翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ポリシーセッションと ID の伝播

一時ポリシーを使用すると、現在のリクエストだけでなく、セッション内で発生した過去のイベントに基づいてルールを定義できます。次のような制約を適用できます。

ポリシーセッションは、複数の Gateway 呼び出しを 1 つの論理セッションにグループ化します。セッションは、時間ポリシールールが評価される境界です。

仕組み

ポリシーセッション ID を渡す

Gateway へのリクエストに x-amzn-bedrock-agentcore-policy-session-idヘッダーを含めます。セッション ID を生成し、最初のリクエストから始めて、すべてのリクエストで送信する必要があります。Gateway は、ユーザーに代わってセッション ID を生成しません。値はセッションを識別する文字列であり、UUIDv4 をお勧めします。同じセッション内のすべてのリクエストで同じ ID を送信します。

ヘッダーを省略するか、空の値を送信した場合、ゲートウェイはセッションを確立しません。関連付けられたポリシーエンジンに一時ポリシーが含まれている場合、セッション ID のないリクエストは検証エラーで失敗します。

受け入れられる形式とゲートウェイによる検証方法については、「ヘッダーの検証とランタイム以外のデプロイ」を参照してください。

最初のリクエスト (セッションを作成します):

curl -X POST \
  https://mygateway-abcdefghij.gateway.bedrock-agentcore.us-west-2.amazonaws.com/mcp \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  -H "x-amzn-bedrock-agentcore-policy-session-id: 12345678-1234-1234-1234-123456789012" \
  -d '{
    "jsonrpc": "2.0",
    "id": 1,
    "method": "tools/call",
    "params": {
      "name": "PaymentTool___transfer_funds",
      "arguments": {
        "amount": 500,
        "recipient": "account-789"
      }
    }
  }'

後続のリクエスト (セッションを続行):

curl -X POST \
  https://mygateway-abcdefghij.gateway.bedrock-agentcore.us-west-2.amazonaws.com/mcp \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  -H "x-amzn-bedrock-agentcore-policy-session-id: 12345678-1234-1234-1234-123456789012" \
  -d '{
    "jsonrpc": "2.0",
    "id": 2,
    "method": "tools/call",
    "params": {
      "name": "PaymentTool___transfer_funds",
      "arguments": {
        "amount": 600,
        "recipient": "account-456"
      }
    }
  }'

一時ポリシーで各セッションが 1 回の転送に制限されている場合、前の例に示す 2 番目のリクエストは拒否されます。

Python の例

import requests
import uuid

GATEWAY_URL = "https://mygateway-abcdefghij.gateway.bedrock-agentcore.us-west-2.amazonaws.com/mcp"
ACCESS_TOKEN = "YOUR_ACCESS_TOKEN"

# Generate or reuse a session ID for the conversation
session_id = str(uuid.uuid4())  # for example, "12345678-1234-1234-1234-123456789012"

def call_tool(tool_name, arguments, session_id):
    headers = {
        "Content-Type": "application/json",
        "Authorization": f"Bearer {ACCESS_TOKEN}",
        "x-amzn-bedrock-agentcore-policy-session-id": session_id
    }

    payload = {
        "jsonrpc": "2.0",
        "id": "request-1",
        "method": "tools/call",
        "params": {
            "name": tool_name,
            "arguments": arguments
        }
    }

    response = requests.post(GATEWAY_URL, headers=headers, json=payload)
    return response.json()


# First call - allowed
result1 = call_tool(
    "PaymentTool___transfer_funds",
    {"amount": 500, "recipient": "account-789"},
    session_id
)
print(result1)  # Success

# Second call in same session - may be denied by temporal policy
result2 = call_tool(
    "PaymentTool___transfer_funds",
    {"amount": 600, "recipient": "account-456"},
    session_id
)
print(result2)  # Denied if rate-limit policy applies

セッションライフサイクル

マルチホップシナリオでの ID の伝播

エージェントアーキテクチャでは、多くの場合、リクエストは複数の AgentCore プリミティブを経由します。

User -> Gateway1 -> Runtime (agent) -> Gateway1 (tool call) -> Target

これらのホップ間で時間ポリシーを機能させるには、セッション ID を保持する必要があります。AgentCore は、ワークロードアイデンティティチェーン (WIC) を使用してこれを自動的に処理します。

これが意味すること:

End-to-endのフロー:

User            Gateway1            Runtime            Gateway1            Target
 |  POST /mcp      |                   |                   |                  |
 |  + session-id X |                   |                   |                  |
 |  + Authorization|                   |                   |                  |
 |---------------->|                   |                   |                  |
 |                 | mint WAT1         |                   |                  |
 |                 | (sid=X, cpn=user) |                   |                  |
 |                 |  forward + WAT1   |                   |                  |
 |                 |------------------>|                   |                  |
 |                 |                   |exchange WAT1->WAT2|                  |
 |                 |                   | (sid=X preserved) |                  |
 |                 |                   | tool call + WAT2  |                  |
 |                 |                   |------------------>|                  |
 |                 |                   |                   | evaluate temporal|
 |                 |                   |                   | policy, session X|
 |                 |                   |                   |  forward         |
 |                 |                   |                   |----------------->|

重要な考慮事項

SDKs

Gateway リクエストでカスタムヘッダーをサポートする任意のクライアントを介してポリシーセッション ID を渡すことができます。次の例は、MCP Python SDK および Strands エージェントを使用するときにこれを含める方法を示しています。

同じ論理セッション内のすべての呼び出しで同じセッション ID 値を使用します。新しい会話が開始されたら、新しいセッション ID を生成します。

MCP クライアント (Python SDK):

ストリーミング可能な HTTP トランスポートで MCP Python SDK を使用する場合は、接続ヘッダーにセッション ID を含めます。

from mcp import ClientSession
from mcp.client.streamable_http import streamablehttp_client
import asyncio

SESSION_ID = "12345678-1234-1234-1234-123456789012"

async def call_with_session(gateway_url, token, tool_name, arguments):
    headers = {
        "Authorization": f"Bearer {token}",
        "x-amzn-bedrock-agentcore-policy-session-id": SESSION_ID
    }

    async with streamablehttp_client(url=gateway_url, headers=headers) as (read, write, _):
        async with ClientSession(read, write) as session:
            await session.initialize()
            result = await session.call_tool(name=tool_name, arguments=arguments)
            return result

result = asyncio.run(call_with_session(
    "https://mygateway-abcdefghij.gateway.bedrock-agentcore.us-west-2.amazonaws.com/mcp",
    "YOUR_TOKEN",
    "PaymentTool___transfer_funds",
    {"amount": 500, "recipient": "account-789"}
))

ストランドエージェント:

AgentCore Gateway をツールソースとして Strands Agents を使用する場合は、MCP クライアントトランスポートヘッダーでセッション ID を渡します。セッション中にエージェントが行うすべてのツール呼び出しは同じセッションを持ち、一時ポリシーは完全な履歴を評価します。

from strands.tools.mcp.mcp_client import MCPClient
from mcp.client.streamable_http import streamablehttp_client

SESSION_ID = "12345678-1234-1234-1234-123456789012"

def create_transport(mcp_url, access_token):
    return streamablehttp_client(
        mcp_url,
        headers={
            "Authorization": f"Bearer {access_token}",
            "x-amzn-bedrock-agentcore-policy-session-id": SESSION_ID
        }
    )

mcp_client = MCPClient(lambda: create_transport(gateway_url, token))
with mcp_client:
    result = mcp_client.call_tool_sync(
        tool_use_id="tool-1",
        name="PaymentTool___transfer_funds",
        arguments={"amount": 500, "recipient": "account-789"}
    )

実際のお客様のユースケース

次のシナリオは、一時的なポリシーがエージェントアプリケーションの一般的なセキュリティとコンプライアンスの課題にどのように対処するかを示しています。

金融サービス — 転送レート制限

fintech アプリケーションを使用すると、エンドユーザーは会話エージェントを介して銀行送金を開始できます。一時的なポリシーがない場合、侵害されたエージェントまたはループエージェントは 1 つのセッションで無制限の転送を実行できます。セッション範囲のレート制限では、ゲートウェイはセッションあたりの転送の最大数を適用します。

User: "Transfer $500 to Alice"      -> Allowed (1 of 3)
User: "Transfer $200 to Bob"        -> Allowed (2 of 3)
User: "Transfer $1000 to Charlie"   -> Allowed (3 of 3)
User: "Transfer $50 to Dave"        -> DENIED by temporal policy

各ユーザーセッションは、独自のセッション ID を使用します。新しいセッション ID は新しい評価境界を作成するため、レート制限は新しいセッションの開始時にリセットされます。

ヘルスケア — エスカレーションコントロール

ヘルスケアエージェントは患者レコードにアクセスし、外部通知システムにメッセージを送信することもできます。一時ポリシーでは、患者データにアクセスすると、セッションの残りの期間、外部 API コールは許可されません。これにより、エージェントのプロンプトがセッション中に操作された場合でも、データの流出を防ぐことができます。

Agent: calls PatientRecords___read_chart      -> Allowed
Agent: calls ExternalAPI___send_notification  -> DENIED (sensitive data was accessed in this session)

制約はツール自体にはありません。患者データにアクセスしないセッションでは許可send_notificationされます。このポリシーは、この特定のセッションの前半で何が起こったかを考慮します。

DevOps — シーケンスの制約

デプロイエージェントは必須シーケンスに従う必要があります。デプロイを続行する前にテストに合格する必要があります。一時ポリシーは、同じセッションで が呼び出RunTestsされた後にのみ呼び出Deployせる を適用します。

Agent: calls Deploy___to_production   -> DENIED (RunTests not yet called in this session)
Agent: calls RunTests___execute       -> Allowed
Agent: calls Deploy___to_production   -> Allowed (RunTests was called earlier in this session)

これにより、エージェントのプロンプトや制御するオーケストレーションフレームワークに関係なく、デプロイシーケンスが保証されます。

マルチテナント SaaS — ユーザーごとの予算の適用

SaaS プラットフォームは、共有アプリケーション認証情報 (CUSTOM_JWTOn-Behalf-Of (OBO) フローによるユーザーごとのsubクレームを含む) の背後にある複数のエンドユーザーの AI エージェントをホストします。各ユーザーのセッションは、一意のセッション ID を受け取ります。Gateway はセッション ID と認証されたプリンシパルの両方にセッションをバインドするため、異なるユーザーのセッションは自動的に分離されます。一時ポリシーは、「セッションあたりのツール呼び出しで最大 100 USD」を適用します。これは、すべてのトラフィックが同じアプリケーション認証情報を介して到着した場合でも、ユーザーごとに個別に評価されます。

セッションスコープの選択: 広範なセッションと狭いセッション

指定するセッション ID によって、一時ポリシーの評価境界が決まります。適切なスコープを選択すると、セキュリティと使いやすさの両方に影響します。

ガイダンス:

ヘッダー検証と非ランタイムデプロイ

Gateway がセッション ID を検証する方法

Gateway は x-amzn-bedrock-agentcore-policy-session-idヘッダーを受け取ると、次の検証を実行します。

Gateway を直接呼び出す場合 (AgentCore ランタイムなし)

アプリケーションがゲートウェイ URL への HTTP リクエストを行うバックエンドサービスなど、ゲートウェイエンドポイントを直接呼び出す場合、セッション ID は自分で管理します。

追加の設定、アクセス許可、または API コールは必要ありません。Gateway は、初回使用時にセッションを作成し、24 時間の非アクティブ後にセッションを期限切れにします。

リクエストが AgentCore ランタイムを経由する場合

呼び出しが User → Gateway → Runtime (エージェント) → Gateway (ツール呼び出し) パスを通過する場合、最初のリクエストでセッション ID を最初の Gateway に渡すだけで済みます。プラットフォームは、セッション ID をワークロードアクセストークン (WAT) 内に埋め込み、すべてのダウンストリームホップを通じて自動的に伝達します。エージェントコードは、セッション ID を読み取り、保存、または転送する必要はありません。受信側ゲートウェイに透過的に到着します。

ワークロードアクセストークン (WAT) について

ワークロードアクセストークンは AWS、AgentCore サービス間で流れるリクエストの ID コンテキストを保持する署名付き不透明トークンです。一時ポリシーがアクティブな場合、WAT には以下が含まれます。

WAT は、有効期間が短く (15 分の TTL)、AgentCore Identity サービスによって暗号的に署名され、すべての参加者に不透明です。発信者や仲介者による偽造、改ざん、デコードはできません。

WAT と直接やり取りすることはありません。これは内部X-Amz-Bedrock-AgentCore-Identity-WATヘッダーで実行され、プラットフォームによって完全に管理されます。この説明は、ホップ間のセッション継続性がどのように機能するかを理解するために提供されています。WAT に関するアクションを実行する必要はありません。

ワークロードアイデンティティとアクセストークンの詳細については、「ワークロードアクセストークンの取得」および「ワークロードアイデンティティについて」を参照してください。