// AI 新闻 · 2026-11-07 · AWS Machine Learning Blog

通过Okta与Amazon Bedrock AgentCore实现企业级AI代理访问控制

AWS在Part 2中将Part 1中的单代理治理模式扩展至企业级场景，引入Amazon Bedrock AgentCore Gateway作为统一入口，通过Okta的跨应用访问（XAA）授权机制实现用户身份与代理服务的绑定。AgentCore内置的Cedar策略对每个工具调用进行权限校验，仅在策略允许的情况下将Okta授权令牌传递至目标服务，并通过AgentCore Observability记录所有授权与拒绝决策，同时支持在Amazon EKS上部署第二个独立代理以验证代理运行位置不影响访问控制。

阅读原文（AWS Machine Learning Blog）↗

原文发布 2026-11-07 01:09（北京时间）来源 AWS Machine Learning Blog自动整理 · 已核对原文

01摘要

该方案保留了Part 1中的核心组件，包括Okta配置、身份凭证提供者和MCP服务器结构。用户登录后，前端网关（BFF）获取ID令牌并转换为ID-JAG授权令牌，由AgentCore Gateway验证来源后，依据Cedar策略决定是否转发至目标工具。所有调用路径均通过OpenTelemetry生成追踪日志，汇聚于CloudWatch中，实现全链路审计与可观测性。

由开源模型根据原文自动整理，经数字/专名逐项核对（必须在原文中出现），以原文为准。

02要点

Amazon Bedrock AgentCore Gateway作为统一入口，实现Okta授权的集中验证与路由。
Cedar策略绑定工具调用权限，仅允许策略匹配的请求通过并触发目标服务调用。
所有访问决策（包括允许和拒绝）通过AgentCore Observability记录并同步至CloudWatch进行审计。
在Amazon EKS上部署第二个代理验证了代理运行位置不影响访问控制机制。

03原文出处

Govern AI agent access with Okta Cross App Access and Amazon Bedrock AgentCore – Part 2

AWS Machine Learning Blog · 发布于 2026-11-07 01:09（北京时间） · 上方为原标题

05相关新闻

出自智图 AI 新闻：从 1100 多个官方与媒体信源采集。摘要只转述原文内容，详情请看原文。 2026-11-07 全部新闻 · 按日期归档 · 全部 AI 新闻 · 今日

01摘要

02要点

03原文出处

04站内相关

相关产品与工具

05相关新闻