View a markdown version of this page

Identità Ping - Fondamento Amazon AgentCore
In uscita

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Identità Ping

La PingOne piattaforma di Ping Identity può essere configurata come fornitore di credenziali di AgentCore identità per l'accesso alle risorse in uscita. Ciò consente ai tuoi agenti di autenticare gli utenti tramite il PingOne servizio OAuth2 e ottenere token di accesso per le risorse API. PingOne

In uscita

Nota

È possibile configurare un'applicazione PingOne OAuth2 solo come federazione di utenti o client M2M OAuth2, ma non entrambi.

Nota

AgentCore Identity emette un URL di callback OAuth2 univoco per ogni provider di credenziali creato. L'URL di callback univoco abilita l'associazione di sessione, che protegge lo scambio di codice di autorizzazione OAuth2 dalla ripetizione e dagli CSRF-style attacchi tra provider, garantendo che una risposta di autorizzazione possa essere riscattata solo rispetto allo specifico provider di credenziali che l'ha avviata. Poiché l'URL è unico per ogni provider, lo conoscerai solo dopo aver chiamato. CreateOauth2CredentialProvider Crea prima la tua applicazione PingOne OAuth2, quindi torna alla console di PingOne amministrazione per registrare l'URL di callback una volta che AgentCore Identity lo ha emesso.

Passaggio 1: creare l'applicazione Ping Identity OAuth2

Utilizza la seguente procedura per configurare un'applicazione PingOne OAuth2 e ottenere le credenziali client necessarie per Identity. AgentCore Se stai configurando un client di federazione utenti, registrerai l'URI di reindirizzamento nel passaggio 3, dopo che AgentCore Identity avrà emesso l'URL di callback univoco.

Per configurare un'applicazione OAuth2 PingOne

  1. Accedi alla console di PingOne amministrazione.

  2. Nella barra di navigazione, in Applicazioni, scegli Applicazione.

  3. Nella pagina, scegli l'icona + accanto ad Applicazioni per creare una nuova applicazione.

  4. Per configurare l'applicazione come client M2M OAuth2:

    • Seleziona le credenziali del cliente per il tipo di concessione.

    • Seleziona Client Secret Post per il metodo di autenticazione Token Endpoint.

    • Crea una risorsa personalizzata in Applicazioni→Risorse nelle schede, incluso un ambito. Quindi, aggiungi quell'ambito all'applicazione nella sua scheda Risorse personali. Quindi, assicurati che l'ambito sia presente nel campo «ambiti» di GetResourceOauth2AccessToken.

  5. Per configurare l'applicazione come client Oauth2 di federazione di utenti:

    • Seleziona il codice per il tipo di risposta.

    • Seleziona il codice di autorizzazione per il tipo di concessione.

    • Seleziona Client Secret Basic per il metodo di autenticazione Token Endpoint.

    • Lascia vuoto l'elenco degli URI di reindirizzamento per ora: aggiungerai l'URL di callback univoco nel passaggio 3.

Per maggiori dettagli, consulta la documentazione sull' PingOne API di Ping Identity.

Passaggio 2: creare il provider di credenziali di AgentCore identità

Per configurare PingOne come provider di risorse in uscita, utilizza quanto segue:

{
  "name": "PingOne",
  "credentialProviderVendor": "PingOneOauth2",
  "oauth2ProviderConfigInput" : {
    "includedOauth2ProviderConfig": {
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
      "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
      "issuer": "https://auth.pingone.com/your-env-id/as"
    }
  }
}

Per utilizzare lo scambio di token PingIdentity OAuth 2.0 per la delega, utilizza un provider personalizzato per la configurazione avanzata. Per i dettagli, vedi Scambio di On-behalf-of token con Identity. AgentCore 

{
  "name": "PingOne",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
          "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
          "issuer": "https://auth.pingone.com/your-env-id/as"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "M2M"
        }
      }
    }
  }
}

Per utilizzare lo scambio di token PingIdentity OAuth 2.0 per l'impersonificazione, utilizza un provider personalizzato per la configurazione avanzata. Per i dettagli, vedi Scambio di On-behalf-of token con Identity. AgentCore 

{
  "name": "PingOne",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://auth.pingone.com/your-env-id/as/authorize",
          "tokenEndpoint": "https://auth.pingone.com/your-env-id/as/token",
          "issuer": "https://auth.pingone.com/your-env-id/as"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "NONE"
        }
      }
    }
  }
}

La CreateOauth2CredentialProvider risposta include un callbackUrl campo. Questo URL è unico per questo fornitore di credenziali e ha il seguente aspetto:https://bedrock-agentcore.us-east-1.amazonaws.com/identities/oauth2/callback/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX. Salva questo valore per il passaggio successivo.

Nota

L'URL di callback univoco si applica solo ai client federativi di utenti. Se è stato configurato PingOne come client M2M, non è richiesta la registrazione dell'URL di callback.

Fase 3: Registra l'URL di callback univoco con PingOne

Tornate alla console di PingOne amministrazione e aggiungete l'URL di callback univoco all'elenco degli URI di reindirizzamento dell'applicazione di federazione utenti.

  1. Accedi alla console di PingOne amministrazione e apri l'applicazione creata nel passaggio 1.

  2. Aggiungi il callbackUrl valore restituito da CreateOauth2CredentialProvider alla configurazione dell'URI di reindirizzamento dell'applicazione.

  3. Salvare le modifiche.