Amazon Cognito dodaje wymianę tokenów OAuth 2.0 dla agentów AI i serwerów MCP

AWS dodało do Amazon Cognito wymianę tokenów OAuth 2.0, dzięki czemu usługi i agenci AI mogą zamienić token użytkownika na węższy token, z serwerami MCP jako przykładowym zastosowaniem.

Amazon Web Services uruchomiło wymianę tokenów OAuth 2.0 w Amazon Cognito 12 listopada 2026 roku, wdrażając RFC 8693, dzięki czemu usługa lub agent AI może zamienić token użytkownika na węższy token ograniczony do konkretnego docelowego interfejsu API, jak podano w ogłoszeniu Amazon Web Services.

Co zmieniło AWS

Amazon Cognito obsługuje teraz wymianę tokenów OAuth 2.0 zgodną z RFC 8693, ogłoszoną 12 listopada 2026 roku.
Usługa lub agent AI może wymienić token użytkownika na token ograniczony do konkretnego docelowego interfejsu API.
Wymienione tokeny są przeznaczone dla jednego odbiorcy (single-audience) i nie zawierają tokenu odświeżającego (refresh token).
Wymienione tokeny zawierają twierdzenie act, które identyfikuje pośrednika wykonującego wymianę.
AWS wskazuje serwery MCP jako przykładowego aktora, który może korzystać z tego mechanizmu wymiany tokenów.
Funkcja działa przez standardowy punkt końcowy tokenów OAuth lub nowe API GetDerivedToken, w planach Cognito Essentials i Plus we wszystkich regionach Cognito.

Co to znaczy dla twórców agentów AI

Aktualizacja daje twórcom agentów AI i integracji Model Context Protocol standardowy sposób na zawężanie uprawnień przekazywanych narzędziom, odpowiadając na częsty problem bezpieczeństwa, w którym agenci AI mają dostęp do nadmiernie szerokich tokenów. Wymieniając szeroki token na token przeznaczony dla jednego odbiorcy, związany z konkretnym docelowym interfejsem API i oznaczony twierdzeniem act wskazującym, który pośrednik wykonał wymianę, zespoły mogą ograniczyć, co agent lub serwer MCP może zrobić z otrzymanym poświadczeniem, oraz sprawdzić, kto o nie poprosił.

Dostępność

Mechanizm wymiany tokenów jest dostępny przez standardowy punkt końcowy tokenów OAuth w Amazon Cognito lub przez nowe API GetDerivedToken, w planach Cognito Essentials i Plus we wszystkich regionach Cognito.

Źródła

Amazon Cognito launches OAuth 2.0 token exchange (Amazon Web Services, 12 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.