Реализация эшелонированной авторизации для инструментов MCP в Amazon Quick
aws ·
В блоге AWS объясняется, как реализовать многоуровневую авторизацию для каждого вызова инструмента MCP в Amazon Quick в дополнение к проверке токена доступа. В рамках решения используется перехватчик Lambda REQUEST, подключенный к существующему шлюзу Amazon Bedrock AgentCore Gateway, который оценивает утверждения OIDC JWT с помощью обязательной проверки MFA, необязательного географического ограничения по стране, авторизации ролей на основе групп и проверок разрешений на уровне инструментов. Microsoft Entra ID предоставляет конфигурацию идентификации, включая приложения ресурса и клиента, утверждения токенов, группы безопасности и политику условного доступа, требующую MFA. RBAC на основе групп и разрешения инструментов образуют основные средства контроля, тогда как проверку утверждения MFA и ограничение по стране можно включать в зависимости от требований комплаенса. В вымышленном примере реестра рисков AnyCompany читатели могут запрашивать данные, авторы — выполнять операции изменения, а администраторы получают более широкий операционный доступ; при неудачной проверке возвращается ошибка 403, прежде чем будет достигнут инструмент или его данные. Функции инструментов также повторно проверяют разрешения, а успешные операции изменения создают неизменяемые записи аудита. В пошаговом руководстве также рассматриваются подключение Amazon Quick, тестирование разных пользовательских ролей и устранение распространенных проблем с конфигурацией.
aws