Implementare un’autorizzazione a difesa stratificata per gli strumenti MCP su Amazon Quick
aws ·
Il blog di AWS spiega come implementare un’autorizzazione multilivello per ogni invocazione degli strumenti MCP in Amazon Quick, oltre alla convalida di un token di accesso. Il progetto utilizza un intercettore Lambda REQUEST collegato a un Gateway Amazon Bedrock AgentCore esistente per valutare le attestazioni JWT OIDC tramite l’imposizione dell’autenticazione a più fattori (MFA), il geofencing geografico opzionale per paese, l’autorizzazione dei ruoli basata sui gruppi e i controlli delle autorizzazioni a livello di strumento. Microsoft Entra ID fornisce la configurazione dell’identità, incluse le applicazioni di risorsa e client, le attestazioni dei token, i gruppi di sicurezza e una policy di accesso condizionale che richiede l’MFA. L’RBAC basato sui gruppi e le autorizzazioni degli strumenti costituiscono i controlli principali, mentre il controllo dell’attestazione MFA e la limitazione per paese possono essere abilitati in base alle esigenze di conformità. Nell’esempio fittizio del registro dei rischi di AnyCompany, i lettori possono consultare i dati, gli autori possono eseguire modifiche e gli amministratori ricevono un accesso operativo più ampio; i controlli non superati restituiscono un errore 403 prima che venga raggiunto lo strumento o i suoi dati. Le funzioni degli strumenti verificano nuovamente le autorizzazioni e le modifiche completate con successo generano record di audit immutabili, mentre la procedura illustra il collegamento ad Amazon Quick, il test con diverse identità utente e la risoluzione dei problemi di configurazione più comuni.
aws