AWS 用 Okta XAA 给 Agent 加统一网关：Cedar 策略集中管控数百个智能体
AWS ML Blog · rss · 2026-11-07
AWS ML Blog 系列第二篇，把第一篇「单智能体+两个 MCP server」的 Okta Cross App Access 方案升级为企业级架构：用 Amazon Bedrock AgentCore Gateway 做唯一入口，集中兑换 Okta 授权，避免 N 个 agent × M 个 server 的连线矩阵。
关键改动
- Agent 只需连一个 Gateway endpoint，目标注册表由 Gateway 维护，不再各自持有 ARN
- Agent 角色不再持有 token-exchange 权限和密钥，由 Gateway 统一兑换 grant
- 权限检查从每个 MCP server 的重复代码改为 Gateway 层的一套默认拒绝 Cedar 策略，每个工具调用前评估
- 第二个跑在 EKS 上的 agent 以自己的 Okta 身份接入，证明入口与运行位置无关
- 全链路 OpenTelemetry span 汇入 AgentCore Observability + CloudWatch，Okta System Log 经 EventBridge 流入，实现集中审计
踩坑细节：目标需配静态工具 schema（动态列举的工具无法绑定 Cedar 策略）；客户端必须跟随 tools/list 分页游标；单个 ID-JAG 在 5 分钟有效期内可服务同一会话的所有工具调用；每个 agent 应有自己的 Gateway 和 credential provider。全程约 90 分钟可搭建，AWS GitHub 提供 sample 08-okta-xaa-delegation-chain。
「编程与Agent」频道最新
- HackerRank CEO 亲自实测：AI 面试到底有多容易作弊 — emeka_boris · 2026-11-07
- Nous 推出 Portal 统一账户：200+ 模型目录加 Agent 云托管 — NousResearch · 2026-11-07
- 玩《异星工厂》让他更会管 AI 智能体了 — billyjhowell · 2026-11-07
- LangChain deepagents 新增浏览器操作与异步子智能体能力 — LangChain · 2026-11-07
- DepthFirst 公开 Agent 云端开发环境架构：一周落地，Codex 与 Claude Code 可无缝切换 — andreamichi · 2026-11-07
- 开源 BoopFace:纯 SVG 机器人表情组件,还能跑在 ESP32 上 — Additional-Ad5527 · 2026-11-07