OAuth con AgentCore Gateway para servidores MCP

Introducción

A medida que los equipos adoptan asistentes de codificación agenticos —como IDEs que interaccionan de forma autónoma con servicios remotos— crece la necesidad de controles de identidad sólidos entre esos asistentes y los servidores MCP (Model Context Protocol). Amazon Bedrock AgentCore incluye el componente AgentCore Gateway, que actúa como punto central para enrutar y proteger las comunicaciones entre agentes y herramientas. En este texto veremos cómo implementar el flujo OAuth Authorization Code como mecanismo de autenticación entrante para servidores MCP protegidos por AgentCore Gateway.

Este enfoque garantiza que cada petición enviada por un asistente AI a un servidor MCP esté respaldada por un token de identidad válido emitido por el proveedor de identidad de su organización.

Por qué esto importa para organizaciones en América Latina

Muchas empresas en la región integran herramientas locales y servicios en la nube con asistentes AI para acelerar desarrollo y operaciones. Sin un control de identidad robusto, se corre el riesgo de exponer APIs internas o datos sensibles. Usar OAuth Authorization Code con PKCE asegura que las solicitudes provengan de usuarios autenticados y ofrece compatibilidad con proveedores comunes (Okta, Microsoft Entra ID, Amazon Cognito), lo que facilita el cumplimiento y la gobernanza en entornos corporativos latinoamericanos.

Arquitectura general y componentes clave

En esta configuración, AgentCore Gateway funciona como ‘resource server’ OAuth que exige un token de identidad válido antes de permitir acceso a los recursos MCP. Los componentes principales son:

Proveedor de identidad (IdP): Gestiona la autenticación de usuario y emite tokens OIDC/OAuth.
Usuario: Persona que autentica y da consentimiento al flujo OAuth.
AgentCore Gateway: Valida tokens y proxya solicitudes hacia el servidor MCP.
Asistente agentico (cliente MCP): Por ejemplo, Kiro IDE, que actúa como cliente OAuth y orquesta el flujo de autenticación.
Servidor MCP: Las herramientas y APIs que requieren acceso protegido.
MCP OAuth proxy (opcional): Normaliza diferencias de especificación entre asistentes, IdPs y servidores MCP para facilitar la integración.

Cómo funciona el flujo de autorización (paso a paso)

Conexión inicial del cliente MCP: El asistente (p. ej. Kiro IDE) intenta acceder al endpoint MCP en AgentCore Gateway.
Desafío de autenticación: Si falta un token válido, el Gateway responde con HTTP 401 e incluye un encabezado www-authenticate que apunta al endpoint de Protected Resource Metadata (.well-known/oauth-protected-resource) conforme a la especificación MCP.
Descubrimiento: El cliente consulta el Protected Resource Metadata y obtiene la URL de descubrimiento del servidor de autorización del IdP (por ejemplo, https://{yourIdPDomain}/oauth2/default/.well-known/openid-configuration).
Redirección del usuario: El cliente abre el navegador del usuario y lo redirige al endpoint de autorización del IdP usando PKCE y solicitando los scopes necesarios (por ejemplo, openid profile email offline_access).
Autenticación y consentimiento: El usuario ingresa sus credenciales en el IdP y concede permisos al cliente.
Código de autorización: Tras la aprobación, el IdP redirige el navegador a la URL de callback local del cliente con un código de autorización.
Intercambio de token: El cliente envía el código y el verificador PKCE al endpoint de token del IdP.
Emisión de token: El IdP valida la solicitud y devuelve un access token (y opcionalmente un refresh token).
Peticiones autenticadas: El cliente incluye el access token en el header Authorization de las siguientes solicitudes. AgentCore Gateway valida firma, expiración, issuer, audience y claims personalizados antes de enrutar la petición al servidor MCP.

Configuración requerida (resumen)

Proveedor de identidad: Crear una aplicación OIDC web que permita Authorization Code y Refresh Token. Configurar los redirect URIs del cliente.
AgentCore Gateway: Establecer la autorización entrante a JWT y apuntar la URL de descubrimiento al issuer del IdP (por ejemplo, https://{yourIdPDomain}/oauth2/default/.well-known/openid-configuration).
Cliente (Kiro IDE u otro): Agregar la URL del Gateway en Settings > Connectors o mediante la CLI. Cuando el Gateway responda con 401 y el header correcto, el cliente iniciará automáticamente el flujo OAuth.

Integración con Kiro IDE

Kiro IDE actúa como cliente OAuth en este esquema. El comportamiento típico es:

Al detectar el 401 con el encabezado de Protected Resource Metadata, Kiro consulta la metadata del Gateway.
Kiro abre el navegador del usuario y completa el flujo Authorization Code con PKCE.
Tras el intercambio de tokens, Kiro incluye el access token en las solicitudes hacia AgentCore Gateway.

La configuración práctica consiste en añadir la URL del Gateway en la sección Connectors de Kiro o pasarla por la CLI; el resto del proceso se automatiza según la especificación MCP y OpenID Connect.

Buenas prácticas y consideraciones

Usen PKCE: Protege el intercambio de tokens en clientes públicos y es esencial para asistentes locales.
Scopes y mínimos privilegios: Soliciten sólo los scopes estrictamente necesarios para las operaciones del asistente.
Validación estricta de tokens: El Gateway debe verificar firma, expiración, issuer, audience y claims personalizados para prevenir acceso indebido.
Refresh tokens y revocación: Habiliten refresh tokens con políticas adecuadas y consideren mecanismos para revocar tokens en caso de compromiso.
MCP OAuth proxy: Si su ecosistema mezcla implementaciones del lado del agente, IdP y MCP con diferencias de spec, un proxy puede facilitar la estandarización.
Cumplimiento y auditoría: Registre eventos de autenticación y accesos para cumplir con regulaciones locales y requisitos de seguridad.

Recomendaciones para equipos y decisiones técnicas

Selección del IdP: Okta, Microsoft Entra ID y Amazon Cognito son opciones citadas; escojan según integración con su directorio, requisitos de cumplimiento y costos.
Prueben en entornos controlados: Validen el flujo completo (descubrimiento, redirección, intercambio de tokens, validación en Gateway) en un entorno de staging antes de producción.
Documenten flujos y responsabilidades: Definan claramente quién administra el IdP, el Gateway y los servidores MCP para acelerar resolución de incidentes.

Resumen y siguientes pasos

Implementar el flujo Authorization Code con AgentCore Gateway convierte cada petición de un asistente AI en una acción autenticada y verificable, alineando seguridad y trazabilidad para usos empresariales. Como próximos pasos prácticos:

Configuren una aplicación OIDC en su IdP con Authorization Code y Refresh Token habilitados.
Ajusten AgentCore Gateway para usar JWT inbound y configuren la URL de descubrimiento del IdP.
Agreguen la URL del Gateway en los clientes MCP (p. ej. Kiro IDE) y realicen pruebas de end-to-end.

Con estos elementos podrán asegurar que los asistentes agenticos operen dentro de los controles de identidad corporativos, reduciendo riesgos y permitiendo una adopción responsable de automatización AI en sus proyectos.