Associazione della sessione URL di autorizzazione OAuth 2.0

Invoke agent: il codice dell'agente richiama l'GetResourceOauth2TokenAPI per recuperare un URL di autorizzazione, quando un utente dell'agente di origine desidera accedere a un'applicazione o a una risorsa di cui è proprietaria. he/she

Genera URL di autorizzazione: AgentCore Identity genera un URL di autorizzazione e un URI di sessione a cui l'utente può accedere e consentire l'accesso.

Autorizza e ottieni il token di accesso: l'utente accede all'URL di autorizzazione e concede il consenso all'agente per accedere alla risorsa. his/her Successivamente, AgentCore Identity reindirizza il browser dell'utente all'endpoint dell'applicazione HTTPS con le informazioni contenenti l'utente di origine della richiesta di autorizzazione. A questo punto, l'endpoint dell'applicazione HTTPS determina se l'utente dell'agente di origine è ancora lo stesso dell'utente attualmente connesso all'applicazione. Se corrispondono, l'endpoint dell'applicazione viene richiamato in CompleteResourceTokenAuth modo che AgentCore Identity possa recuperare e archiviare il token di accesso.

Re-invoke agente per ottenere il token di accesso: una volta che l'applicazione restituisce una risposta valida, l'applicazione agente sarà in grado di recuperare i token di OAuth2.0 accesso originariamente richiesti per l'utente. Se gli utenti non corrispondono, l'applicazione semplicemente non fa nulla o registra il tentativo.

Crea un URL per l'applicazione browser rivolta all'utente, crea e ospita un nuovo URL accessibile dal browser utente e in grado di accettare richieste provenienti dai reindirizzamenti del browser. Questa pagina dovrebbe reindirizzare a una pagina dell'applicazione in cui l'utente può continuare con la sessione dell'agente OPPURE visualizzare una pagina Web di base che indichi agli utenti di restituire la sessione agente attualmente attiva. Nelle fasi successive dell'implementazione, questa pagina viene utilizzata per la convalida della sessione attiva dell'utente corrente, quindi dovrebbe anche essere in grado di accedere e gestire i dati della sessione utente dell'applicazione.

Ad esempio, è possibile che gli utenti dell'applicazione interagiscano con un agente in una pagina principale dell'applicazione, ad esempiohttps://myagentapp.com/assistant. Ti consigliamo di esporre un nuovo URL come https://myagentapp.com/callback quello, per ora verrà reindirizzato alla pagina principale dell'applicazione. L'effettiva logica del codice nel tuo /callback endpoint verrà aggiornata in seguito, seguendo questa guida.

Aggiorna l'identità del carico di lavoro con l'URL dell'applicazione: (può essere ignorato se il test viene eseguito localmente tramite AgentCore CLI) Dopo aver creato e ospitato un URL dell'applicazione a cui reindirizzare AgentCore Identity, aggiorna l'identità del carico di lavoro in modo che l'URL dell'applicazione sia registrato come. AllowedResourceOauth2ReturnUrl Assicurati che le credenziali IAM utilizzate dispongano delle autorizzazioni per la chiamata CreateWorkloadIdentity o a UpdateWorkloadIdentity seconda che tu stia creando una nuova identità per il carico di lavoro o aggiornandone una esistente.

Esempio di chiamata APIUpdateWorkloadIdentity:

aws bedrock-agentcore-control update-workload-identity --name GoogleCalendarAgent \
--allowed-resource-oauth2-return-urls https://myagentapp.com/callback

Crea un provider di credenziali OAuth 2.0 in AgentCore Identity: per registrare completamente il provider di credenziali OAuth 2.0, sono necessarie le autorizzazioni per chiamare e. CreateOauth2CredentialProvider UpdateOauth2CredentialProvider Completare la procedura riportata di seguito.

Aggiungi un gestore di codice per le chiamate CompleteResourceTokenAuth: dopo aver creato il provider di credenziali OAuth 2.0, aggiungi il codice e le autorizzazioni IAM per chiamare l'API nel gestore degli URL dell'applicazione. CompleteResourceTokenAuth Quando si chiama l'CompleteResourceTokenAuthAPI, l'applicazione deve presentare il token o la user_id stringa OAuth originale del provider di identità in entrata utilizzato per generare il token di accesso al carico di lavoro per rappresentare l'utente e l'applicazione agente coinvolti nel flusso di autorizzazione OAuth 2.0. Queste informazioni devono essere recuperate dalla sessione attiva dell'applicazione sul browser dell'utente (in genere tramite un cookie del browser o nella memoria locale del browser) e NON devono essere estratte dalla cache della sessione remota.

Inoltre, ogni URL di autorizzazione generato da AgentCore Identity viene identificato in modo univoco con il proprio URI di sessione. Questo URI di sessione deve inoltre essere presentato insieme all'identificatore utente per associare la sessione all'utente previsto.

Codice applicativo di esempio:

def _handle_3lo_callback(self, request: Request) -> JSONResponse:
    session_id = request.query_params.get("session_id")

    if not session_id:
        console.print("Missing session_id in OAuth2 3LO callback")
        return JSONResponse(status_code=400, content={"message": "missing session_id query parameter"})

    session_details = validate_session_cookies(request.cookies.get('my-application-cookie'))

    user_id = None
    if oauth2_config:
        user_id = session_details.get(USER_ID)

    if not user_id:
        console.print(f"Missing {USER_ID} in session_details")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    console.print(f"Handling 3LO callback for workload_user_id={user_id} | session_id={session_id}", soft_wrap=True)

    region = agent_config.aws.region
    if not region:
        console.print("AWS Region not configured")
        return JSONResponse(status_code=500, content={"message": "Internal Server Error"})

    identity_client = IdentityClient(region)
    identity_client.complete_resource_token_auth(
        session_uri=session_id, user_identifier=UserIdIdentifier(user_id=user_id)
    )

    return JSONResponse(status_code=200, content={"message": "OAuth2 3LO flow completed successfully"})

Test: una volta completata la configurazione, sei pronto per testare l'integrazione. Inizia chiamando GetResourceOauth2Token e nel tuo browser vai all'URL di autorizzazione che viene restituito. Dopo aver completato l'autorizzazione presso il provider di risorse OAuth 2.0, dovresti vedere il browser reindirizzare nuovamente all'URL dell'applicazione e richiamare l'API. CompleteResourceTokenAuth Una volta che l'applicazione restituisce una risposta valida, l'applicazione agente sarà in grado di recuperare i token di accesso OAuth 2.0 originariamente richiesti per l'utente. Questi token possono essere recuperati chiamando l'API. GetResourceOauth2Token