来源时间 本站刊期
AI工具AWS Machine Learning Blog
使用 Okta Cross App Access 和 Amazon Bedrock AgentCore 治理 AI 代理访问 – 第 2 部分
Govern AI agent access with Okta Cross App Access and Amazon Bedrock AgentCore – Part 2
规模化受治理代理的团队面临真实权衡：选单一受控入口而非众多定制认证路径。
判断
平台与身份架构师必须决定，是否用 Okta Cross App Access 加 AgentCore Gateway 取代每个代理直接持有 MCP 服务器运行时 ARN，以集中式接线与策略层换取更少的定制认证路径。
依据
AWS Machine Learning Blog 作者 Hammad Ausaf、Madhu Samhitha Vangara 和 Rajat Jain 写道，第 1 部分在 Amazon Bedrock AgentCore 运行时上构建了一个任务代理，该代理通过 Okta Cross App Access 为已登录用户行动。Okta 决定哪个代理可代表哪个用户行动，AgentCore Identity 在代理内兑换 Okta 的授权。这证明了治理机制，但拓扑很小：一个代理、两个 MCP 服务器，以及写入每个服务器的授权检查。作者称该机制可扩展，但拓扑不可扩展；当 N 个代理对应 M 个服务器时，直接持有 MCP 运行时 ARN 会变成接线矩阵，每新增一个工具都会触及需要它的每个代理。第 2 部分被描述为用受控前门取代这种按代理接线。
没写清 该节选未给出迁移步骤、Gateway 策略配置，或替换现有直接 MCP 运行时 ARN 接线的量化运营成本。
下一步 查看第 2 部分的表格是否有具体 Gateway 配置步骤，并确认其是否移除按代理的 MCP 运行时 ARN 引用。