認証

インバウンド認証は、ホストされたエージェントにアクセスできるユーザーを制御します。ホストされるアプリケーションでは、次の認証方法がサポートされています。

• アイデンティティ・ドメインベアラー・トークン:クライアントは、OCI IAMアイデンティティ・ドメインによって発行されたOAuthアクセス・トークンを送信します。サービスは、ホストされたデプロイメントにリクエストをルーティングする前にトークンを検証します。「アイデンティティ・ドメインBearerトークン認証の設定」を参照してください。
• アイデンティティ・ドメイン・ブラウザ・セッション: OAuth 2.1 Authorization Code flow with Proof Key for Code Exchange (PKCE)を使用します。ブラウザ・ユーザーは、サインインするためにOCIアイデンティティ・ドメインにリダイレクトされます。ホストされたアプリケーション・サービスは、かわりにアクセス・トークンを取得し、セッションCookieを使用するブラウザ・セッションを確立します。アイデンティティ・ドメイン・ブラウザ・セッションを参照してください。
• OCI IAM:クライアントは、OCI IAMリクエスト署名要件に従ってリクエストに署名します。認証を参照してください。

既存のアイデンティティ・ドメインベアラー・トークンおよびOCI IAM認証は引き続きサポートされます。アプリケーションの認証タイプを変更するには、アプリケーションの詳細ページで「編集」を選択します。

アウトバウンド認証により、デプロイされたエージェント・アプリケーションは、テナンシ内の他のOCIリソースに安全にアクセスできます。

アクセスは、指定されたリソースに対して特定のアクションを実行するようにエージェント・アプリケーションを(リソース・プリンシパルとして)認可するOCI IAMポリシーを定義することで付与されます。これらのポリシーは、最小権限の原則に基づいてアクセスの範囲を決定します。

デプロイメント後、プラットフォームはエージェント・ワークロードに対してリソース・プリンシパル・セッション・トークン(RPST)を自動的にプロビジョニングします。RPSTはコンテナ・ランタイムにセキュアに注入されるため、アプリケーションはAPIキーやユーザー・トークンなどの存続期間の長い資格証明を使用せずにOCIサービスに対して認証できます。

コンテナ内では、エージェントはリソース・プリンシパル認証プロバイダとともにOCI SDKを使用します。SDKはRPSTを自動的に取得およびリフレッシュし、オブジェクト・ストレージ、Autonomous AI Database、Vault、Streamingなどの認可されたOCIサービスへのセキュアなアクセスを可能にします。