本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 同意门户的先决条件
<a name="identity-consent-portal-prerequisites"></a>

在创建同意门户之前，创建您在其中提供的 ARN 的 OAuth2 凭证提供商`idpConfig.credentialProviderArn`，配置该门户服务的网关，并创建门户承担的执行角色。本主题描述了每个先决条件。

## OAuth2 凭证提供商
<a name="consent-portal-credential-provider-prereq"></a>

同意门户需要您 JWT-issuing 的 OIDC 身份提供商的 OAuth2 凭据提供商。**这是您的最终用户登录**的主要 IdP；它与代理用于处理资源的任何出站（每个目标）凭据提供商是分开的。在创建门户之前，必须创建此 OAuth2 凭证提供商，并像致电时一样`idpConfig.credentialProviderArn`提供其 ARN。`create-consent-portal`OAuth2 凭证提供商必须引用与网关的 JWT 授权方相同的 OIDC 颁发者，并且支持它的 IdP 应用程序允许的范围必须包括在内。`openid`有关创建 OAuth2 凭证提供商的更多信息，请参阅[使用身份管理凭证提供商。 AgentCore ](identity-outbound-credential-provider.md)

当您创建支持此凭据提供商的 IdP 应用程序时，请使用使用授权码授予且具有客户端密钥的 OIDC Web 应用程序。暂时不要设置真正的重定向 URI — 门户的回调 URL 直到您创建门户之后才存在。将重定向 URI 列表留空或设置占位符值，同时创建至少一个您可以作为登录的活跃测试用户。按照使用 CLI [ 创建同意门户中所述`ACTIVE`，您注册真实的重定向 UR Amazon I ](identity-create-consent-portal.md) 并在门户完成登录后完成登录。

同意门户仅支持发放 JWT 访问令牌的主要 IdPs 门户。 OAuth2-only 不签发身份令牌且未发布任何OIDC发现文档的供应商（例如，Slack GitHub、Salesforce、Atlassian和 LinkedIn）不能用作主要的IdP，尽管它们作为网关目标的出站提供商仍然有效。

## 具有 JWT 入站身份验证的网关
<a name="consent-portal-gateway-prereq"></a>

同意门户仅连接到一个亚马逊 Bedrock AgentCore Gateway 作为其单一类型`agentcore-gateway`来源。必须将网关配置为 JWT 的入站身份验证类型，以便其授权方引用 OIDC 身份提供商。当您创建意见征求门户时， Amazon 验证网关的授权方和您提供的 OAuth2 凭证提供商`idpConfig`引用的是同一 OIDC 颁发者。有关配置凭证提供商和身份提供商的更多信息，请参阅使用 AgentCore 身份和提供商设置[和配置](identity-outbound-credential-provider.md)管理凭证[提供商。](identity-idps.md)

意见征求门户仅支持发 IdPs 行 JWT 访问令牌。 IdPs 不支持发行不透明访问令牌的 OAuth2-only 供应商作为同意门户的主要 IdP。

在您创建同意门户之前，网关必须存在，但您还不需要添加其出站身份验证目标。目标决定门户的 “连接” 页面上显示的内容，其返回 URL 取决于门户`portalUrl`，该门户直到门户才存在`ACTIVE`。将目标添加为创建后的步骤，如使用 Amazon CLI [使用创建同意门户 Amazon CLI](identity-create-consent-portal.md) 创建同意门户中所述。

## 执行角色
<a name="consent-portal-execution-role-prereq"></a>

同意门户承担您在创建门户`executionRoleArn`时传递的 IAM 角色。同意门户服务扮演此角色来读取网关和 OAuth2 凭证提供商配置并检索 OAuth 客户端密钥。该角色需要特定的信任策略和权限策略。有关所需的政策和说明，请参阅[同意门户执行角色](identity-consent-portal-execution-role.md)。