AI × AEC · 情報整理
透過 Bedrock AgentCore Gateway 權杖交換在 ServiceNow 呼叫中保留使用者身分
AI 助理 · 企業 AI 導入
AWS 展示如何配置 Amazon Bedrock AgentCore Gateway 與 Microsoft Entra ID 執行代表（OBO）權杖交換，讓 AI Agent 在調用 ServiceNow REST API 時完整保留發起使用者的身分，維護權限控制與稽核軌跡。
Amazon Bedrock AgentCore 透過 AgentCore Gateway 與 Microsoft Entra ID 提供原生代表（On-Behalf-Of, OBO）權杖交換機制，確保 AI Agent 調用 ServiceNow 等企業 API 時能傳遞使用者身分。若缺乏身分傳遞，下游 API 呼叫會被視為來自 Agent 應用程式本身而非發起動作的使用者，進而破壞最小權限原則與稽核紀錄。在此架構下，Agent 使用 JWT 驗證至 Gateway，Gateway 隨後透過 Entra ID 的 OBO 流程將權杖置換為 ServiceNow API 連接器專用的新權杖，ServiceNow 再依據 preferred_username 宣告套用該使用者的存取權限。此配置需在 Entra ID 建立兩組應用程式註冊、在 ServiceNow 設定傳入 OAuth OIDC 整合，並在 Gateway 選擇 MCP 版本 2025-11-25。
值得帶走的重點
- Amazon Bedrock AgentCore Gateway 支援與 Microsoft Entra ID 進行 OBO 權杖交換，在調用 ServiceNow REST API 時完整傳遞使用者身分。
- 身分傳遞機制可避免 Agent 以自身應用程式身分呼叫外部服務，防止繞過使用者層級權限控制並確保企業稽核軌跡完整。
- 實作配置包括兩組 Entra ID 應用程式註冊、ServiceNow 傳入 OAuth 整合與宣告對應，以及在 AgentCore Gateway 指定 MCP 版本 2025-11-25。
來源：AWS Machine Learning 閱讀原文 ↗
本篇由 AI 整理、核對並自動發布，未經逐篇人工審核。譯文經 AI 複核。