Amazon Bedrock AgentCore Identity が OAuth 2.0 ディスカバリ URL に対応

Amazon Bedrock AgentCore Identity において、OAuth 2.0 認可サーバーのディスカバリ URL サポートが追加されました。これにより、OpenID Connect (OIDC) を使用していない認可サーバーに対しても、インバウンド JWT 認可およびアウトバウンド OAuth クレデンシャルプロバイダーの設定が可能になります。

🛠️ 技術的なポイント：非OIDC環境での統合が容易に

これまで AgentCore を利用する際、**「OAuth 2.0 は実装しているが OIDC は採用していない」**という認可サーバー（IdP）との連携には、メタデータの公開パス（well-known path）の違いから対応できないという課題がありました。

今回のアップデートにより、標準的な OAuth 2.0 ディスカバリ URL を直接指定できるようになり、多様なエンタープライズ向け ID プロバイダーとの統合がスムーズになります。カスタムのミドルウェアを自前で用意して JWT を変換するといった、運用負荷の高い回避策が不要になります。

🇯🇵 日本国内のリージョン状況

最新のリージョン状況を確認したところ、以下の通りです。

• 東京リージョン (ap-northeast-1): 利用可能
• 大阪リージョン (ap-northeast-3): 提供予定

💡 運用上のアドバイス

• コスト: 本機能の利用に追加料金はかかりません。
• セキュリティ: 既存の認証基盤をそのまま活用できるため、認証フローの複雑化を抑えつつ、セキュアな Agent 連携を構築できます。

🚀 次のアクション

現在、非 OIDC の認可サーバーを利用して AgentCore との連携を検討している、あるいは構築に苦労している場合は、まず既存のディスカバリ URL が OAuth 2.0 準拠であることを確認し、AgentCore の設定を試してみることをお勧めします。

📖 参照ドキュメント

• Amazon Bedrock AgentCore Developer Guide
  • Configure inbound JWT authorizer
  • Add OAuth client using custom provider