Amazon Bedrock AgentCore 推出授权门户，统一管理 AI 智能体的 OAuth 用户授权

AI 智能体在代表用户操作 GitHub 或 Slack 等服务时，必须先完成用户认证并获得明确授权，随后将 OAuth 授权结果与发起授权的用户安全绑定，这一过程称为会话绑定。过去，AgentCore Identity 的三方 OAuth 流程要求客户自行构建整套会话绑定基础设施，涵盖展示授权 URL、托管公开 HTTPS 回调、认证返回用户、管理浏览器会话，以及调用 CompleteResourceTokenAuth 接口完成流程，开发成本较高。

新推出的授权门户将上述复杂流程封装为一套托管式 Web 体验。管理员在 AgentCore Gateway 下创建门户后，只需将门户 URL 分发给团队成员。用户打开链接，通过企业身份提供商（IdP）登录，即可查看智能体可访问的服务列表，并对 GitHub、Slack 等提供商逐一授权。门户在后台自动完成浏览器重定向与会话绑定，授权令牌则安全写入 AgentCore Identity 的令牌保险库，整个过程对用户透明。

以一家名为 Example Corp 的企业为例：该公司通过 AgentCore Gateway 为开发者提供 AI 编程助手，助手配置了两个目标——GitHub（可列出仓库、创建 Issue）和 Slack（可列出公开频道、发送消息）。企业使用自有 IdP 对员工进行身份认证，管理员希望每个 GitHub 和 Slack 的 OAuth 授权都与批准该授权的员工账号绑定。开发者可独立连接任意一个服务提供商，完成后直接返回 IDE，无需重复授权提示。

在配置层面，管理员需完成以下关键步骤：在企业 IdP 中创建 OIDC Web 应用并获取客户端 ID 与密钥；在 AgentCore Identity 控制台创建对应的 OAuth2 凭证提供商；为 GitHub 和 Slack 分别配置出站网关目标；创建执行角色并附加所需 IAM 权限；最终创建授权门户并将回调 URL 注册回各服务提供商应用。整个配置流程可通过 AWS 管理控制台完成，无需编写额外代码。

授权门户同样与 AWS CloudTrail 深度集成，管理员可在 CloudTrail 中审查用户授权活动的完整日志，满足企业合规与审计需求。对于通过 IDE 或 MCP 客户端使用智能体的开发者而言，只需在首次使用前完成一次授权，后续所有工具调用均可自动复用已存储的令牌，显著降低了使用摩擦，同时保持了每位用户授权的独立性与安全隔离。

要点

• AgentCore Identity 新增托管式授权门户，管理员无需自建会话绑定基础设施，即可为 AI 智能体实现三方 OAuth 用户授权
• 用户通过企业 IdP 一次登录后，可对 GitHub、Slack 等多个服务提供商独立授权，令牌安全存储于 AgentCore Identity 令牌保险库
• 该功能特别适配 Kiro、Claude Code、Cursor、VS Code 等 IDE 及 MCP 客户端场景，首次授权后后续工具调用无需重复提示
• 所有授权活动均记录于 AWS CloudTrail，支持企业级合规审计需求
• 管理员通过 IAM 策略精细控制授权门户资源的创建与管理权限，执行角色与服务角色均可灵活配置