AWS, AgentCore ve Okta entegrasyonunu açıkladı

AWS Machine Learning blogunda 06 Kasım 2026 Cuma 17:09'da yayınlanan iki bölümden oluşan teknik kılavuzda, Amazon Bedrock AgentCore ile Okta Cross App Access entegrasyonu detaylandırıldı. Part 1'de tek bir aracı ve iki MCP sunucusu üzerinden erişim yönetimi kurulurken, Part 2'de Gateway, Cedar politikaları ve CloudWatch izleme ile kurumsal ölçekte yönetilebilirlik hedeflendi.

Kimlik yönetimi ve erişim kontrolü

Part 1'de, bir yapay zeka aracısının bir bileti güncellemesi veya müşteri kaydını okuması gibi işlemlerde bir kişi adına hareket ettiği ve kimlik ekibinin hangi aracının hangi kullanıcı için hangi uygulamada hareket edebileceğine karar vermesi gerektiği açıklandı. Per-app OAuth onayı ve paylaşılan hizmet hesapları bu soruyu açık bırakırken, Okta Cross App Access (XAA) bu soruyu kimlik sağlayıcıda yanıtlamaktadır. Yönetici aracıyı kaydeder, aracının ulaşabileceği uygulamaları onayar ve Okta her isteklerde politikanın değerlendirilmesini sağlar.

Amazon Bedrock AgentCore runtime, Okta'nın verdiği izni doğrular ve AgentCore Identity, bu izni aracı kodunun görmediği kısa ömürlü bir erişim jetonuna dönüştürür. Testlerde, bir kullanıcının aracıya ataması kaldırıldığında Okta yeni istekleri yaklaşık 1 saniyede reddetti ve zaten verilen jetonlar 5 dakikada süresi doldu. AgentCore Identity, bir isteğin yaklaşık 30 saniyeden oluşan uçtan uca süresine yaklaşık 0,6 saniye ekledi.

Kurumsal ölçekte yönetilebilirlik

Part 1 mimarisi tek bir aracı, iki Model Context Protocol (MCP) sunucusu ve her sunucuya yazılmış yetkilendirme kontrolünden oluşur ve bu topoloji kurumsal ölçekte genişletilemez. Part 2'de Amazon Bedrock AgentCore Gateway tek giriş noktası olur ve her hedef için Okta'nın izni Gateway tarafından yeniden kullanılır. AgentCore Gateway'da Cedar politikaları, her aracıyı aracı ve Okta tarafından devredilen kapsamla bağlar ve araç çalıştırılmadan önce değerlendirilir.

Cedar politikasında eksik bir etiket okunursa politika atlanır ve izin verilmez, ancak atlanan bir yasaklama engellemez. Part 2'de Amazon EKS üzerinde çalışan ikinci bir aracı, kendi Okta kimliğiyle Gateway üzerinden aynı yolu izleyerek Gateway'ın aracının çalıştığı yerden bağımsız olduğunu gösterir. Her hop, AgentCore Observability'ye OpenTelemetry spanları gönderir ve CloudWatch Transaction Search bu spanları toplar; Okta System Log'u Amazon EventBridge üzerinden CloudWatch'a akıtılır.

Gateway'ın gelen tarafı, yalnızca belirli bir aracıya Okta tarafından verilen ID-JAG'ları kabul eder ve allowedClients ile tek bir aracıya sabitlenir. Her MCP sunucusu Gateway hedefi olarak TOKEN_EXCHANGE grant türüyle yapılandırılır ve Gateway ikinci jeton değişimini gerçekleştirir. Cedar politikaları ENFORCE modunda Gateway'a eklenmelidir ve izin-verme politikaları yazılmalıdır. Örnek kod üretim kullanımı için değildir ve dağıtmadan önce güvenlik, yasal ve uyumluluk ekipleriyle çalışılması önerilir. Çözümün tabanı AWS GitHub deposundaki 08-okta-xaa-delegation-chain örneğidir ve Part 2 eklemeleri bu örneğin üzerine kuruludur.

Neden önemli?

AWS Machine Learning blogunda 06 Kasım 2026 tarihinde yayımlanan iki bölümden oluşan kılavuzda, Amazon Bedrock AgentCore ve Okta Cross App Access kullanılarak yapay zeka aracılarının erişim yönetiminin nasıl sağlandığı açıklanmıştır. Part 1'de tek bir aracı ve iki MCP sunucusu üzerinden erişim yönetimi kurulurken, Part 2'de Gateway, Cedar politikaları ve CloudWatch izleme ile kurumsal ölçekte yönetilebilirlik hedeflendi.

Kaynak: AWS Machine Learning, AWS Machine Learning

Temsili görsel: Pavel Danilyuk / Pexels