Okta

Okta は、AgentCore Gateway とランタイムにアクセスするための ID プロバイダー、またはアウトバウンドリソースアクセス用の AgentCore Identity 認証情報プロバイダーとして設定できます。これにより、エージェントは ID プロバイダーおよび認可サーバーとして Okta を使用してエージェントユーザーを認証および認可できます。また、エージェントは Okta によって認可されたリソースにアクセスするための認証情報を取得できます。

インバウンド

AgentCore Gateway とランタイムにアクセスするための ID プロバイダーと認可サーバーとして Okta を追加するには、以下を実行する必要があります。

インバウンド認証用に Okta を設定するには

詳細については、Okta のドキュメントを参照してください。

アクセストークンクレームに client_id クレームを追加する

デフォルトでは、Okta はトークンに標準クレームclient_idとして を含めません。トークンにクレームを入力するには、トークンの発行に使用する認可サーバーを使用してクレームをカスタマイズする必要があります。

アクセストークンに client_id クレームを追加するには

詳細については、Okta のドキュメントを参照してください。

アウトバウンド

ステップ 1: Okta OIDC アプリケーションを作成する

「インバウンド」セクションの手順に従って、Okta OIDC アプリケーションと認可サーバーを作成します。アプリケーション設定でサインインリダイレクト URIs の入力を求められたら、ここでは フィールドを空のままにします。ステップ 3 で一意のコールバック URL を追加します。

ステップ 2: AgentCore Identity 認証情報プロバイダーを作成する

AgentCore Identity で Okta をアウトバウンドリソースプロバイダーとして設定するには、以下を使用します。

{
  "name": "Okta",
  "credentialProviderVendor": "OktaOauth2",
  "oauth2ProviderConfigInput" : {
    "includedOauth2ProviderConfig": {
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "authorizationEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/authorize",
      "tokenEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/token",
      "issuer": "https://your-tenant.okta.com/oauth2/your-authorization-server"
    }
  }
}

Okta OAuth 2.0 on-behalf-of使用するには、カスタムプロバイダーを使用して高度な設定を行います。詳細については、AgentCore Identity On-behalf-of」を参照してください。

{
  "name": "Okta",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/authorize",
          "tokenEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/token",
          "issuer": "https://your-tenant.okta.com/oauth2/your-authorization-server"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "NONE"
        }
      }
    }
  }
}

CreateOauth2CredentialProvider レスポンスには callbackUrlフィールドが含まれます。この URL はこの認証情報プロバイダーに固有であり、 のようになりますhttps://bedrock-agentcore.us-east-1.amazonaws.com/identities/oauth2/callback/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。次のステップでこの値を保存します。

ステップ 3: Okta に一意のコールバック URL を登録する

Okta 開発者コンソールに戻り、アプリケーションのサインインリダイレクト URIs に一意のコールバック URL を追加します。