Okta

Okta는 AgentCore Gateway 및 런타임에 액세스하기 위한 자격 증명 공급자 또는 아웃바운드 리소스 액세스를 위한 AgentCore 자격 증명 공급자로 구성할 수 있습니다. 이렇게 하면 에이전트가 Okta를 자격 증명 공급자 및 권한 부여 서버로 사용하여 에이전트 사용자를 인증하고 권한을 부여하거나 에이전트가 Okta에서 승인한 리소스에 액세스하기 위한 자격 증명을 얻을 수 있습니다.

인바운드

AgentCore Gateway 및 런타임에 액세스하기 위한 자격 증명 공급자 및 권한 부여 서버로 Okta를 추가하려면 다음을 수행해야 합니다.

인바운드 인증을 위해 Okta를 구성하려면

자세한 내용은 Okta 설명서를 참조하세요.

액세스 토큰 클레임에 client_id 클레임 추가

Okta는 기본적으로 토큰에 표준 클레임client_id으로를 포함하지 않습니다. 토큰에 클레임을 채우려면 토큰을 발급하는 데 사용하는 권한 부여 서버를 통해 클레임을 사용자 지정해야 합니다.

액세스 토큰에 client_id 클레임을 추가하려면

자세한 내용은 Okta 설명서를 참조하세요.

아웃바운드

1단계: Okta OIDC 애플리케이션 생성

인바운드 섹션의 절차에 따라 Okta OIDC 애플리케이션 및 권한 부여 서버를 생성합니다. 애플리케이션 설정에서 로그인 리디렉션 URIs를 입력하라는 메시지가 표시되면 지금은 필드를 비워 둡니다. 3단계에서 고유한 콜백 URL을 추가합니다.

2단계: AgentCore 자격 증명 공급자 생성

AgentCore 자격 증명에서 Okta를 아웃바운드 리소스 공급자로 구성하려면 다음을 사용합니다.

{
  "name": "Okta",
  "credentialProviderVendor": "OktaOauth2",
  "oauth2ProviderConfigInput" : {
    "includedOauth2ProviderConfig": {
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "authorizationEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/authorize",
      "tokenEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/token",
      "issuer": "https://your-tenant.okta.com/oauth2/your-authorization-server"
    }
  }
}

Okta OAuth 2.0 토큰 교환on-behalf-of 사용하려면 고급 구성에 사용자 지정 공급자를 사용합니다. 자세한 내용은 AgentCore 자격 증명과의 토큰 교환On-behalf-of 섹션을 참조하세요.

{
  "name": "Okta",
  "credentialProviderVendor": "CustomOauth2",
  "oauth2ProviderConfigInput": {
    "customOauth2ProviderConfig": {
      "clientAuthenticationMethod": "CLIENT_SECRET_BASIC",
      "clientId": "your-client-id",
      "clientSecret": "your-client-secret",
      "oauthDiscovery": {
        "authorizationServerMetadata": {
          "authorizationEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/authorize",
          "tokenEndpoint": "https://your-tenant.okta.com/oauth2/your-authorization-server/v1/token",
          "issuer": "https://your-tenant.okta.com/oauth2/your-authorization-server"
        }
      },
      "onBehalfOfTokenExchangeConfig": {
        "grantType": "TOKEN_EXCHANGE",
        "tokenExchangeGrantTypeConfig": {
          "actorTokenContent": "NONE"
        }
      }
    }
  }
}

CreateOauth2CredentialProvider 응답에는 callbackUrl 필드가 포함됩니다. 이 URL은이 자격 증명 공급자에 고유하며 다음과 같습니다https://bedrock-agentcore.us-east-1.amazonaws.com/identities/oauth2/callback/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX. 다음 단계를 위해이 값을 저장합니다.

3단계: Okta에 고유한 콜백 URL 등록

Okta 개발자 콘솔로 돌아가서 애플리케이션의 로그인 리디렉션 URIs에 고유한 콜백 URL을 추가합니다.