Ein separates Token für den nächsten Dienst
AWS hat am 12. November OAuth 2.0 Token Exchange nach RFC 8693 für Amazon Cognito angekündigt. Ein Dienst oder KI-Agent kann damit im Auftrag eines Nutzers ein neues, auf einen bestimmten Empfänger ausgerichtetes Token anfordern. Der Austausch erfolgt über den Token-Endpunkt oder die API GetDerivedToken.
Die angeforderten Berechtigungen werden mit denen des ursprünglichen Tokens und des App-Clients abgeglichen. Der Austausch stellt kein Refresh-Token aus. Für einen gezielt eingeschränkten Aufruf sollten Entwickler die benötigten Scopes ausdrücklich angeben.
Der Vermittler muss erkennbar gemacht werden
Wird zusätzlich ein Actor-Token mitgesendet, kennzeichnet das Feld act den handelnden Vermittler. Ohne Actor-Token fehlt diese Kennzeichnung; der nachgelagerte Dienst sieht einen direkt im Namen des Nutzers ausgeführten Aufruf.
Voraussetzungen vor der Aktivierung prüfen
Die Funktion gilt laut AWS für Essentials- und Plus-User-Pools in allen Cognito-Regionen. Der Leitfaden verlangt außerdem eine Aktivierung für das Konto und passende Token-Exchange-Flows am App-Client. Die Ankündigung bedeutet daher keine automatische Umstellung bestehender Anwendungen.
Bei externen Identitätsanbietern muss der Anbieter bereits registriert und der Nutzer verknüpft sein. Der Austausch legt keine neuen Nutzer an. Prüfen lassen sich diese Voraussetzungen in der verlinkten Dokumentation, bevor eine Anwendung umgestellt wird.
