Autentique usuarios finales con su propio proveedor de identidad authentication

De forma predeterminada, cada acción de la aplicación es pública. Cualquier plataforma LLM con la URL de su servidor MCP puede llamar a esas acciones, y su controlador no puede identificar al usuario final.

Active la autenticación cuando una acción necesite saber qué usuario final solicita, por ejemplo, devolver sus pedidos, derechos o detalles de cuenta. La plataforma LLM inicia sesión con su proveedor de identidad (IdP), envía el token de acceso resultante con cada llamada y su controlador recibe la identidad verificada.

En esta guía: Aprenda a conectar a su proveedor de identidad y a elegir qué acciones requieren el inicio de sesión. Utilice la identidad verificada en sus controladores, implemente la aplicación y pruebe las acciones de inicio de sesión y protegidas.

La configuración de la autenticación es una tarea avanzada. Complete primero Configuración de infraestructura, Crear acciones y Implementar su aplicación.

Funcionamiento

Traes tu propio proveedor de identidad. La aplicación implementada es solo un servidor de recursos de OAuth 2.1; verifica los tokens que emitió el servidor de autorización. Nunca emite tokens y Adobe nunca almacena su ID de cliente o secreto de cliente.

┌── Your identity provider ───────────────────────────────────────────────┐
│  Authorization server — you own it                                      │
│  Issues access tokens, holds the user directory, defines the scopes     │
└─────────────────────────────────────────────────────────────────────────┘
        ▲  2  user signs in, platform gets an access token
        │                                    │
        │  1  platform discovers your        │  3  every tools/call carries
        │     authorization server from      │     Authorization: Bearer <token>
        │     your app's metadata            ▼
┌── LLM platform (ChatGPT, Claude, …) ────────────────────────────────────┐
└─────────────────────────────────────────────────────────────────────────┘
                                             │
                                             ▼
┌── Your LLM App on Adobe I/O Runtime ────────────────────────────────────┐
│  Resource server — verifies the token's signature, issuer, audience,    │
│  and expiry, then enforces the auth mode you set for each action        │
│                                                                         │
│  Your handler reads the verified identity from its second argument      │
└─────────────────────────────────────────────────────────────────────────┘

Configure la autenticación por entorno. Fase y Producción tienen configuraciones independientes. Compruebe la configuración con un inquilino de IdP de desarrollo antes de habilitar la autenticación en Production.

Antes de empezar

Copiar el identificador de recurso

El identificador de recurso de su aplicación es la URL de su servidor MCP. Cada token de acceso que el proveedor de identidad emita para la aplicación debe nombrar esa URL exacta como su audiencia. Este enlace de audiencia evita el uso de un token emitido para otro servicio.

Mantenga la URL del servidor MCP copiada para la configuración del proveedor de identidad en el siguiente paso. Pegue la dirección URL en lugar de volver a escribirla. La comprobación de audiencia requiere una coincidencia de cadena exacta, incluida la ruta. Una sola diferencia de caracteres hace que cada token falle en la validación.

Configuración del proveedor de identidad

Los pasos varían según el proveedor. Configure los cuatro elementos siguientes.

Activar autenticación

Para conocer los requisitos de campo, consulte Configuración de autenticación.

Elija un modo de autenticación para cada acción

Cuando activa Habilitar autenticación, cada acción establecida actualmente en Ninguno cambia a Requerido. En Configuración por acción, revise esa asignación y establezca el modo que necesita cada acción:

Las acciones ya establecidas en Obligatorio o Opcional mantienen su modo existente.

Para una acción Requerida o Opcional, agregue los Ámbitos que necesita. Todos los ámbitos deben aparecer en Ámbitos admitidos, de modo que la aplicación anuncie todos los permisos necesarios a las plataformas LLM. La plataforma bloquea el guardado hasta que se resuelve cualquier discrepancia en el ámbito.

Ámbitos admitidos controla los ámbitos disponibles. Al quitar un ámbito de esa lista, se quita inmediatamente el ámbito de todas las acciones que lo requieran. Agregue cada ámbito a la lista antes de asignar el ámbito a una acción.

Si se selecciona Requerir autenticación en todas las acciones, se cambian Ninguna acciones a Requerido, pero se conservan las acciones ya establecidas en Opcional. Para requerir el inicio de sesión en cada acción, cambie las filas opcionales restantes a Requeridas de forma individual. Al desactivar la casilla de verificación, todas las acciones se devuelven a None.

Seleccione Guardar cuando haya terminado. Los cambios de modo y ámbito de autenticación se guardan junto con la configuración de nivel de aplicación.

ChatGPT admite modos de autenticación mixtos en una aplicación y aplica el modo de cada acción de forma individual. Las acciones públicas no solicitan el inicio de sesión; las acciones protegidas solicitan el inicio de sesión según sea necesario.

Claude también admite aplicaciones mixtas mediante autenticación diferida. Con Iniciar sesión cuando sea necesario seleccionado durante la configuración del conector, las acciones públicas se pueden usar de forma anónima y la plataforma solicita iniciar sesión cuando se llama a una acción Requerida. Una aplicación cuyas acciones sean todas Requeridas requiere inicio de sesión antes de usar. Consulte Comportamiento de la plataforma LLM para ver la distinción entre una acción necesaria y un controlador opcional que solicita el inicio de sesión.

Implementación del cambio

Los cambios de autenticación se aplicarán en la próxima implementación de esta aplicación. Vuelva a implementar la aplicación en el entorno que configuró. Ver Implementar tu aplicación.

La URL del servidor MCP no cambia. Actualice los metadatos de la conexión y compruebe que sus opciones de autenticación coinciden con la nueva configuración de la aplicación. Una plataforma puede requerir que vuelva a conectarse o que vuelva a crear la conexión cuando cambie su método de autenticación.

Leer la identidad en el controlador

Una identidad verificada llega al controlador como el segundo argumento cada vez que el llamador envía un token válido, independientemente del modo de autenticación de la acción. Una acción Opcional puede usar esa identidad para personalizar los resultados cuando estén disponibles y devolver un resultado anónimo en caso contrario.

Use getAuthenticatedUser para leer al usuario que inició sesión:

const { getAuthenticatedUser } = require('@adobe/llm-apps-runtime');

module.exports = async ({ orderId }, extra) => {
  const userId = getAuthenticatedUser(extra);

  if (!userId) {
    return { content: [{ type: 'text', text: 'Sign in to see your orders.' }] };
  }

  const order = await fetchOrderForUser(userId, orderId);

  return {
    content: [{ type: 'text', text: `Order ${order.id} is ${order.status}.` }],
    structuredContent: order
  };
};

El motor en tiempo de ejecución verifica el token por usted. Para una acción Required, bloquea todas las llamadas que carecen de un token válido con los ámbitos enumerados. El controlador sólo se ejecuta para un llamador autorizado. Use hasScope para elegir el comportamiento del controlador en función de un permiso; por ejemplo, en una acción Opcional.

Para solicitar el inicio de sesión durante una conversación, devuelva extra.challengeAuth() del controlador. El asistente solo está disponible en acciones opcionales:

module.exports = async ({ signIn }, extra) => {
  if (signIn && !extra.authInfo) {
    return extra.challengeAuth({
      error: 'invalid_token',
      errorDescription: 'Sign in to see member pricing.'
    });
  }

  return {
    content: [{
      type: 'text',
      text: extra.authInfo ? await memberDeals() : await publicDeals()
    }]
  };
};

Use un parámetro de entrada explícito, como signIn en este ejemplo, para decidir cuándo solicitar autenticación. No deduzca esa decisión de la redacción del usuario.

Establezca error para que coincida con la condición notificada. Use invalid_token cuando el llamador no tenga una sesión válida y necesite iniciar sesión, como en el ejemplo anterior. Use insufficient_scope cuando el llamador haya iniciado sesión, pero el token no tiene el ámbito requerido. Cada plataforma LLM elige la redacción rápida y cómo responder al código de error. Envíe el código que describa con precisión la condición.

Solicite la autenticación solo cuando falte la identidad requerida, como lo hace la comprobación !extra.authInfo en este ejemplo. El inicio de sesión no resuelve un desafío incondicional: el controlador solicita de nuevo la autenticación en cada llamada.

Mantener el lado del servidor de identidad. Pase solamente los datos que necesita el widget a structuredContent. Nunca incluya un token de acceso en structuredContent. Vea Personalizar un controlador generado.

Para obtener el contrato completo, consulte API de autenticación de controlador.

Prueba de la aplicación protegida

El complemento o conector existente utiliza la configuración actualizada después de la implementación. Para crear una nueva conexión, siga las instrucciones de la plataforma:

ChatGPT

En el cuadro de diálogo Nuevo complemento, configure Autenticación para que coincida con la forma en que configuró las acciones de la aplicación:

Una acción Optional siempre acepta llamadas anónimas, por lo que una aplicación que contenga una nunca estará completamente cerrada: elija Mixta aunque cada acción esté establecida en Opcional. Solo obligatorio rechaza los llamadores no autenticados.

Consulte Probar el complemento ChatGPT para ver el resto del cuadro de diálogo.

Claude

Añada el conector personalizado y revise su configuración de autenticación. Para una aplicación mixta pública/protegida, elige Iniciar sesión cuando sea necesario cuando esté disponible. Para solicitar el inicio de sesión antes de usar el conector, seleccione Iniciar sesión ahora. El cuadro de diálogo varía según la cuenta u organización; consulte Probar el conector Claude.

Verificar

Si el inicio de sesión no se inicia o se rechaza un token, consulte Solución de problemas.

Guía de seguridad

Siguientes pasos