La gestión de identidades en entornos de computación en la nube ha dado un paso adelante con la reciente actualización de Amazon Bedrock AgentCore Identity. Esta funcionalidad ahora permite la autenticación de clientes mediante el uso de JSON Web Tokens (JWT) con clave privada, una mejora significativa para los agentes que requieren interactuar con proveedores de identidad externos. En lugar de depender de secretos compartidos de OAuth 2.0, que pueden presentar riesgos si no se manejan con extremo cuidado, esta nueva capacidad permite que los agentes utilicen una firma digital basada en criptografía asimétrica para validar su identidad.

El mecanismo de funcionamiento es robusto y se apoya en la integración con AWS Key Management Service (KMS). Cuando un agente necesita acceder a un recurso protegido, solicita una autenticación a través de AgentCore Identity. En este proceso, el sistema utiliza una clave privada almacenada de forma segura en KMS para firmar una aserción JWT. Esta firma es enviada al proveedor de identidad, el cual verifica la legitimidad de la solicitud utilizando la clave pública correspondiente, previamente registrada. Lo más relevante de este flujo es que la clave privada nunca abandona el entorno protegido de KMS, minimizando así la exposición de credenciales sensibles.

Esta implementación es particularmente útil para diversos flujos de trabajo de autorización. Soporta escenarios de máquina a máquina (M2M), donde el agente opera de forma autónoma para tareas de fondo; flujos "en nombre de" (On-behalf-of), donde el agente actúa bajo la identidad de un usuario específico utilizando un token existente; y accesos delegados por el usuario, que requieren una aprobación interactiva previa. Esta versatilidad permite que las organizaciones mantengan un control granular sobre cómo sus agentes acceden a APIs externas, garantizando que cada interacción esté debidamente autenticada y autorizada.

Para poner en marcha esta configuración, los administradores deben realizar pasos específicos en la consola de gestión de AWS. El proceso comienza con la creación de una clave asimétrica en KMS configurada para firma y verificación. Una vez generada, la clave pública se exporta y se registra en el proveedor de identidad elegido. Posteriormente, dentro de la consola de AgentCore, se configura el proveedor de credenciales especificando la URL de descubrimiento, el identificador del cliente y la clave de KMS. Este flujo asegura que la infraestructura de seguridad esté correctamente alineada entre el servicio de AWS y el proveedor de identidad externo.

La capacidad de auditoría es otro pilar fundamental de esta actualización. Todas las operaciones realizadas por los agentes, desde la obtención de tokens hasta la firma de aserciones, quedan registradas en AWS CloudTrail. Estos registros permiten a los equipos de seguridad rastrear con precisión qué agente accedió a qué recurso y cómo se validó su identidad. Al observar eventos específicos como `GetResourceOauth2Token` o las llamadas de firma a KMS, las organizaciones pueden mantener una visibilidad completa sobre sus operaciones, facilitando el cumplimiento normativo y la resolución de problemas en arquitecturas complejas.