View a markdown version of this page

インバウンド JWT オーソライザーを設定する - Amazon Bedrock AgentCore
インバウンドオーソライザーを設定する

インバウンド JWT オーソライザーを設定する

インバウンドオーソライザーは、AgentCore Runtime および AgentCore Gateway への受信 OAuth 2.0 API リクエストを認証および認可します。エージェントまたはゲートウェイへのアクセスを許可する前に、JSON ウェブトークン (JWTs) を検証します。オーソライザーは ID プロバイダー (IdP) に依存しず、OAuth 2.0 互換 ID プロバイダーと連携します。AgentCore Runtime または AgentCore Gateway がインバウンドリクエストを受信すると、オーソライザーは設定された検出 URL を使用してパブリックキーと認可サーバーエンドポイントを取得し、JWT 検証を実行します。IdP と許可された認可スコープまたはクレームに基づいてオーソライザーを設定できます。

インバウンドオーソライザーを設定する

エージェントまたはゲートウェイの作成時にオーソライザー設定を指定することで、JWT ベアラートークンを受け入れるようにエージェントランタイム (CreateAgentRuntime を参照) またはゲートウェイ (CreateGateway を参照) を設定できます。認可設定 (CustomJWTAuthorizerConfiguration」を参照) は、AgentCore ランタイムまたは AgentCore Gateway のいずれかで同じです。

  • 検出 URL: OpenID Connect (OIDC) 検出 URLs ^.+/\.well-known/openid-configuration$のパターンと一致する必要がある文字列。ID プロバイダーから検出 URL を見つけることができます。検出 URL は、AgentCore Identity が認証エンドポイントの詳細に関する情報を検索するために使用できる特定のウェブアドレスです。これにより、AgentCore Identity は明示的なオンボーディングなしで OIDC ID プロバイダーによって発行されたトークンを動的に受け入れることができます。

  • 許可された対象者: AgentCore Identity が JWT トークンのaudクレームに対して検証する許可された対象者のリスト。OAuth 2.0 のオーディエンスクレーム () aud は、トークンの対象となるリソースサーバー (API) を指定します。リソースサーバーは、リクエストを処理する前にaudクレームを検証して正しい受信者であることを確認し、トークンが発行されていない別の API で再利用されないようにします。

  • 許可されたクライアント : AgentCore Identity が JWT トークンのclient_idクレームに対して検証する許可されたクライアント識別子のリスト。OAuth 2.0 client_idの は、AgentCore ランタイムまたは AgentCore Gateway へのアクセストークンをリクエストしているアプリケーションのパブリックで一意の識別子です。アプリケーションのユーザー名のように動作し、オーソライザーに登録されている他のクライアント (アプリケーション) と区別します。

  • 許可されたスコープ : ランタイムまたはゲートウェイの呼び出しを許可された、スコープとして定義された許可されたアクセス許可のリスト。設定されている場合、受信トークンの少なくとも 1 つのスコープ値が、設定された値のいずれかと一致する必要があります。OAuth 2.0 スコープは、JWT で定義されている特定のレベルのアクセスを定義する文字列です。スコープは、アプリケーションが実行できる操作を制限するアクセス許可として機能します。

  • 必要なカスタムクレーム (CustomClaimValidationType」を参照): JWT トークンを検証するための事前定義された値と受信トークンの特定のクレームを照合するための一連のルール。ルールを作成するには、以下を指定します。

    • InboundTokenClaimName : カスタムクレームの名前。

    • InboundTokenClaimValueType : STRINGまたは STRING_ARRAY。

    • AuthorizingClaimMatchValue : カスタムクレームの必須値と比較演算子。

      • ClaimMatchValue : カスタムクレームの必須値。

      • ClaimMatchOperator : が STRING InboundTokenClaimValueTypeの場合、これは EQUALS である必要があります。が InboundTokenClaimValueTypeに等しい場合STRING_ARRAY、これは CONTAINSまたは になりますCONTAINS_ANY。

      • 例: を適用するルールを定義できます。 Group must equal Developer

  • 注: 設定には、許可された対象者、許可されたクライアント、許可されたスコープ、または必要なカスタムクレームの少なくとも 1 つのフィールドが必要です。複数の が使用されている場合、オーソライザーはすべてを検証します。