本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
同意门户的先决条件
在创建同意门户之前，创建您在其中提供的 ARN 的 OAuth2 凭证提供商idpConfig.credentialProviderArn，配置该门户服务的网关，并创建门户承担的执行角色。本主题描述了每个先决条件。
OAuth2 凭证提供商
同意门户需要您 JWT-issuing 的 OIDC 身份提供商的 OAuth2 凭据提供商。这是您的最终用户登录的主要 IdP；它与代理用于处理资源的任何出站（每个目标）凭据提供商是分开的。在创建门户之前，必须创建此 OAuth2 凭证提供商，并像致电时一样idpConfig.credentialProviderArn提供其 ARN。create-consent-portalOAuth2 凭证提供商必须引用与网关的 JWT 授权方相同的 OIDC 颁发者，并且支持它的 IdP 应用程序允许的范围必须包括在内。openid有关创建 OAuth2 凭证提供商的更多信息，请参阅使用身份管理凭证提供商。 AgentCore
当您创建支持此凭据提供商的 IdP 应用程序时，请使用使用授权码授予且具有客户端密钥的 OIDC Web 应用程序。暂时不要设置真正的重定向 URI — 门户的回调 URL 直到您创建门户之后才存在。将重定向 URI 列表留空或设置占位符值，同时创建至少一个您可以作为登录的活跃测试用户。按照使用 CLI 创建同意门户中所述ACTIVE，您注册真实的重定向 UR Amazon I 并在门户完成登录后完成登录。
同意门户仅支持发放 JWT 访问令牌的主要 IdPs 门户。 OAuth2-only 不签发身份令牌且未发布任何OIDC发现文档的供应商（例如，Slack GitHub、Salesforce、Atlassian和 LinkedIn）不能用作主要的IdP，尽管它们作为网关目标的出站提供商仍然有效。
具有 JWT 入站身份验证的网关
同意门户仅连接到一个亚马逊 Bedrock AgentCore Gateway 作为其单一类型agentcore-gateway来源。必须将网关配置为 JWT 的入站身份验证类型，以便其授权方引用 OIDC 身份提供商。当您创建意见征求门户时， Amazon 验证网关的授权方和您提供的 OAuth2 凭证提供商idpConfig引用的是同一 OIDC 颁发者。有关配置凭证提供商和身份提供商的更多信息，请参阅使用 AgentCore 身份和提供商设置和配置管理凭证提供商。
意见征求门户仅支持发 IdPs 行 JWT 访问令牌。 IdPs 不支持发行不透明访问令牌的 OAuth2-only 供应商作为同意门户的主要 IdP。
在您创建同意门户之前，网关必须存在，但您还不需要添加其出站身份验证目标。目标决定门户的 “连接” 页面上显示的内容，其返回 URL 取决于门户portalUrl，该门户直到门户才存在ACTIVE。将目标添加为创建后的步骤，如使用 Amazon CLI 使用创建同意门户 Amazon CLI 创建同意门户中所述。
执行角色
同意门户承担您在创建门户executionRoleArn时传递的 IAM 角色。同意门户服务扮演此角色来读取网关和 OAuth2 凭证提供商配置并检索 OAuth 客户端密钥。该角色需要特定的信任策略和权限策略。有关所需的政策和说明，请参阅同意门户执行角色。