本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# AgentCore 身份术语
<a name="identity-terminology"></a>

AgentCore Identity 使用特定的术语来描述工作负载身份管理和凭据处理中涉及的组件、流程和关系。了解这些术语将帮助您更好地理解该服务如何在代理工作流程中协调多方的安全身份验证和授权。


<table>
<thead>
  <tr><th>租期</th><th>定义</th></tr>
</thead>
<tbody>
  <tr><td colspan="2"> <b>身份和身份验证 </b> </td></tr>
  <tr><td>座席</td><td>通过访问 Amazon 资源和第三方服务代表用户执行任务的 AI-powered 应用程序或自动化工作负载。代理在获得预先授权的用户同意后采取行动，以实现用户目标，例如从 API 检索数据、处理信息或与第三方系统集成。与使用静态凭据运行的传统应用程序不同，代理需要动态身份管理才能安全地访问多个信任域中的资源，同时保持正确的身份验证和授权边界。</td></tr>
  <tr><td>代理身份</td><td>AI 代理或自动化工作负载的唯一标识符和相关元数据。代理身份以工作负载身份的形式实现，具有将其标识为代理的特定属性，从而在保持与更广泛的工作负载身份标准的兼容性的同时实现了专业代理功能。代理身份使代理能够以自己的身份进行身份验证，而不是冒充用户，从而支持基于委托的访问模式。</td></tr>
  <tr><td>代理身份目录</td><td>管理代理身份及其关联元数据和访问策略的集中式注册表。与 Cognito 用户池类似，它充当管理单元，用于在账户或区域内组织代理身份。</td></tr>
  <tr><td>工作负载身份</td><td>代理身份的底层技术实现，代表独立于特定硬件或基础架构的逻辑应用程序或工作负载。工作负载身份可以在不同的环境中运行，同时保持一致的身份验证。代理身份是一种特殊类型的工作负载身份，具有其他代理特定的属性和功能。</td></tr>
  <tr><td colspan="2"> <b>集成和协议 </b> </td></tr>
  <tr><td>Cross-service 代理人</td><td>对多个服务执行操作的 AI 代理，可能包括访问系统资源（使用机器间身份验证）或用户特定数据（使用用户委托的访问权限）。示例包括与多个后端系统集成以进行数据处理的代理或访问用户日历、电子邮件和文档存储的代理。这些代理需要复杂的身份管理才能在不同的信任域中安全运行。</td></tr>
  <tr><td>MCP 客户端</td><td>允许代理与 MCP 服务器通信以访问外部工具和资源的客户端组件。MCP 客户端出示身份验证令牌以安全地访问 MCP 工具。</td></tr>
  <tr><td>MCP 服务器</td><td>为 MCP 客户机托管工具和资源的中间服务器。MCP 服务器在代理访问时充当 OAuth 2.0 资源服务器，在访问下游资源时充当 OAuth 2.0 客户端。</td></tr>
  <tr><td>模型上下文协议 (MCP)</td><td>MCP 是一种开放协议，它标准化了应用程序为语言模型提供上下文的方式。 AgentCore Identity 是 MCP-compliant，支持代理与工具通信的标准协议，并支持与 MCP 服务器和工具的安全集成。</td></tr>
  <tr><td colspan="2"> <b>OAuth 和代币管理 </b> </td></tr>
  <tr><td>OAuth 2.0</td><td>一种行业标准授权框架（在 <a href="https://datatracker.ietf.org/doc/html/rfc6749"> RFC 6749 中定义</a>），使应用程序能够在不暴露用户凭证的情况下获得对外部服务用户帐户的有限访问权限。OAuth 2.0 允许用户通过访问令牌而不是共享密码向第三方应用程序授予对其资源的访问权限，从而提供安全的委托。对于代理应用程序，OAuth 2.0 支持通过多种服务安全访问用户数据，同时保持适当的身份验证边界和用户同意机制。</td></tr>
  <tr><td>OAuth 2.0 授权方</td><td>一个 SDK 组件，用于对向代理端点传入的 OAuth 2.0 API 请求进行身份验证和授权。它在允许访问代理服务之前验证令牌。</td></tr>
  <tr><td>OAuth 2.0 客户端凭证授予 (2LO)</td><td>OAuth 客户端凭据授予用于无需用户交互的计算机对机器身份验证。代理使用 2LO 直接向资源服务器进行身份验证。</td></tr>
  <tr><td>OAuth 2.0 授权码授予 (3LO)</td><td>OAuth 授权码授予涉及用户同意和互动。当代理需要明确的用户权限才能访问来自谷歌日历或Salesforce等外部服务的用户特定数据时，他们会使用3LO。</td></tr>
  <tr><td>代理访问令牌</td><td>一个包含工作负载身份和用户身份信息的 Amazon签名令牌，使下游服务能够基于这两个身份做出授权决策。这些代币是通过代币交换过程创建的。</td></tr>
  <tr><td colspan="2"> <b>安全与信任 </b> </td></tr>
  <tr><td>身份传播</td><td>通过一系列服务调用维护和传递身份上下文的过程。这使下游服务能够根据呼叫服务身份和原始用户身份做出授权决策。</td></tr>
  <tr><td>信任域</td><td>一种安全边界，在该边界内实体共享通用的身份验证和授权机制。代理工作流程通常跨越多个信任域，需要谨慎的身份传播和代币交换。</td></tr>
  <tr><td>请求安全验证</td><td>一种安全模型，无论来源或以前的信任关系如何，每个请求都经过身份验证和授权。 AgentCore Identity 实现请求验证，以确保所有访问请求得到验证。</td></tr>
  <tr><td colspan="2"> <b>服务组件 </b> </td></tr>
  <tr><td>资源凭证提供商</td><td>该组件用于管理与外部身份提供商和资源服务器的连接，处理 OAuth 2.0 授权流程和凭据检索。它协调了从第三方服务获取和刷新凭证的复杂过程。有关详细配置信息，请参阅<a href="resource-providers.md">配置凭据提供商</a>。</td></tr>
  <tr><td>代币库</td><td>用于 OAuth 2.0 令牌、API 密钥和其他凭证的安全存储系统，在严格的访问控制下运行。令牌库确保只有最初获得凭证的特定代理和用户组合才能访问凭证。</td></tr>
  <tr><td>同意门户</td><td>一个托管的托 Amazon管门户，可向 OIDC 身份提供商对您的最终用户进行身份验证，并在代理代表他们访问下游资源之前征得他们的同意。同意门户连接到配置了 JWT 入站身份验证的 AgentCore 网关，并将 OAuth 流程保留在服务器端。有关更多信息，请参阅<a href="identity-consent-portal.md">配置同意门户</a>。</td></tr>
</tbody>
</table>