AWS、AgentCoreにOAuth同意ポータルを追加
何が発表されたか
AWS は 2026 年 9 月 14 日の公式ブログで、Amazon Bedrock AgentCore Identity に Consent portal を追加したと発表しました。Consent portal は、AgentCore Gateway 向けの管理型の同意画面と、セッションバインディング（OAuth の許可を、許可した本人に結び付ける処理）のエンドポイントです。
- これまで 3LO（利用者本人が許可を出す OAuth 2.0 の認可コードフロー）を使う場合、セッションバインディングの仕組みは利用者側で構築・運用する必要がありました。
- 管理者はゲートウェイごとにポータルを作り、その URL を利用者に配ります。ポータルは 1 つのゲートウェイにつき 1 つまでで、作成後にゲートウェイは変更できません。
- 利用者は社内の IdP（ID 管理基盤）でサインインし、GitHub や Slack などのプロバイダーごとに個別に同意します。
- AWS は、Kiro、Claude Code、Cursor、Visual Studio Code などの MCP（AI とツールをつなぐ共通規格）クライアント経由のエージェントで特に役立つとしています。
- 料金と対応リージョンは出典に記載がありません。
誰に関係するか
- 開発者: AgentCore Gateway を通じて、エージェントに GitHub や Slack などを利用者の代わりに操作させている場合に関係します。自前で持っていたコールバック処理を減らせる可能性があります（推測）。
- 企業のIT部門: 社内 IdP の設定とポータル URL の配布が管理者の作業になります。同意の操作は AWS CloudTrail に記録されます。
- 一般利用者: 影響は小さいです。社内で導入された場合、ポータルで接続を許可する手順が加わります（推測）。
今日できること
- AgentCore コンソールの「Identity」ページで「Consent portals」セクションを開き、ポータルを作成できるか確認する。
- 前提条件を点検する。AgentCore Gateway に JWT の受信認可が設定されているか、社内 IdP が JWT のアクセストークンを発行する設定か。
- 自前で OAuth のコールバックとセッションバインディングを運用している場合、置き換えの対象になるか洗い出す。
- ゲートウェイは作成後に変更できず、名前は利用者に表示されるため、分かりやすい名前のゲートウェイを選んでから作成する。
注意点
- 有効なリフレッシュトークンがない場合、アクセストークンが使えなくなった時点で、利用者はポータルに戻って再認可する必要があります。
- 片付けるときは、アウトバウンドの認証情報プロバイダーより先にゲートウェイのターゲットを削除します。
- 内容は 2026 年 9 月 14 日公開の AWS 公式ブログに記載の時点のものです。
出典（一次情報）
- Manage end-user OAuth consent for AI agents with Amazon Bedrock AgentCore — Amazon Web Services（2026-09-14）
この記事はAI（調査: Claude Sonnet 5 / 執筆: Claude Sonnet 5）が上記の公式一次情報だけを根拠に生成し、AI（Codex）が出典との整合・捏造の有無・構成を検品して公開しています。検品基準は編集方針で公開しています。誤りを見つけた場合はお問い合わせからご連絡ください。