Riferimento autenticazione authentication-reference
Utilizzare questa pagina per cercare campi e contratti di autenticazione. Per il percorso di installazione, vedere Autenticare gli utenti finali con il proprio provider di identità.
Impostazioni di autenticazione authentication-settings
Trovato in Impostazioni > Autenticazione. Ogni campo viene archiviato per ogni ambiente: il selettore Workspace seleziona quello che si sta modificando e il salvataggio non influisce mai sull’altro.
iss prevista. Deve essere HTTPS. Pubblicato anche come server di autorizzazione dell’app. Un provider di identità per appRegole di convalida
offline_access è elencato in Ambiti supportati o in un’azioneoffline_access richiede un token di aggiornamento dal server di autorizzazione anziché concedere l’accesso all’app, pertanto non è un ambito pubblicizzato dall’app. Non è necessario elencarla: la piattaforma LLM lo richiede direttamente al server di autorizzazioneLe barre finali su Emittente sono normalizzate e il confronto iss tollera la differenza: un provider che emette sempre una barra finale viene comunque convalidato.
Modalità di autenticazione auth-modes
Impostato per azione in Configurazione per azione.
noauthoauth2noauth e oauth2Il gestore di un’azione Required non viene mai eseguito senza un token con ambito corretto valido. Il gestore di un’azione Optional è sempre in esecuzione e può richiedere l’accesso con extra.challengeAuth().
Obbligatorio è pertanto l’unica modalità che rifiuta i chiamanti non autenticati. Un’app è completamente gestita solo quando ciascuna delle sue azioni è Obbligatoria; una singola azione Nessuna o Facoltativa rende l’app mista, perché le chiamate anonime vengono comunque eseguite correttamente per almeno un’azione.
Le modalità di autenticazione sono attive solo quando è attiva l’opzione Abilita autenticazione. Le modifiche diventano effettive alla prossima distribuzione dell’app.
L’attivazione di tale opzione riscrive le modalità per azione:
Il passaggio a Workspace non riscrive mai le modalità e carica la configurazione salvata dell’altro ambiente così com’è.
Abilita autenticazione su con ogni azione impostata su Nessuno è una combinazione valida ma inerte: nessuna chiamata viene mai rifiutata, tuttavia l’app pubblica ancora il server di autorizzazione per l’individuazione. Disattiva l’interruttore per rendere l’app completamente pubblica.
Le modalità possono essere combinate liberamente in una sola app. Per informazioni sulle modalità di applicazione di ciascuna piattaforma, vedere comportamento della piattaforma LLM.
Requisiti del token token-requirements
Il provider di identità deve rilasciare token di accesso che soddisfino tutte le condizioni seguenti. Un token che non supera un controllo viene considerato assente: il chiamante non è autenticato e un’azione Obbligatorio impedisce l’accesso.
RS256, RS384, RS512, ES256, ES384, ES512, PS256, PS384 o PS512. Gli algoritmi HMAC come HS256 vengono rifiutatiissaudexpscope oppure scpsubgetAuthenticatedUserAuthorization: Bearer <token> intestazione di richiestaEventuali attestazioni flat aggiuntive incluse dal provider, ad esempio tenant o email, vengono passate al gestore. Gli oggetti nidificati vengono eliminati e i valori stringa lunghi vengono troncati.
Individuazione provider di identità discovery
L’app pubblica i metadati delle risorse protette RFC 9728 in modo che le piattaforme LLM possano individuare il server di autorizzazione. Non puoi creare, ospitare o configurare nulla per esso.
È necessario fornire l’individuazione da parte dell’utente:
/.well-known/. L’app la legge per individuare le chiavi di firmahttps://auth.example.com/oauth2/default fornisce i propri metadati in https://auth.example.com/.well-known/oauth-authorization-server/oauth2/defaultAPI di autenticazione gestore handler-auth-api
Esportato da @adobe/llm-apps-runtime. Ogni helper accetta extra, il secondo argomento ricevuto dal gestore.
getAuthenticatedUser(extra)sub dell’utente connesso o undefined quando la chiamata non è autenticatahasScope(extra, scope)true quando il token del chiamante contiene scopeLe informazioni sul token verificate non elaborate si trovano in extra.authInfo, che è undefined per una chiamata non autenticata.
authInfo.tokenauthInfo.clientIdclient_id o azp oppure unknownauthInfo.scopesauthInfo.expiresAtexpauthInfo.resourceauthInfo.extrasub più altre richieste di rimborso forfettarie incluse nel provider di identitàextra.challengeAuth(options) è disponibile solo per Azioni facoltative. Restituisce il risultato dal gestore per chiedere all’utente di accedere invece di restituire il contenuto.
errorinvalid_token, insufficient_scope o invalid_request. Impostazione predefinita: insufficient_scopeerrorDescriptionscopeerror esplicitamente. Utilizzare invalid_token per un chiamante senza una sessione valida e insufficient_scope solo per un chiamante il cui token è valido ma non dispone di un ambito richiesto. Il valore viene trasmesso alla piattaforma LLM, che decide autonomamente come formulare il prompt visualizzato dall'utente. Invia il codice che descrive accuratamente la condizione anziché quella di cui preferisci il prompt.Comportamento della piattaforma LLM platform-behavior
Il supporto per l’autenticazione di singole azioni varia in base alla piattaforma. Configurare nello stesso modo per entrambi; la differenza è ciò che l’utente sperimenta.