que paso
AWS dice que AgentCore Identity ha agregado un portal de consentimiento para el flujo OAuth de tres patas de AgentCore Gateway. Los administradores configuran un proveedor de identidad de la organización, destinos de puerta de enlace, proveedores de OAuth salientes y una función de ejecución, y luego comparten una URL del portal con los usuarios. Los usuarios inician sesión, revisan los servicios disponibles y autorizan proveedores como GitHub o Slack de forma independiente.
AWS describe el portal de consentimiento como una experiencia web administrada y un punto final de enlace de sesión para AgentCore Gateway. El portal maneja las redirecciones del navegador y asocia al usuario que regresa con la concesión de OAuth, mientras que AgentCore Identity almacena los tokens resultantes por usuario en su bóveda de tokens.
La configuración documentada requiere que un administrador configure un proveedor de identidad corporativa que emita un de acceso JWT; el portal puede validar, crear o proporcionar una función de ejecución de IAM, asociar destinos de puerta de enlace con proveedores de OAuth salientes y configurar URL de retorno predeterminadas. La fuente da ejemplos relacionados con Okta y Auth0, pero no afirma que estos sean los únicos proveedores compatibles.
El flujo del usuario final es independiente y específico del proveedor: un desarrollador abre la URL del portal compartido, se autentica a través del proveedor de identidad de la organización, revisa el acceso al servicio solicitado y se conecta a GitHub o Slack. Las conexiones existentes permanecen visibles cuando se vuelve a abrir el portal a menos que una concesión se revoque, caduque o requiera un consentimiento renovado. La fuente destaca el uso con Kiro, Claude Code, Cursor y Visual Studio Code, pero no establece que todas las versiones o configuraciones de esos clientes sean compatibles.
Detalles de la fuente: aws.amazon.com ↗
Por qué es importante
La característica aborda un problema de control práctico para los agentes de IA: garantizar que el acceso otorgado a servicios como GitHub y Slack permanezca vinculado al empleado que lo aprobó. Anteriormente, los clientes tenían que crear y alojar ellos mismos las redirecciones del navegador, el punto final de devolución de llamada, la autenticación de usuario, el manejo de sesiones y la lógica de vinculación de sesiones. Un flujo administrado podría reducir el trabajo de implementación y hacer que la autorización por usuario sea más consistente para los agentes utilizados a través de IDE y clientes MCP, aunque la fuente no establece resultados de disponibilidad, confiabilidad o seguridad más allá de la descripción de AWS.
Para un asistente de codificación de IA, el enlace OAuth por usuario determina qué permisos utiliza un agente cuando invoca herramientas. Esto es materialmente diferente a darle a un agente una credencial de servicio compartida, porque la actividad resultante puede permanecer asociada con el empleado que autorizó el acceso, sujeto a la identidad de la organización y a las configuraciones del proveedor.
El cambio puede reducir la cantidad de infraestructura personalizada necesaria para implementar el acceso a las herramientas del agente. AWS dice específicamente que los clientes anteriormente tenían que alojar una devolución de llamada HTTPS pública, administrar sesiones del navegador, autenticar al usuario que regresa y llamar ellos mismos a CompleteResourceTokenAuth. El portal centraliza esos pasos dentro de AgentCore Identity.
La visibilidad de CloudTrail proporciona un control operativo: AWS dice que los eventos GetResourceOauth2Token identifican el proveedor de credenciales, los alcances solicitados, el flujo de OAuth, la función de ejecución y la región, mientras que los valores de estado y confidenciales se redactan. La fuente no verifica de forma independiente la seguridad de la implementación ni cuantifica ninguna reducción del riesgo.
Mecanismo interactivo: cómo funciona realmente
Explore la tecnología subyacente detrás de este desarrollo de forma interactiva.
crm_get_transaction(id='4092').An agent must create a draft calendar event for Tuesday at 2 p.m. Which evidence would establish the requested result?
Qué ver a continuación
Las organizaciones que estén considerando la función deberán confirmar la disponibilidad regional, los precios, los límites del servicio, los proveedores de identidad admitidos y cómo el portal administrado se adapta a sus requisitos de acceso, revisión y ciclo de vida del . El tutorial de AWS también destaca los eventos de CloudTrail para revisar las operaciones de consentimiento y solucionar problemas de solicitudes de token fallidas.
La fuente no proporciona precio, fecha de lanzamiento, compromiso de nivel de servicio, ni regiones compatibles AWS más allá de decir que los portales están listados por cuenta y región, o una designación de disponibilidad general. Por tanto, las condiciones de acceso y comerciales siguen siendo desconocidas.
Los administradores deben validar el formato del del proveedor de identidad y determinar cuidadosamente el alcance de los permisos de IAM. La configuración documentada también crea una dependencia entre los destinos de la puerta de enlace y los proveedores de credenciales salientes: AWS indica a los administradores que eliminen el destino de la puerta de enlace antes de eliminar su proveedor al que se hace referencia.
Las organizaciones deben probar la renovación, revocación, vencimiento, comportamiento de desconexión y reconexión del consentimiento, alcances solicitados y flujos de trabajo de auditoría antes de permitir que los agentes lleguen a los sistemas de producción. La fuente describe estos flujos pero no informa pruebas independientes ni resultados de usuarios.