aws-samples/sample-bedrock-agentcore-identity-obo-token-exchange
GitHub: aws-samples/sample-bedrock-agentcore-identity-obo-token-exchange
该项目演示了如何在 Amazon Bedrock AgentCore 中通过 OBO 令牌交换机制，实现 AI Agent 链路中用户身份的安全传播而无需共享凭证。
Stars: 2 | Forks: 0
# AgentCore Identity OBO Token Exchange - 博客代码示例
AWS 博客文章 **“利用 Amazon Bedrock AgentCore Identity 为 AI 代理实现 On-Behalf-Of Token Exchange”** 的可用代码示例。
## 前置条件
- Python 3.9+
- 已启用 Amazon Bedrock AgentCore 的 AWS 账户
- 已配置 AWS 凭证（`aws configure` 或环境变量）
## 设置
```
python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt
```
## 代码示例
| 文件 | 描述 |
|------|-------------|
| `01_create_obo_provider_token_exchange.py` | 创建使用 RFC 8693 TOKEN_EXCHANGE 的凭证提供商 |
| `02_create_obo_provider_jwt_grant.py` | 创建使用 RFC 7523 JWT_AUTHORIZATION_GRANT 的凭证提供商 |
| `03_create_obo_provider_m2m_actor.py` | 创建使用 M2M actor token 的凭证提供商 |
| `04_agent_obo_example.py` | 使用 OBO 调用下游服务的完整 Strands agent |
| `cleanup.py` | 删除所有演示凭证提供商 |
## 测试环境
- 账户：745351468190
- 区域：us-east-1
- 日期：2026-05-16
- SDK：bedrock-agentcore（最新版）
## 架构
在 [draw.io](https://app.diagrams.net/) 中打开 `architecture-diagram.drawio` 以查看/编辑架构图。
## 许可证
MIT-0
标签：AgentCore, AWS, DPI, OAuth, 人工智能, 令牌交换, 用户模式Hook绕过, 身份与访问管理, 逆向工具