本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

客户机身份验证方法

客户端身份验证方法控制 OAuth 客户端在请求访问令牌时如何使用授权服务器的令牌端点进行身份验证。

对于提供商特定的凭证提供商， AgentCore Identity 会根据每个供应商的要求为您管理客户端身份验证方法，因此无需进行额外配置。

对于需要更精细控制的用例，例如使用 IAM-signed JWT 断言而不是客户端密钥进行身份验证，或者以要求与内置供应商不同的授权服务器为目标，请使用自定义提供商，它允许您从以下支持的方法中进行选择。

支持的客户端身份验证方法

AgentCore Identity 支持客户端身份验证方法的以下值。

如何配置客户端身份验证方法

为 CustomOauth 2 配置客户端身份验证方法

要在 AWS Console 上为自定义提供商配置客户端身份验证方法，请参阅使用自定义提供商添加 OAuth 客户端。您也可以使用 CLI 对其进行配置。

CLI 示例：使用 C LIENT_SECRET_BASIC 作为客户端身份验证方法

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-client-basic",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://my.idp.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientSecret": "your-client-secret",
        "clientAuthenticationMethod": "CLIENT_SECRET_BASIC"
      }
    }
  }'

CLI 示例：使用 AWS_IAM_ID _TOKEN_J WT 作为客户端身份验证方法

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-iam-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://my.idp.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "AWS_IAM_ID_TOKEN_JWT"
      }
    }
  }'

CLI 示例：使用 PRIVATE_KEY_J WT 作为客户端身份验证方法

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "sample-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://your-idp.example.com/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "RS256"
        }
      }
    }
  }'

有关完整配置参考的更多信息，包括 KMS 密钥设置、跨账户支持和签名算法选项，请参阅私钥 JW T。

Notice

不建议使用该tokenEndpointAuthMethods字段来支持客户端身份验证方法，但保留该字段是为了在 CLI 和 SDK 中实现向后兼容。在同一个请求中同时提供两者将导致验证错误。