Amazon Bedrock AgentCore GatewayによるマルチテナントAIエージェントのためのOn-Behalf-Ofトークン交換実装
マルチテナントAIエージェントにおけるID伝播の課題とOn-Behalf-Of (OBO) トークン交換の必要性
生成AIエージェントをマルチテナントプロダクション環境に展開する際、エージェントがユーザーに代わってダウンストリームAPIを呼び出す際のID管理は複雑な問題を引き起こします。主な課題は二つあります。一つは、エージェント自身のサービスIDで呼び出しを実行すると、ダウンストリームシステムがエージェントを無条件に信頼しなければならず、監査証跡が失われることです。もう一つは、ユーザーのトークンをそのまま転送すると、「Confused Deputy（混乱した代理人）」問題を引き起こし、複数のテナントや異なるダウンストリームAPIのオーディエンスに対応できない点です。
この問題を解決するために、OAuth 2.0 Token Exchange仕様 (RFC 8693) に基づくOn-Behalf-Of (OBO) トークン交換パターンが不可欠です。このパターンにより、エージェントはユーザーの代理として、特定のダウンストリームサービスまたはテナント向けにスコープが限定された新しいトークンを取得できます。Amazon Bedrock AgentCore Identityは、このOAuth 2.0 Token Exchange (RFC 8693) をネイティブなクレデンシャルプロバイダーグラントタイプとしてサポートしています。これにより、AgentCore Gatewayはエージェント自身に交換ロジックを実装させることなく、インバウンドのユーザーIDトークンを、ダウンストリームツールを呼び出す前に、新しいオーディエンスにバインドされたトークンと透過的に交換します。この機能は、元の呼び出し元のID (sub クレーム) をエンドツーエンドで保持しつつ、各ダウンストリームコールに特定のサービスにバインドされた最小権限のトークン (aud クレーム) を付与することで、ID伝播とセキュリティを大幅に向上させます。
Amazon Bedrock AgentCore GatewayとAgentCore Identityによるセキュアなマルチテナンシーアーキテクチャ
Amazon Bedrock AgentCore Gatewayは、マルチテナントAIエージェントアプリケーションにおけるセキュリティとアクセス制御の中核を担います。このゲートウェイは、既存のAPIやAWS Lambda関数をエージェント互換ツールに変換し、集中管理された認証、認可、可観測性、セマンティックツール検出、ポリシー適用レイヤーを提供します。
AgentCore Identityは、ワークロードIDとしてエージェントのIDを実装し、企業の既存IDプロバイダー（Okta、Microsoft Entra ID、Amazon Cognitoなど）と統合します。これにより、エージェントはOAuth 2.0フローを使用して、ユーザーに代わってAWSリソースやサードパーティツールに安全にアクセスできます。特に、OBOトークン交換が提供する主な利点は以下の通りです。
- アイデンティティ伝播: テナント境界を越えて元の呼び出し元のアイデンティティ (
subクレーム) が保持されます。 - 暗号化による最小権限: 各ダウンストリームコールは、1つのダウンストリームサービスにバインドされたトークン (
audクレーム) を運びます。これにより、あるテナント向けに発行されたトークンが別のテナントで使用されることを防ぎ、防御の深さを実現します。 - エージェント側の交換ロジック不要: エージェントコードは単一のインバウンドトークンを取得し、ツールを呼び出すだけでよく、すべてのトークン交換はAgentCoreが実行します。
- 標準ベース: 実装はRFC 8693トークン交換グラントに基づいています。
さらに、AgentCore Gatewayのインターセプター機能は、きめ細かいアクセス制御、動的なツールフィルタリング、カスタムロジックの実装を可能にし、堅牢なマルチテナントセキュリティを実現します。JWTクレームにセキュリティコンテキスト、テナントコンテキスト、リクエストコンテキストをエンコードすることで、マルチテナント運用に対する強力かつ柔軟な基盤が提供されます。
マルチテナントAIアプリケーション開発における考慮事項とベストプラクティス
Amazon Bedrock AgentCoreを使用したマルチテナントAIアプリケーションの構築は、単に機能するAIエージェントを超えた包括的なアーキテクチャ設計を必要とします。テナント分離、ID管理、コスト帰属、セキュリティなど、SaaSプロバイダーが直面する固有の課題に対処するための機能がAgentCoreには備わっています。
具体的なアーキテクチャパターン:
- プールモデル: 複数のテナント間でリソースを共有し、リソース利用率を最大化し、運用効率を高めます。AgentCore Runtimeは、各エージェントセッションを隔離されたマイクロVMで実行することで、テナントレベルの計算分離を提供します。
- きめ細かいアクセス制御: リソースベースのポリシーを使用して、AgentCore RuntimeおよびAgentCore Gatewayエンドポイントリソースへのアクセスを集中管理し、特定の条件に基づいて制御します。
このアプローチは、セキュリティリスクを軽減し、コンプライアンス要件を満たしながら、AIエージェントがユーザーに代わって動作するためのスケーラブルなソリューションを提供します.
開発者・エンジニア視点での考察
-
エージェント開発の複雑性軽減とセキュリティ強化: On-Behalf-Ofトークン交換をAmazon Bedrock AgentCore Gatewayが透過的に処理することで、エージェント開発者はID伝播や権限管理の複雑なロジックをエージェントコードに組み込む必要がなくなります。これにより、開発者はコアとなるエージェントの推論ロジックとツール連携に集中でき、かつ各ダウンストリームコールがきめ細かい最小権限で実行されるため、セキュリティ体制が大幅に強化されます。
-
マルチテナントSaaSの堅牢な基盤: Bedrock AgentCore GatewayおよびIdentityのOBOサポートは、AIエージェントをサービスとして提供するSaaSプロバイダーにとって不可欠です。各テナントの異なるセキュリティ要件、IDプロバイダーとの統合、監査証跡の明確化といった課題に対して、標準ベース（RFC 8693）のソリューションを提供します。これにより、テナント間の厳密な分離と、セキュリティポリシーの動的な適用が容易になり、大規模なマルチテナントAIアプリケーションの構築が可能になります。
-
既存エンタープライズシステムとの統合の促進: AgentCore Gatewayは、既存のAPIやAWS Lambda関数をエージェント対応ツールに変換する能力を持ち、かつOktaなどの企業IDプロバイダーと統合できるため、エンタープライズ開発者はレガシーシステムや既存のマイクロサービス群をAIエージェントのツールとして安全に活用できます。OBOトークン交換は、これらのツールがユーザーのコンテキストで動作する必要がある場合に、セキュリティと利便性を両立させる重要なメカニズムとなります。
Source / 元記事
この記事について
この記事は、公開されているニュース、論文、公式発表、RSSフィードなどをもとに、AIが要約・補足調査・考察を行って作成しています。
元記事の完全な翻訳・逐語的な要約ではなく、AIによる背景説明や開発者向けの考察を含みます。
重要な技術仕様・価格・提供状況などは、必ず元記事または公式情報をご確認ください。
