Microsoft

Microsoft Entra ID は、AgentCore Gateway とランタイムにアクセスするための ID プロバイダー、またはアウトバウンドリソースアクセス用の AgentCore Identity 認証情報プロバイダーとして設定できます。これにより、エージェントは、ID プロバイダーおよび認可サーバーとして Microsoft Entra ID を持つエージェントユーザーを認証および認可できます。または、エージェントは、Microsoft Entra ID によって認可されたリソースにアクセスするための認証情報を取得できます。

インバウンド

AgentCore Gateway とランタイムにアクセスするための ID プロバイダーと認可サーバーとして Microsoft Entra ID を追加するには、以下を実行する必要があります。

これらは、ゲートウェイとランタイムのインバウンド設定の一部として設定できます。

Microsoft Entra ID を ID プロバイダーとして設定する前に、OAuth2 を使用した Google ドライブとの統合」で説明されている基本的なセットアップ手順を完了することをお勧めします。これにより、ID プロバイダーの統合を追加する前に、開発環境と SDK が適切に設定されます。

カスタムクレームを持たない v1.0 および v2.0 アクセストークンと ID トークンの Microsoft Entra ID がサポートされています。JWT を解析してverクレームを確認することで、entra アプリケーションが発行するトークンバージョンを特定できます。

すべてのトークンタイプについて、カスタムオーソライザーで次の操作を行います。

v1.0 アクセストークンに固有の設定

Microsoft Entra からトークンを取得する場合:

v2.0 AccessTokens に固有の設定

Microsoft Entra の場合:

v1.0 および v2.0 ID トークンに固有の設定

Microsoft Entra の場合:

アウトバウンド

ステップ 1: Microsoft Entra ID アプリケーション登録を作成する

Microsoft Entra ID アプリケーション登録をセットアップし、AgentCore Identity に必要なクライアント認証情報を取得するには、次の手順に従います。AgentCore Identity が一意のコールバック URL を発行した後、ステップ 3 でリダイレクト URI を登録します。

Microsoft Entra ID アプリケーション登録を設定するには

詳細については、Microsoft Entra ドキュメントの「クイックスタート: アプリケーションを登録する」を参照してください。

ステップ 2: AgentCore Identity 認証情報プロバイダーを作成する

アウトバウンド Microsoft リソースプロバイダーを設定するには、以下を使用します。

{
        "name": "NAME",
        "credentialProviderVendor": "MicrosoftOAuth2",
        "oauth2ProviderConfigInput": {
            "microsoftOauth2ProviderConfig": {
                "clientId": "your-client-id",
                "clientSecret": "your-client-secret",
                "tenantId": "your-microsoft-entra-tenant"
            }
        }
    }

CreateOauth2CredentialProvider レスポンスには callbackUrlフィールドが含まれます。この URL はこの認証情報プロバイダーに固有であり、 のようになりますhttps://bedrock-agentcore.us-east-1.amazonaws.com/identities/oauth2/callback/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。次のステップでこの値を保存します。

ステップ 3: Microsoft Entra に一意のコールバック URL を登録する

Microsoft Entra 管理センターに戻り、一意のコールバック URL をアプリケーションのリダイレクト URIs。