Реализация обмена токенами от имени пользователя для мультитенантных агентов с Amazon Bedrock AgentCore Gateway

При развёртывании генеративных ИИ-агентов в мультитенантной архитектуре возникает проблема идентификации: когда агент вызывает downstream API от имени пользователя, чья личность должна передаваться? Передача токена пользователя без изменений создаёт проблему «конфузного заместителя» (confused deputy), а использование сервисного аккаунта агента разрушает аудит. Протокол OAuth 2.0 Token Exchange (RFC 8693) решает эту проблему, и Amazon Bedrock AgentCore Identity поддерживает его нативно. В статье описана эталонная реализация TravelBot — мультитенантный ассистент бронирования для двух арендаторов (Acme и Globex). Компоненты архитектуры включают: сервер авторизации-провайдера (выдаёт входящий JWT), Amazon Bedrock AgentCore Gateway (валидирует токен и оркестрирует обмен), AgentCore Identity (выполняет RFC 8693 обмен), поарендаторные серверы авторизации (выпускают OBO-токены), Amazon API Gateway HTTP API с JWT-авторизатором на каждого арендатора, и AWS Lambda с DynamoDB для бизнес-логики. Шаг за шагом: пользователь аутентифицируется через OIDC, агент передаёт входящий JWT в Gateway, Gateway валидирует подпись и аудиторию, выбирает credential provider для целевого арендатора и запрашивает у Identity OBO-токен. Identity отправляет запрос на обмен токена по RFC 8693 к серверу авторизации арендатора, получает новый токен с изменённым aud (привязанным к API арендатора) и сохранённым sub (исходный пользователь) и claim actor (AgentCore). Затем Gateway вызывает downstream API с этим токеном. Для Okta используются три Custom authorization server: TravelBot Provider, ACME Travel API и Globex Travel API. Для Auth0 и Keycloak также заявлена совместимость с RFC 8693, для Microsoft Entra ID используется grant_type = JWT_BEARER с requested_token_use = on_behalf_of (поддерживается AgentCore Identity через grantType JWT_AUTHORIZATION_GRANT). API Gateway проверяет issuer, audience и scope, Lambda выполняет авторизацию на основе authorized_scopes и хранит данные в DynamoDB, партиционируя по sub.