AWS detalha troca de tokens entre AgentCore Gateway e ServiceNow
A AWS publicou um guia para configurar o gateway do Amazon Bedrock AgentCore com o Microsoft Entra ID e preservar a identidade do usuário nas chamadas ao ServiceNow. A troca de tokens ocorre no gateway, sem código personalizado.
A AWS publicou um guia para configurar o Amazon Bedrock AgentCore Gateway com a troca de tokens “em nome do usuário” (OBO, na sigla em inglês) do Microsoft Entra ID. O fluxo permite que um agente de IA chame a API REST do ServiceNow mantendo a identidade de quem iniciou a solicitação, para que o serviço aplique as permissões desse usuário.
O gateway troca o token recebido por outro destinado à API do ServiceNow. O Entra ID valida se o usuário consentiu com a delegação, e o ServiceNow associa a identidade recebida a uma conta existente. Segundo a AWS, essa configuração evita que as chamadas apareçam como se tivessem sido feitas apenas pelo aplicativo do agente, o que poderia contornar controles de acesso individuais e prejudicar registros de auditoria.
O guia descreve ajustes nos registros de aplicativos do Entra ID, na integração OAuth do ServiceNow e no gateway. A troca é feita nativamente pelo AgentCore Gateway, sem uma função AWS Lambda intermediária ou código personalizado. O suporte exige a versão MCP 2025-11-25; gateways criados com versões anteriores não podem habilitar o recurso. A AWS diz que o padrão também pode ser usado com outras APIs REST protegidas por OAuth.
O que muda para você
O guia é voltado a equipes que conectam agentes de IA a APIs corporativas com Microsoft Entra ID e ServiceNow. Elas podem configurar a troca de tokens no AgentCore Gateway para que o ServiceNow aplique as permissões do usuário que fez a solicitação. Ainda é preciso ajustar as integrações nos serviços envolvidos, e o suporte nativo exige a versão MCP 2025-11-25 do gateway.
Minha leitura
Manter a identidade do usuário na chamada resolve um problema concreto de controle de acesso, mas não torna a integração automática. A equipe ainda precisa configurar corretamente o Entra ID, o ServiceNow e o gateway, além de usar a versão MCP exigida. Eu vejo o guia como uma opção para quem já trabalha com essa arquitetura; a utilidade depende de a configuração caber no ambiente existente.
Thiago FelizolaConsultor de IA, curador do Diário da IA
