本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

私有金鑰 JWT 用戶端身分驗證

透過私有金鑰 JWT，AgentCore Identity 會根據 RFC 7523 第 2.2 節，使用已簽署的 JWT 用戶端聲明來驗證下游身分提供者的字符端點，而不是用戶端秘密。私有金鑰永遠不會離開 AWS Key Management Service (KMS)。AgentCore Identity 透過 簽署每個聲明kms:Sign。您的身分提供者擁有用於驗證用戶端聲明並傳回存取權杖的對應公有金鑰。

此方法消除 AgentCore Identity 與您的授權伺服器之間的共用秘密，在您的完全控制下將其取代為非對稱金鑰對。

私有金鑰 JWT 用戶端身分驗證的運作方式

私有金鑰 JWT 可在自訂 OAuth 2.0 登入資料提供者 (CustomOauth2) 上使用。它適用於所有授權流程：用戶端憑證 (M2M)、具有 JWT 授權 (OBO) 的字符交換，以及授權碼 （使用者委派存取）。

在 AgentCore Identity 中設定私有金鑰 JWT

若要成功設定登入資料提供者，請先驗證您的身分提供者對私有金鑰 JWT 用戶端身分驗證的要求：簽署演算法、公有金鑰和必要的 JWT 用戶端聲明宣告。

簽署演算法

識別身分提供者進行私有金鑰 JWT 用戶端身分驗證所需的簽署演算法。這對應於建立或更新 OAuth 2.0 自訂登入資料提供者privateKeyJwtConfig時 中的 signingAlgorithm 欄位。

AWS KMS 非對稱金鑰組態

判斷您的身分提供者如何管理簽署金鑰：

signingAlgorithm 您選擇的 會決定接受哪些 KMS 金鑰規格：

AWS KMS 金鑰政策

若要使用私有金鑰 JWT 的非對稱 KMS 簽署金鑰，您的金鑰必須允許 AgentCore Identity 代表您執行簽署和金鑰描述操作。將下列許可附加至 KMS 金鑰的金鑰政策。

kms:ViaService 條件可確保只有在請求是透過 Amazon Bedrock AgentCore Identity 發出時，才能使用金鑰。當金鑰政策將 kms:DescribeKey和 授予呼叫身分時kms:Sign，支援跨帳戶金鑰。將 Principal ARN 取代為將呼叫 AgentCore Identity 的帳戶根 ARN。

{
  "Id": "identity-service-cmk-policy",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockAgentCoreIdentityPrivateKeyJwtAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": [
        "kms:Sign",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "${aws:PrincipalAccount}"
        },
        "StringLike": {
          "kms:ViaService": "bedrock-agentcore-identity.*.amazonaws.com"
        }
      }
    }
  ]
}

不支援跨區域金鑰。KMS 金鑰必須與登入資料提供者位於相同的 AWS 區域。

JWT 用戶端聲明中的其他宣告

檢查您的身分提供者是否需要 JWT 用戶端聲明標頭中的其他宣告，還是私有金鑰 JWT 用戶端身分驗證的承載。若是如此，請將它們包含在 中的 additionalHeaderClaims和 additionalPayloadClaims 欄位中privateKeyJwtConfig。

使用私有金鑰 JWT 身分驗證，以自訂提供者設定 OAuth 用戶端

若要使用私有金鑰 JWT 用戶端身分驗證設定登入資料提供者，請參閱 AWS 主控台上的使用自訂提供者新增 OAuth 用戶端。您也可以使用 CLI AWS 設定登入資料提供者。

CLI 範例：Microsoft 登入資料提供者的私有金鑰 JWT

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "microsoft-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://login.microsoftonline.com/your-tenant-id/v2.0/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "PS256",
          "additionalHeaderClaims": {
            "x5t#S256": "Base64url-encoded SHA-256 thumbprint of the DER encoding of the X.509 public key certificate uploaded to Microsoft Entra"
          },
          "additionalPayloadClaims": {
            "aud": "https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/token"
          }
        }
      }
    }
  }'

CLI 範例：具有On-behalf-of私有金鑰 JWT

aws bedrock-agentcore-control create-oauth2-credential-provider \
  --cli-input-json '{
    "name": "okta-private-key-jwt",
    "credentialProviderVendor": "CustomOauth2",
    "oauth2ProviderConfigInput": {
      "customOauth2ProviderConfig": {
        "oauthDiscovery": {
          "discoveryUrl": "https://your-app.okta.com/oauth2/default/.well-known/openid-configuration"
        },
        "clientId": "your-client-id",
        "clientAuthenticationMethod": "PRIVATE_KEY_JWT",
        "privateKeyJwtConfig": {
          "privateKeySource": {
            "kmsKeySource": {
              "kmsKeyArn": "arn:aws:kms:us-east-1:111122223333:key/your-key-id"
            }
          },
          "signingAlgorithm": "RS256"
        },
        "onBehalfOfTokenExchangeConfig": {
          "grantType": "TOKEN_EXCHANGE",
          "tokenExchangeGrantTypeConfig": {
            "actorTokenContent": "NONE"
          }
        }
      }
    }
  }'

使用私有金鑰 JWT 身分驗證搭配自訂提供者的 OAuth 用戶端參數