Vinculação de sessão de URL de autorização do OAuth 2.0

Invoque o agente — Seu código de agente invoca a GetResourceOauth2Token API para recuperar uma URL de autorização, quando um usuário do agente de origem deseja acessar algum aplicativo ou recurso que possui. he/she

Gerar URL de autorização — A AgentCore identidade gera uma URL de autorização e uma URI de sessão para o usuário navegar e consentir o acesso.

Autorizar e obter o token de acesso — O usuário navega até o URL de autorização e concede consentimento para que seu agente acesse his/her o recurso. Depois disso, o AgentCore Identity redireciona o navegador do usuário para o endpoint do aplicativo HTTPS com informações contendo o usuário de origem da solicitação de autorização. Nesse ponto, o endpoint do aplicativo HTTPS determina se o usuário do agente de origem ainda é o mesmo que o usuário atualmente conectado ao seu aplicativo. Se eles corresponderem, o endpoint do aplicativo será invocado CompleteResourceTokenAuth para que o AgentCore Identity possa buscar e armazenar o token de acesso.

Re-invoke agente para obter o token de acesso — Quando o aplicativo retornar uma resposta válida, seu aplicativo de agente poderá recuperar os tokens de OAuth2.0 acesso que foram originalmente solicitados para o usuário. Se os usuários não corresponderem, seu aplicativo simplesmente não fará nada ou registrará a tentativa.

Crie uma URL de aplicativo — Para seu aplicativo de navegador voltado para o usuário, crie e hospede uma nova URL que possa ser acessada pelo navegador do usuário e que possa aceitar solicitações de redirecionamentos do navegador. Essa página deve redirecionar para uma página do aplicativo para que seu usuário possa continuar com a sessão do agente OU renderizar alguma página da web básica instruindo seus usuários a retornar a sessão de agente atualmente ativa. Em partes posteriores da implementação, essa página é usada para validação da sessão ativa do usuário atual, portanto, essa página também deve ser capaz de acessar e manter os dados da sessão do usuário do seu aplicativo.

Por exemplo, seu aplicativo pode fazer com que seus usuários interajam com um agente em uma página principal do aplicativo, comohttps://myagentapp.com/assistant. Você desejará expor um novo URL como https://myagentapp.com/callback esse, por enquanto, redirecionará para a página principal do aplicativo. A lógica de código real em seu /callback endpoint será atualizada posteriormente ao seguir este guia.

Atualize a identidade da carga de trabalho com o URL do aplicativo — (Pode ser ignorado se estiver testando localmente via AgentCore CLI) Depois de criar e hospedar um URL de aplicativo para o qual o Identity possa ser redirecionado, atualize a AgentCore identidade da carga de trabalho para que o URL do aplicativo seja registrado como um. AllowedResourceOauth2ReturnUrl Certifique-se de que as credenciais do IAM usadas tenham permissões para chamar CreateWorkloadIdentity ou UpdateWorkloadIdentity dependendo se você está criando uma nova identidade de carga de trabalho ou atualizando uma existente.

Exemplo de chamada de UpdateWorkloadIdentity API:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

Crie um provedor de credenciais do OAuth 2.0 no AgentCore Identity — Para registrar totalmente o provedor de credenciais do OAuth 2.0, você precisa de permissões para ligar e. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Siga estas etapas:

Adicione um manipulador de código para chamadas CompleteResourceTokenAuth — Depois de criar seu provedor de credenciais do OAuth 2.0, adicione o código e as permissões do IAM para chamar a CompleteResourceTokenAuth API no manipulador de URL do seu aplicativo. Ao chamar a CompleteResourceTokenAuth API, seu aplicativo deve apresentar o token OAuth ou user_id String original do provedor de identidade de entrada que foi usado para gerar o token de acesso à carga de trabalho para representar o usuário e o aplicativo do agente envolvidos no fluxo de autorização do OAuth 2.0. Essas informações devem ser obtidas da sessão ativa do aplicativo no navegador do usuário (normalmente por meio de um cookie do navegador ou no armazenamento local do navegador) e NÃO devem ser retiradas de nenhum cache de sessão remota.

Além disso, cada URL de autorização gerada pelo AgentCore Identity é identificada exclusivamente com sua própria URI de sessão. Esse URI de sessão também deve ser apresentado junto com o identificador do usuário para vincular a sessão ao usuário pretendido.

Exemplo de código do aplicativo:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Teste — Depois de concluir a configuração, você estará pronto para testar a integração. Comece ligando GetResourceOauth2Token e, no seu navegador, acesse a URL de autorização que é retornada. Depois de concluir a autorização no provedor de recursos do OAuth 2.0, você verá o navegador redirecionar de volta para a URL do seu aplicativo e invocar a API. CompleteResourceTokenAuth Depois que o aplicativo retornar uma resposta válida, seu aplicativo de agente poderá recuperar os tokens de acesso do OAuth 2.0 que foram originalmente solicitados para o usuário. Esses tokens podem ser obtidos chamando a GetResourceOauth2Token API.