien. Kunci pribadi tidak pernah meninggalkan AWS Key Management Service (KMS). AgentCore Identitas menandatangani setiap pernyataan melaluikms:Sign. Penyedia identitas Anda memiliki kunci publik yang sesuai yang digunakan untuk mengotentikasi pernyataan klien dan mengembalikan token akses.

Metode ini menghilangkan rahasia bersama antara AgentCore Identity dan server otorisasi Anda, menggantinya dengan pasangan kunci asimetris di bawah kendali penuh Anda.

Cara kerja otentikasi klien JWT Kunci Pribadi

Private Key JWT tersedia di penyedia kredensia OAuth 2.0 kustom (). CustomOauth2 Ini berfungsi untuk semua aliran hibah: kredenSIAL klien (M2M), pertukaran token dengan pemberian otorisasi JWT (OBO), dan kode otorisasi (akses yang didelegasikan pengguna).

Mengkonfigurasi Kunci Pribadi JWT di Identitas AgentCore

Agar berhasil mengonfigurasi penyedia kredensia, verifikasi terlebih dahulu persyaratan penyedia identitas Anda untuk otentikasi klien JWT Kunci Pribadi: algoritma penandatanganan, kunci publik, dan klaim pernyataan klien JWT yang diperlukan.

Algoritma Penandatanganan

Identifikasi algoritma penandatanganan yang diperlukan penyedia identitas Anda untuk otentikasi klien JWT Kunci Pribadi. Ini sesuai dengan signingAlgorithm bidang privateKeyJwtConfig saat membuat atau memperbarui penyedia kredensia kustom OAuth 2.0.

AWS Konfigurasi Kunci Asimetris KMS

Tentukan cara penyedia identitas mengelola kunci penandatanganan:

Yang signingAlgorithm Anda pilih menentukan spesifikasi kunci KMS mana yang diterima:

AWS Kebijakan kunci KMS

Untuk menggunakan kunci penandatanganan KMS asimetris untuk Kunci Pribadi JWT, kunci Anda harus mengizinkan AgentCore Identity melakukan operasi penandatanganan dan deskripsi kunci atas nama Anda. Tambahkan izin berikut ke kebijakan utama kunci KMS Anda.

kms:ViaServiceKondisi memastikan kunci hanya dapat digunakan ketika permintaan berasal dari Amazon Bedrock AgentCore Identity. Cross-account kunci didukung ketika kebijakan kunci memberikan kms:DescribeKey dan kms:Sign ke identitas panggilan. Ganti Principal ARN dengan root ARN dari akun yang akan memanggil AgentCore Identity.

{
  "Id": "identity-service-cmk-policy",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockAgentCoreIdentityPrivateKeyJwtAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": [
        "kms:Sign",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "${aws:PrincipalAccount}"
        },
        "StringLike": {
          "kms:ViaService": "bedrock-agentcore-identity.*.amazonaws.com"
        }
      }
    }
  ]
}

Cross-Region kunci tidak didukung. Kunci KMS harus berada di Wilayah yang sama AWS dengan penyedia kredensi.

Klaim Tambahan dalam Pernyataan Klien JWT

Periksa apakah penyedia identitas Anda memerlukan klaim tambahan di header pernyataan klien JWT atau payload untuk otentikasi klien JWT Kunci Pribadi. Jika demikian, sertakan mereka di additionalPayloadClaims bidang additionalHeaderClaims dan di dalamnyaprivateKeyJwtConfig.

Mengkonfigurasi klien OAuth dengan penyedia khusus menggunakan otentikasi JWT Kunci Pribadi

Untuk mengonfigurasi penyedia kredensia dengan otentikasi klien JWT Kunci Pribadi, di AWS konsol, lihat Men ambahkan klien OAuth menggunakan penyedia khusus. Anda juga dapat mengonfigurasi penyedia kredensia menggunakan AWS CLI.

Contoh CLI: JWT Kunci Pribadi untuk penyedia kredensia Microsoft

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "microsoft-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://login.microsoftonline.com/your-tenant-id/v2.0/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "PS256",
          "additionalHeaderClaims": {
            "x5t#S256": "Base64url-encoded SHA-256 thumbprint of the DER encoding of the X.509 public key certificate uploaded to Microsoft Entra"
          },
          "additionalPayloadClaims": {
            "aud": "https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/token"
          }
        }
      }
    }
  }'

Contoh CLI: JWT Kunci Pribadi untuk penyedia kredensia Okta dengan Token Exchange On-behalf-of

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "okta-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://your-app.okta.com/oauth2/default/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "RS256"
        },
        "onBehalfOfTokenExchangeConfig": {
          "grantType": "TOKEN_EXCHANGE",
          "tokenExchangeGrantTypeConfig": {
            "actorTokenContent": "NONE"
          }
        }
      }
    }
  }'

Parameter untuk klien OAuth dengan penyedia khusus menggunakan otentikasi JWT Kunci Pribadi