Pola otentikasi yang didukung
AgentCore Identitas mendukung dua pola otentikasi utama yang menangani kasus penggunaan agen yang berbeda. Memahami pola-pola ini akan membantu Anda memilih pendekatan yang tepat untuk implementasi agen spesifik Anda.
Untuk contoh rinci tentang bagaimana pola ini berlaku untuk industri dan jenis agen tertentu, lihat Contoh kasus penggunaan.
Topik
User-delegated akses (hibah kode otorisasi OAuth 2.0)
Alur pemberian kode otorisasi OAuth 2.0 memungkinkan agen mengakses data khusus pengguna dengan persetujuan pengguna eksplisit. Pola ini penting ketika agen perlu mengakses data pribadi atau melakukan tindakan atas nama pengguna tertentu. Alur mencakup langkah persetujuan pengguna di mana pemilik sumber daya (pengguna) secara eksplisit memberi wewenang kepada agen untuk mengakses data mereka dalam cakupan tertentu.
Karakteristik utama
-
Memerlukan persetujuan pengguna eksplisit melalui prompt otorisasi
-
Menyediakan akses ke data dan sumber daya khusus pengguna
-
Mempertahankan pemisahan yang jelas antara identitas agen dan otorisasi pengguna
-
Mendukung cakupan berbutir halus yang membatasi data apa yang dapat diakses agen
Contoh skenario — Agen produktivitas perlu mengakses Kalender Google pengguna untuk menjadwalkan rapat, Gmail mereka untuk mengirim email, dan Google Drive mereka untuk menyimpan dokumen. Agen menggunakan hibah kode otorisasi OAuth 2.0 untuk mendapatkan persetujuan pengguna untuk setiap layanan, dengan cakupan khusus yang membatasi akses hanya ke data yang diperlukan. Pengguna secara eksplisit memberi wewenang kepada agen melalui layar persetujuan Google, dan AgentCore Identity menyimpan kredensil yang dihasilkan dengan aman untuk penggunaan di masa mendatang.
Pola ini sangat ideal untuk agen asisten pribadi, agen layanan pelanggan, dan skenario apa pun di mana agen memerlukan akses ke data khusus pengguna di berbagai layanan. Untuk contoh spesifik industri yang terperinci, lihat Agen asisten pribadi dan agen layanan pelanggan.
Machine-to-machine otentikasi (pemberian kredensi klien OAuth 2.0)
Alur pemberian kredensi klien OAuth 2.0 memungkinkan otentikasi langsung antar sistem tanpa interaksi pengguna. Pola ini sesuai ketika agen perlu mengakses sumber daya yang tidak spesifik pengguna atau ketika agen bertindak sendiri dengan persetujuan pengguna yang telah diotorisasi sebelumnya.
Karakteristik utama
-
Tidak diperlukan interaksi atau persetujuan pengguna
-
Agen mengautentikasi langsung dengan server sumber daya menggunakan kredensialnya sendiri
-
Cocokkan untuk proses latar belakang, tugas terjadwal, dan operasi tingkat sistem
-
Izin didefinisikan pada tingkat agen daripada per pengguna
Contoh skenario — Agen pengolah data perusahaan perlu mengumpulkan data dari beberapa sistem internal, memprosesnya, dan menyimpan hasilnya di gudang data. Agen menggunakan hibah kredensi klien OAuth 2.0 untuk mengautentikasi langsung dengan setiap sistem menggunakan identitasnya sendiri dan izin yang telah dikonfigurasi sebelumnya. Tidak diperlukan interaksi pengguna, dan agen dapat beroperasi ketika agen bertindak sendiri dengan persetujuan pengguna yang telah diotorisasi sebelumnya pada interval yang dijadwalkan.
Pola ini sangat ideal untuk agen otomatisasi perusahaan, alur kerja pemrosesan data, dan DevOps otomatisasi. Untuk contoh spesifik industri yang terperinci, lihat Agen otomatisasi perusahaan, agen pemrosesan dan analitik data, serta Pengembangan dan DevOps agen.
On-behalf-of pertukaran token (pertukaran token OAuth 2.0)
On-behalf-of Pertukaran token (OBO) memungkinkan agen untuk mengakses server sumber daya hilir atas nama pengguna yang sudah diautentikasi. Agen menukar token pengguna masuk dengan token akses cakupan audiens baru melalui penyedia kredensi keluar, mengikat identitas pengguna dan identitas agen ke dalam token yang dihasilkan. Layanan hilir kemudian dapat membuat keputusan otorisasi berdasarkan kedua identitas — tanpa mengharuskan pengguna untuk melalui alur persetujuan lain.
Karakteristik utama
-
Tidak ada persetujuan pengguna tambahan — token pengguna masuk ditukar langsung dengan token akses hilir
-
Menyebarkan identitas pengguna dan identitas agen (atau beban kerja) di beberapa hop, memberikan setiap layanan hilir konteks untuk membuat keputusan otorisasi sendiri
-
Mendukung pertukaran token standar (RFC 8693
) atau hibah otorisasi JWT (RFC 7523 ), tergantung pada penyedia identitas
Contoh skenario: Mengakses aplikasi bisnis per pengguna — Perusahaan memiliki aplikasi SDM internal yang memberlakukan kontrol akses per pengguna — setiap karyawan hanya dapat melihat data kompensasi dan manfaat mereka sendiri. Perusahaan ingin membiarkan karyawan menanyakan aplikasi ini melalui agen AI, tanpa melonggarkan kebijakan akses yang ada.
-
Mike (admin identitas) mengonfigurasi aplikasi SDM sebagai Penyedia Kredenal OAuth di AgentCore Identity, termasuk mode pertukaran token OBO. Setelah disiapkan, tidak diperlukan penyediaan per pengguna - setiap karyawan yang dapat mengautentikasi ke agen dapat mencapai aplikasi SDM melaluinya.
-
Bob (pengembang agen) menambahkan alat yang memanggil aplikasi SDM. Dia tidak menulis logika pertukaran token atau menangani rahasia klien. Dia memanggil
GetResourceOauth2Tokendengan token akses beban kerja, dan AgentCore Identity mengembalikan token hilir cakupan. Bob berfokus pada apa yang dilakukan agen dengan data, bukan bagaimana ia mendapat otorisasi. -
Sarah (pengguna akhir) masuk ke agen dan memintanya untuk menarik ringkasan manfaatnya. Dia tidak diminta untuk masuk untuk kedua kalinya. Di belakang layar, AgentCore Identity menukar token masuk Sarah dengan token akses hilir yang membawa identitasnya. Aplikasi SDM menerapkan kebijakan akses yang ada dan hanya mengembalikan data Sarah — data yang sama yang akan dia lihat jika dia mengakses aplikasi secara langsung.
Pola ini sangat ideal untuk agen perusahaan yang melintasi beberapa layanan sadar identitas dalam satu domain kepercayaan. Untuk mempelajari lebih dalam tentang jenis hibah, konfigurasi, dan penyedia identitas yang didukung, lihat On-behalf-of pertukaran token.
Memilih pola otentikasi yang tepat
Saat merancang strategi otentikasi agen Anda, pertimbangkan faktor-faktor ini untuk menentukan pola mana yang paling tepat:
| Faktor | User-delegated akses (hibah kode otorisasi OAuth 2.0) | Machine-to-machine otentikasi (pemberian kredensi klien OAuth 2.0) | On-behalf-of pertukaran token (pertukaran token OAuth 2.0) |
|---|---|---|---|
|
Kepemilikan data |
User-specific data (email, dokumen, kalender pribadi) |
Data milik sistem atau organisasi (analitik, log, sumber daya bersama) |
User-specific data, di mana pengguna sudah diautentikasi ke agen |
|
Interaksi pengguna |
Pengguna hadir dan dapat memberikan persetujuan |
Tidak ada interaksi pengguna yang diperlukan atau tersedia |
Pengguna sudah diautentikasi ke agen; tidak ada prompt persetujuan baru |
|
Waktu operasi |
Interaktif, operasi real-time |
Latar belakang, terjadwal, atau operasi batch |
Operasi interaktif dan real-time yang diprakarsai oleh pengguna yang diautentikasi |
|
Ruang lingkup izin |
Izin bervariasi menurut pengguna dan pilihan persetujuan mereka |
Izin konsisten yang ditentukan di tingkat agen |
Izin yang berasal dari token pengguna masuk dan kebijakan penyedia hilir |
Banyak implementasi agen akan membutuhkan semua pola untuk berbagai aspek fungsionalitasnya. Misalnya, agen layanan pelanggan mungkin menggunakan akses yang didelegasikan pengguna untuk mengambil data pelanggan tertentu saat menggunakan otentikasi mesin-ke-mesin untuk mengakses basis pengetahuan perusahaan dan sistem internal. Agen yang sama juga dapat menggunakan pertukaran token on-behalf-of untuk menyebarkan identitas pengguna ke layanan hilir yang memberlakukan otorisasi per pengguna, tanpa meminta pengguna lagi. AgentCore Identitas mendukung semua pola secara bersamaan, memungkinkan agen untuk menggunakan mekanisme otentikasi yang paling tepat untuk setiap sumber daya yang mereka butuhkan untuk mengakses.
Semua pola otentikasi mendapat manfaat dari kemampuan inti AgentCore Identity:
-
Amankan penyimpanan kredensi tanpa mengekspos rahasia ke kode agen
-
Antarmuka otentikasi yang konsisten di berbagai jenis sumber daya
-
Pencatatan audit komprehensif untuk keamanan dan kepatuhan
-
Fine-grained kontrol akses berdasarkan identitas dan konteks
-
Integrasi yang disederhanakan melalui AgentCore SDK
