官方來源· AWS Artificial Intelligence· AI· 發布於 2026年11月6日

AWS 示範以 Okta Cross App Access 管理 AI 代理的使用者授權

AWS 的 Part 1 技術指南示範如何結合 Okta Cross App Access 與 Amazon Bedrock AgentCore，讓代理代表已登入使用者行動，並透過逐次政策檢查與短效權杖控管權限。測試顯示，撤銷使用者指派後，Okta 約一秒內拒絕新請求；指南也明確說明範例並非可直接部署的完整方案。

完整報導

AWS 於 2026 年 11 月 6 日發布這份兩篇系列的 Part 1，示範以 Amazon Bedrock AgentCore 建置任務代理，透過 Okta Cross App Access 與 AgentCore Identity 代表已登入使用者存取資源。Okta Cross App Access 會在代理每次提出行動請求時評估政策；Okta 的技術文件也將這類流程描述為驗證 ID-JAG，再換取短效、具範圍限制的存取權杖。

在 AWS 描述的架構中，AgentCore runtime 先驗證 Okta 授予的權限，AgentCore Identity 再兌換存取權杖並將權杖保存在 token vault。AWS 表示，測試中移除使用者指派後，Okta 約一秒內便拒絕該使用者的新請求；已簽發的權杖則會在五分鐘內到期。ID-JAG 為一次性使用，也在五分鐘後到期；兌換所得的 Okta 存取權杖同樣有效五分鐘，並帶有使用者與代理身分及使用者群組資訊。

AWS 的測試中，AgentCore Identity 為一筆端到端約 30 秒的請求增加約 0.6 秒。另在 10 次請求測試中，針對另一個 MCP server 再查詢 token vault，無須再次兌換一次性 ID-JAG，即以 58 毫秒的中位時間取得同一權杖。範例的工具授權測試則要求使用者同時具備所需群組成員資格與 xaa:write scope，才允許寫入。

指南估計完成操作約需一小時，並指出 AgentCore 按使用量收費；前置條件包括可使用 AgentCore 的 AWS 帳戶、位於 US West (Oregon) 的 Anthropic Claude 模型，以及啟用 Cross App Access 和 API Access Management 的 Okta org。AWS 說明此方案以 AWS sample 08-okta-xaa-delegation-chain 範例為基礎，但文章中的程式片段與設定屬概念示範，並非完整可部署方案，程式碼也僅供非正式環境使用。系列 Part 2 則延伸至 AgentCore Gateway、Cedar 政策、Amazon EKS 上的第二個代理，以及 Amazon CloudWatch 稽核軌跡。

為什麼值得注意

這份指南把代理代表使用者存取資源時的授權與權杖處理具體化，並提供撤銷反應、權杖期限與延遲測試數據。對評估是否將此模式用於正式環境的團隊而言，AWS 對範例完整性及非正式環境用途的限制同樣關鍵。

來源證據

先看主要證據，再查看佐證來源與來源脈絡。

1 則

主要證據

官方AWS Artificial Intelligence文件2026/11/6原始來源
Govern AI agent access with Okta Cross App Access and Amazon Bedrock AgentCore – Part 1
Hammad Ausaf
“An AI agent that acts for a user raises an identity question that per-app OAuth and service accounts leave open: which agent may act for which user, and how you stop it. In this first post of two, you build a task agent on Amazon Bedrock AgentCore that governs access through Okta Cross App Access and AgentCore Identity, and enforces each user's authority.”

官方原始聲明

查看官方原始來源

返回 Live Feed 探索更多情報