View a markdown version of this page

Configurare l'autorizzatore JWT in entrata - Amazon Bedrock AgentCore
Configura un Autorizzatore in entrata

Configurare l'autorizzatore JWT in entrata

L'autorizzatore in entrata autentica e autorizza le richieste API OAuth 2.0 in entrata verso Runtime e Gateway. AgentCore AgentCore Convalida i token Web JSON (JWT) prima di consentire l'accesso ad agenti o gateway. L'autorizzatore è indipendente dall'Identity Provider (IdP) e funziona con qualsiasi provider di identità compatibile con OAuth 2.0. Quando AgentCore Runtime o AgentCore Gateway riceve una richiesta in entrata, l'autorizzatore utilizzerà l'URL di rilevamento configurato per recuperare le chiavi pubbliche e l'endpoint del server di autorizzazione per eseguire la convalida JWT. Puoi configurare l'autorizzatore in base al tuo IdP e agli ambiti o alle attestazioni di autorizzazione consentiti.

Configura un Autorizzatore in entrata

Puoi configurare il runtime dell'agente (vedi CreateAgentRuntime) o il gateway (vedi CreateGateway) per accettare i token JWT bearer fornendo una configurazione di autorizzazione durante la creazione dell'agente o del gateway. La configurazione di autorizzazione (vedi CustomJWTAuthorizerConfiguration) è la stessa per Runtime o AgentCore Gateway. AgentCore

  • Discovery URL: una stringa che deve corrispondere allo schema ^.+/\.well-known/openid-configuration$ per gli URL di discovery OpenID Connect (OIDC). Puoi trovare il tuo URL di scoperta dal tuo provider di identità. Un URL di rilevamento è un indirizzo Web specifico che AgentCore Identity può utilizzare per trovare informazioni sui dettagli dell'endpoint di autenticazione. Consente a AgentCore Identity di accettare dinamicamente i token emessi dal tuo provider di identità OIDC senza un onboarding esplicito.

  • Gruppi di destinatari consentiti: un elenco di destinatari consentiti che AgentCore Identity convaliderà in base alla dichiarazione contenuta nel token JWT. aud Un claim di pubblico (aud) in OAuth 2.0 specifica a quale server di risorse (API) è destinato il token. Il server di risorse convalida l'audattestazione per assicurarsi che sia il destinatario corretto prima di elaborare la richiesta, evitando che un token venga riutilizzato in un'API diversa per cui non è stato emesso.

  • Client consentiti: un elenco di identificatori client consentiti che AgentCore Identity convaliderà in base al client_id claim nel token JWT. Un client_id in OAuth 2.0 è un identificatore pubblico e univoco per un'applicazione che richiede token di accesso per accedere a Runtime o Gateway. AgentCore AgentCore Funziona come un nome utente per l'applicazione, distinguendola dagli altri client (applicazioni) registrati con l'autorizzatore.

  • Ambiti consentiti: un elenco di autorizzazioni consentite, definite come ambiti, a cui è consentito richiamare il runtime o il gateway. Se configurato, almeno un valore di ambito nel token in ingresso deve corrispondere a uno dei valori configurati. Un ambito OAuth 2.0 è una stringa che definisce un livello di accesso specifico definito nel JWT. Gli ambiti fungono da autorizzazioni per limitare ciò che un'applicazione può fare.

  • Affermazioni personalizzate obbligatorie (vedi CustomClaimValidationType): una serie di regole per abbinare affermazioni specifiche nel token in entrata a valori predefiniti per la convalida dei token JWT. Puoi creare una regola specificando quanto segue:

    • InboundTokenClaimName: nome del reclamo personalizzato.

    • InboundTokenClaimValueType: STRING oSTRING_ARRAY.

    • AuthorizingClaimMatchValue: valore richiesto e operatore di confronto del claim personalizzato.

      • ClaimMatchValue: valore obbligatorio dell'attestazione personalizzata.

      • ClaimMatchOperator: Se InboundTokenClaimValueType è ugualeSTRING, deve essere. EQUALS Se InboundTokenClaimValueType è ugualeSTRING_ARRAY, può essere o. CONTAINS CONTAINS_ANY

      • Esempio: È possibile definire una regola che impone:. Group must equal Developer

  • Nota: almeno uno dei campi è obbligatorio per la configurazione: destinatari consentiti, client consentiti, ambiti consentiti o attestazioni personalizzate obbligatorie. Se ne viene utilizzato più di uno, l'autorizzatore li verificherà tutti.