View a markdown version of this page

Aggiungi client OAuth utilizzando un provider personalizzato - Fondamento Amazon AgentCore

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Aggiungi client OAuth utilizzando un provider personalizzato

I provider personalizzati consentono di connettersi a qualsiasi server di OAuth2-compatible risorse oltre alle opzioni di provider integrate. È possibile configurare provider personalizzati facendo in modo che il sistema recuperi automaticamente i dettagli di configurazione o fornendo le informazioni sul server manualmente.

Per aggiungere un client OAuth utilizzando un provider personalizzato

  1. Apri la console AgentCore Identity.

  2. Nella sezione Outbound Auth, scegli Aggiungi client OAuth/chiave API, quindi seleziona Aggiungi client OAuth.

  3. Per Nome, puoi utilizzare il nome generato automaticamente o inserire il tuo nome descrittivo per aiutarti a identificare questo client OAuth nel tuo account. Utilizza solo caratteri alfanumerici, trattini e trattini bassi, con una lunghezza massima di 50 caratteri.

  4. Per Provider, scegli Provider personalizzato.

  5. Nella sezione Configurazioni del provider, a seconda dei requisiti del provider, scegli una delle seguenti opzioni:

    1. Discovery URL (consigliato): scegli questa opzione per fare in modo che AgentCore Identity recuperi automaticamente i dettagli di configurazione dal tuo provider. Fornisci l'URL di scoperta in cui il tuo provider pubblica la sua configurazione OpenID Connect e AgentCore Identity gestisce il processo di rilevamento degli endpoint. Questo è l'approccio consigliato, se disponibile, in quanto riduce la configurazione manuale.

      1. Per il metodo di autenticazione del client, scegli il metodo di autenticazione del client utilizzato per l'autenticazione con l'endpoint del token del provider di identità. Per ulteriori informazioni, consulta Metodi di autenticazione del client.

      2. Per Discovery URL, inserisci l'URL in cui il tuo provider pubblica la sua configurazione OpenID Connect. Gli URL di scoperta devono terminare con. .well-known/openid-configuration Ad esempio, https://example.comknown/openid/.well- -configuration.

      3. Per Client ID, inserisci l'identificativo univoco che hai ricevuto al momento della registrazione della tua applicazione presso il provider di identità.

      4. Se il metodo di autenticazione del cliente èPRIVATE_KEY_JWT, non è richiesto alcun segreto del cliente. Per altri metodi, scegli una delle seguenti opzioni per il metodo di selezione del segreto del cliente:

        1. Fornisci il segreto del cliente: inserisci direttamente il valore del segreto del cliente.

          1. Per Client secret, inserisci la chiave riservata associata al tuo ID cliente che AgentCore Identity memorizza in modo sicuro per l'autenticazione.

        2. Fornisci il segreto del cliente tramite Secrets Manager: fai riferimento a un segreto archiviato in AWS Secrets Manager invece di inserire direttamente il valore.

          1. Per Secrets Manager, inserisci o seleziona l'ARN del segreto di Secrets Manager che contiene il segreto del tuo cliente.

          2. Per la chiave JSON, inserisci la chiave JSON nel tuo segreto di Secrets Manager che contiene il valore segreto del client per il tuo client OAuth.

    2. Configurazione manuale: scegli questa opzione per specificare direttamente le informazioni sul server quando il tuo provider non supporta il rilevamento automatico. Definirai l'URL di ogni endpoint singolarmente, offrendoti il controllo completo sui dettagli di configurazione.

      1. Per il metodo di autenticazione del client, scegli il metodo di autenticazione del client utilizzato per l'autenticazione con l'endpoint del token del provider di identità. Per ulteriori informazioni, consulta Metodi di autenticazione del client.

      2. Per Emittente, inserisci l'URL di base che identifica il tuo server di autorizzazione. Questo valore appare nella iss dichiarazione dei token emessi e aiuta a verificare l'autenticità dei token.

      3. Per Authorization endpoint, inserisci l'URL a cui gli utenti verranno indirizzati a concedere l'autorizzazione alla tua applicazione. Questo è il punto di ingresso per il flusso di autorizzazione OAuth.

      4. Per Token endpoint, inserisci l'URL in cui il tuo agente scambia i codici di autorizzazione per i token di accesso. Questo endpoint gestisce il processo di scambio delle credenziali.

      5. (Facoltativo) Nella sezione Tipi di risposta, configura il modo in cui il tuo client OAuth riceve le risposte di autenticazione scegliendo Aggiungi tipo di risposta e selezionando i formati di token che il tuo provider deve restituire. I tipi più comuni includono code il flusso del codice di autorizzazione o token il flusso implicito.

      6. Per l'ID cliente, inserisci l'identificatore univoco che hai ricevuto al momento della registrazione della domanda presso il provider di identità.

      7. Se il metodo di autenticazione del cliente èPRIVATE_KEY_JWT, non è richiesto alcun segreto del cliente. Per altri metodi, scegli una delle seguenti opzioni per il metodo di selezione del segreto del cliente:

        1. Fornisci il segreto del cliente: inserisci direttamente il valore del segreto del cliente.

          1. Per Client secret, inserisci la chiave riservata associata al tuo ID cliente che AgentCore Identity memorizza in modo sicuro per l'autenticazione.

        2. Fornisci il segreto del cliente tramite Secrets Manager: fai riferimento a un segreto archiviato in AWS Secrets Manager invece di inserire direttamente il valore.

          1. Per Secrets Manager, inserisci o seleziona l'ARN del segreto di Secrets Manager che contiene il segreto del tuo cliente.

          2. Per la chiave JSON, inserisci la chiave JSON nel tuo segreto di Secrets Manager che contiene il valore segreto del client per il tuo client OAuth.

  6. (Facoltativo) Espandi le configurazioni aggiuntive per configurare lo scambio di token per conto dello scambio di token. Scegli una delle seguenti modalità di tipo di sovvenzione:

    1. Nessuno: lo scambio di On-behalf-of token non è supportato

    2. Concessione dell'autorizzazione JWT: esegui lo scambio di token per conto utilizzando la sintassi RFC 7523. L'identità in entrata viene utilizzata come concessione di autorizzazione per ottenere il token di accesso

    3. Scambio di token: esegui lo scambio di token per conto utilizzando la sintassi RFC 8693. È lo standard più recente per acquisire la relazione di delega. È possibile personalizzare il token dell'attore utilizzando le seguenti modalità:

      1. Nessuno: il token Actor non verrà fornito nella richiesta

      2. AWS Token ID IAM JWT: autentica utilizzando un JWT firmato emesso da AWS IAM che rappresenta l' AWS identità chiamante come token attore

      3. Machine to Machine (M2M): autentica utilizzando il token di accesso machine-to-machine (M2M) come token attore

        1. (Facoltativo) Fornisci gli ambiti dei token Actor da utilizzare come parametri di ambito durante l'autenticazione

  7. (Facoltativo) Espandi le configurazioni aggiuntive per configurare un endpoint privato per la connessione a un provider di identità ospitato all'interno del tuo VPC. Scegli una delle seguenti modalità:

    1. VPC gestito: AgentCore crea e gestisce le risorse VPC per tuo conto. Questa è l'opzione più semplice per la connettività VPC all'interno dell'account.

      1. Per VPC, seleziona il tuo identificatore VPC.

      2. Per le sottoreti, seleziona una o più sottoreti con accesso di rete al tuo IdP.

      3. Per il tipo di indirizzo IP, scegli o. IPV4 IPV6

      4. (Facoltativo) Per i gruppi di sicurezza, seleziona i gruppi di sicurezza che consentono il traffico verso il tuo IdP.

    2. Self-managed Lattice: crei e gestisci tu stesso il gateway di risorse VPC Lattice e la configurazione delle risorse. Questa opzione supporta la connettività tra account tramite AWS RAM e offre una visibilità completa della governance.

      1. Per l'ARN di configurazione delle risorse, seleziona l'ARN della tua configurazione delle risorse VPC Lattice.

      2. (Facoltativo) Per le sostituzioni dei domini, inserisci domini aggiuntivi che devono essere indirizzati attraverso l'endpoint privato. Usalo quando gli endpoint del tuo provider di identità (come gli endpoint di token o di autorizzazione) sono ospitati su domini diversi rispetto al dominio IdP primario configurato nella configurazione delle risorse.

  8. Scegli Aggiungi client OAuth.

Per un confronto dettagliato tra le modalità Lattice gestite e autogestite, vedi Modalità di uscita VPC supportate.

Dopo aver completato entrambe le configurazioni, AgentCore Identity memorizza in modo sicuro le impostazioni OAuth e fornisce un ARN a cui puoi fare riferimento nel codice dell'agente, abilitando le richieste di token senza incorporare credenziali sensibili nell'applicazione. Puoi trovare questo ARN nella pagina delle proprietà del client OAuth (scegli il nome del client nella sezione Outbound Auth).