なんとなくの実装を抜け出す！ 10分でおさらいするAgentCoreの認証・認可

JAWS-UG 福井 #1 リブート宣言LT会
https://jawsug-fukui.connpass.com/event/375652/

Transcript

1. なんとなくの実装を抜け出す！ 10分でおさらいするAgentCoreの認証・認可 八雲 慎之助/Shinnosuke Yakumo 2025/1/17 JAWS-UG 福井#1
2. 本セッションの内容 Amazon Bedrock AgentCore とは 「認証」「認可」について AgentCoreにおける認証・認可 基本的な実装と認証フローを例に解説
3. 本セッションの内容 Amazon Bedrock AgentCore とは 「認証」「認可」について AgentCoreにおける認証・認可 基本的な実装と認証フローを例に解説
4. 本セッションの内容 Amazon Bedrock AgentCore とは 「認証」「認可」について AgentCoreにおける認証・認可 基本的な実装と認証フローを例に解説 なんとなく→中身を理解しながら実装できる
5. 八雲 慎之助（やくも しんのすけ） 年次：2年目 選出：2025 Japan AWS Jr.Champions コミュニティ：JAWS-UG 新潟支部 運営 好きなサービス：Amazon Neptune, Amazon Bedrock AgentCore Who am I @yakumo_09 @yakumo_0905
6. Amazon Bedrock AgentCoreについて
7. エージェントを運用する上で 必要な機能を一通り備えています
8. AgentCoreの機能群 ランタイム アイデンティティ オブザーバビリティ ポリシー ゲートウェイ メモリー 評価
9. AgentCoreの機能群 ランタイム アイデンティティ オブザーバビリティ ポリシー ゲートウェイ メモリー 評価
10. AgentCore Identity – 認証・認可を一元的に管理
11. 認証・認可について 認証：Identity ・who ・あんた誰？ ・アクセストークン持ってる？ 認可：Authorization ・can ・なにをしていいのか ・ツールの使用、エージェントの呼び出し
12. 認証・認可について 認証：Identity ・あんた誰？ ・アクセストークン持ってる？ 認可：Authorization ・なにをしていいのか ・ツールの使用、エージェントの呼び出し
13. 認証・認可について 認証：Identity ・あんた誰？ ・アクセストークン持ってる？ 認可：Authorization ・なにをしていいのか ・ツールの使用、エージェントの呼び出し
14. AgentCore Identity – 認証・認可を一元的に管理 •Inbound Auth エージェントを「呼び出す時」の認証 誰がエージェントにアクセスできるか •Outbound Auth エージェントが「外部ツールを呼び出す」ための認証 APIキーなどの認証情報を管理
15. AgentCore Identity – 認証・認可を一元的に管理 Identity Runtime Cognito Runtime Identity リクエスト トークン確認 リクエスト実施 Outbound Auth Inbound Auth 外部サービス利用 Cognito Secrets Manager
16. AgentCore Identity – 認証・認可を一元的に管理 Identity Runtime Cognito Runtime Identity リクエスト トークン確認 リクエスト実施 Outbound Auth Inbound Auth 外部サービス利用 Cognito Secrets Manager
17. AgentCore Identity – 認証・認可を一元的に管理 Identity Runtime Cognito Runtime Identity リクエスト トークン確認 リクエスト実施 Outbound Auth Inbound Auth 外部サービス利用 Cognito Secrets Manager
18. AgentCore Identity – Inbound Auth Identity Runtime Cognito リクエスト トークン検証 リクエスト実施 トークン取得 Runtimeなどに対する認証 IAMやJWT認証も可能（Runtimeの認証なしは不可）
19. AgentCore Identity – Inbound Auth Runtime リクエスト実施 Runtimeなどに対する認証 IAMやJWT認証も可能（Runtimeの認証なしは不可） Identity Cognito リクエスト トークン検証 トークン取得
20. AgentCore Identity – Outbound Auth Identity Runtime Cognito リクエスト トークン検証、取得 Gatewayに接続 エージェント→外部サービスのための認証 APIキーや認証情報をSecrets Managerから取得する ※Gatewayに接続する例 Gateway Secrets Manager
21. AgentCore Identity – Outbound Auth Identity Runtime Cognito リクエスト トークン検証、取得 Gatewayに接続 エージェント→外部サービスのための認証 APIキーや認証情報をSecrets Managerから取得する ※Gatewayに接続する例 Gateway Secrets Manager
22. AgentCore Identity – Outbound Auth Identity Runtime Cognito リクエスト トークン検証、取得 Gatewayに接続 エージェント→外部サービスのための認証 APIキーや認証情報をSecrets Managerから取得する ※Gatewayに接続する例 Gateway Secrets Manager
23. AgentCore Identity – Outbound Auth Identity Runtime Cognito リクエスト トークン検証、取得 Gatewayに接続 エージェント→外部サービスのための認証 APIキーや認証情報をSecrets Managerから取得する ※Gatewayに接続する例 Gateway Secrets Manager
24. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得(Workload Access Token + etc..) Token Vaultに保存
25. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得(Workload Access Token + etc..) Token Vaultに保存 エージェントがAgentCore内のサー ビスにアクセスするための署名
26. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得(Workload Access Token + etc..) Token Vaultに保存 エージェントがAgentCore内のサー ビスにアクセスするための署名
27. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得(Workload Access Token + etc..) Token Vaultに保存 外部サービスのトークンやAPIキーを 保存する金庫
28. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得(Workload Access Token + etc..) Token Vaultに保存
29. ここでやっていること（フローの全体像抜粋） Identity Runtime Cognito Workload Access Tokenの取得 外部用のトークン取得 Token Vaultに保存
30. 全体像（インバウンド認証→Gatewayからツール呼び出し） Identity Runtime Cognito リクエスト トークン検証 リクエスト実施 トークン取得 Identity Cognito リクエスト トークン検証、取得 Gatewayに接続 Gateway Secrets Manager ツール実行
31. 全体像（インバウンド認証→Gatewayからツール呼び出し） Identity Runtime Cognito リクエスト トークン検証 リクエスト実施 トークン取得 Identity Cognito リクエスト トークン検証、取得 Gatewayに接続 Gateway Secrets Manager ツール実行 Inbound Auth
32. 全体像（インバウンド認証→Gatewayからツール呼び出し） Identity Runtime Cognito リクエスト トークン検証 リクエスト実施 トークン取得 Identity Cognito リクエスト トークン検証、取得 Gatewayに接続 Gateway Secrets Manager ツール実行 Outbound Auth
33. 全体像（インバウンド認証→Gatewayからツール呼び出し） Identity Runtime Cognito リクエスト トークン検証 リクエスト実施 トークン取得 Identity Cognito リクエスト トークン検証、取得 Gatewayに接続 Gateway Secrets Manager ツール実行 Outbound Auth
34. • AgentCore IdentityとGatewayについて • Identityの中身の仕組み • Workload Access Token や Token Vaultなど • 裏側の仕組みを理解すると実装時の解像度上がりますよ〜 まとめ
35. • https://dev.classmethod.jp/articles/amazon-bedrock- agentcore-identity-cognito-azure-openai/ • https://docs.aws.amazon.com/bedrock- agentcore/latest/devguide/identity.html • https://qiita.com/yakumo_09/items/a091b38d23cd16 bdbf1c 参考