Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意

Amazon Bedrock AgentCore Identity 现已提供 Consent portal，这是一个托管的 Web 体验和 AgentCore Gateway 的会话绑定端点。该功能支持管理 AI 代理的终端用户 OAuth 同意。博客文章介绍了配置 GitHub 和 Slack 3LO 目标、终端用户同意流程以及相关撤销操作。

Amazon Bedrock AgentCore Identity 提供的 Consent portal 作为托管 web 体验和会话绑定端点，承担核心作用。它为 AI 代理场景下的终端用户 OAuth 同意管理提供统一入口。

这一门户直接集成到 AgentCore Gateway 中，通过会话绑定机制确保用户同意状态与代理执行流程紧密关联。用户在与 AI 代理交互时，门户负责呈现同意界面并处理后续的授权确认。

Consent portal 的设计聚焦于简化 OAuth 流程，同时保持安全性和可控性。它避免了开发者自行构建复杂的前端逻辑，而是提供现成的托管体验。

门户配置与部署步骤

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意：门户配置与部署步骤

配置 Consent portal 需要完成 provisioning a portal 的具体流程。首先在 Amazon Bedrock AgentCore Identity 控制台中选择创建新门户实例。

系统会引导用户指定门户的自定义域名或使用默认托管地址。接下来需要上传必要的品牌配置，包括 logo 和颜色方案，以匹配企业视觉风格。

部署过程包括设置重定向 URI，这些 URI 将用于 OAuth 回调。完成配置后，门户会生成唯一的 endpoint 地址，可直接集成到 AgentCore Gateway 的会话管理中。

整个 provisioning 流程强调自动化，AWS 负责底层基础设施的部署和扩展，用户只需关注业务相关的参数设置。

GitHub 3LO 目标配置

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意：GitHub 3LO 目标配置

配置 GitHub 3LO targets 的方法从注册 OAuth 应用开始。在 GitHub 开发者设置中创建新的 OAuth App，并获取 Client ID 和 Client Secret。

将这些凭证输入到 Bedrock AgentCore Identity 的目标配置界面，并指定授权范围，如 repo 和 user 相关权限。系统要求提供 GitHub 的授权端点和 token 端点 URL。

配置完成后，需要测试连接以验证 3LO 流程是否正常。Consent portal 会使用这些设置在用户同意时向 GitHub 发起授权请求。

这一配置确保 AI 代理能够代表用户安全访问 GitHub 资源，同时所有同意记录都通过门户进行追踪。

Slack 3LO 目标配置

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意：Slack 3LO 目标配置

配置 Slack 3LO targets 的方法同样依赖于 Slack 的应用管理平台。首先在 Slack API 控制台创建新应用，并启用 OAuth 功能。

获取 Client ID、Client Secret 以及 Signing Secret 后，在 Bedrock AgentCore Identity 中添加 Slack 作为 3LO 目标。需要明确定义 scopes，例如 chat:write 和 users:read 等。

配置界面允许设置 Slack 特定的重定向行为和 webhook 集成。完成设置后，Consent portal 即可在用户交互中调用 Slack 的 OAuth 授权流程。

这一目标配置支持 AI 代理在 Slack 工作空间内执行操作，同时确保终端用户的同意状态被正确记录和绑定。

终端用户同意流程

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意：终端用户同意流程

End-user consent flow 的完整过程从用户与 AI 代理的交互开始。当代理需要访问受保护资源时，系统会将用户重定向到 Consent portal。

门户展示清晰的同意界面，列出请求的权限范围和目标服务，如 GitHub 或 Slack。用户可以选择授予或拒绝访问。

同意确认后，门户通过会话绑定端点将授权 token 与 AgentCore Gateway 的当前会话关联。后续代理执行将使用这些已授权的凭证。

整个流程强调透明性，用户随时可以在门户中查看已授予的同意项。会话绑定机制防止 token 被不当使用，确保安全。

同意撤销与管理

Amazon Bedrock AgentCore Identity 推出 Consent portal 管理 AI 代理终端用户 OAuth 同意：同意撤销与管理

How to rev 的撤销相关操作允许用户随时撤回已授予的 OAuth 同意。在 Consent portal 中，用户可以查看所有活跃的同意记录。

选择特定目标如 GitHub 或 Slack 后，系统提供一键撤销按钮。撤销操作会立即使相关 token 失效，并通知关联的 AI 代理。

管理功能还包括审计日志，记录每次同意和撤销的时间、IP 地址及操作者。管理员可以通过控制台批量管理用户的同意状态。

这一机制帮助企业和开发者维持对 OAuth 权限的持续控制，避免权限过度积累带来的安全风险。

实际集成建议

在生产环境中集成 Consent portal 时，建议先在测试账户中完成 GitHub 和 Slack 的 3LO 配置。监控会话绑定端点的日志可以及早发现潜在问题。

开发者需要确保 AI 代理的代码能够正确处理来自门户的重定向和 token 回调。结合 AWS IAM 策略进一步限制代理可访问的资源范围。

随着更多第三方服务的加入，Consent portal 的统一管理能力将进一步降低 OAuth 集成的复杂性。企业可以专注于 AI 代理的业务逻辑，而将同意管理交给托管服务。

相关阅读