Implementar autorização em defesa em profundidade para ferramentas MCP no Amazon Quick
aws ·
O blog da AWS explica como implementar uma autorização em defesa em profundidade para cada invocação de ferramenta MCP no Amazon Quick, além de validar um token de acesso. O projeto usa um interceptor Lambda REQUEST anexado a um Amazon Bedrock AgentCore Gateway existente para avaliar as declarações JWT do OIDC por meio da aplicação de MFA, da delimitação geográfica opcional por país, da autorização de funções baseada em grupos e de verificações de permissão no nível da ferramenta. O Microsoft Entra ID fornece a configuração de identidade, incluindo aplicativos de recurso e cliente, declarações de token, grupos de segurança e uma política de Acesso Condicional que exige MFA. O RBAC baseado em grupos e as permissões das ferramentas formam os controles principais, enquanto a verificação da declaração de MFA e a restrição por país podem ser habilitadas de acordo com as necessidades de conformidade. No exemplo fictício do registro de riscos da AnyCompany, os leitores podem consultar dados, os autores podem realizar mutações e os administradores recebem acesso operacional mais amplo; verificações malsucedidas retornam 403 antes que a ferramenta ou seus dados sejam acessados. As funções das ferramentas também verificam novamente as permissões, e mutações bem-sucedidas criam registros de auditoria imutáveis, enquanto o tutorial aborda a conexão do Amazon Quick, o teste com diferentes personas de usuário e a solução de problemas comuns de configuração.
aws