자체 ID 공급자로 최종 사용자 인증 authentication

기본적으로 앱의 모든 작업은 공개입니다. MCP 서버 URL이 있는 모든 LLM 플랫폼은 이러한 작업을 호출할 수 있으며 핸들러가 최종 사용자를 식별할 수 없습니다.

작업에서 주문, 권한 또는 계정 세부 사항을 반환하는 등 어떤 최종 사용자가 요청하는지 알아야 할 때 인증을 켭니다. LLM 플랫폼은 ID 공급자(IdP)를 사용하여 사용자에게 로그인하고, 모든 호출과 함께 결과 액세스 토큰을 전송하며, 핸들러가 확인된 ID를 수신합니다.

이 안내서: ID 공급자를 연결하고 로그인이 필요한 작업을 선택하는 방법에 대해 알아봅니다. 핸들러에서 확인된 ID를 사용하고, 앱을 배포하고, 로그인 및 보호된 작업을 테스트합니다.

인증 설정은 고급 작업입니다. 먼저 인프라 설정, 작업 만들기 및 앱을 배포하세요.

작동 방식

자체 ID 공급자를 가져옵니다. 배포된 앱은 OAuth 2.1 리소스 서버​일 뿐입니다. 인증 서버가 발급된 토큰을 확인합니다. 토큰을 발급하지 않으며, Adobe에서 클라이언트 ID 또는 클라이언트 암호를 저장하지 않습니다.

┌── Your identity provider ───────────────────────────────────────────────┐
│  Authorization server — you own it                                      │
│  Issues access tokens, holds the user directory, defines the scopes     │
└─────────────────────────────────────────────────────────────────────────┘
        ▲  2  user signs in, platform gets an access token
        │                                    │
        │  1  platform discovers your        │  3  every tools/call carries
        │     authorization server from      │     Authorization: Bearer <token>
        │     your app's metadata            ▼
┌── LLM platform (ChatGPT, Claude, …) ────────────────────────────────────┐
└─────────────────────────────────────────────────────────────────────────┘
                                             │
                                             ▼
┌── Your LLM App on Adobe I/O Runtime ────────────────────────────────────┐
│  Resource server — verifies the token's signature, issuer, audience,    │
│  and expiry, then enforces the auth mode you set for each action        │
│                                                                         │
│  Your handler reads the verified identity from its second argument      │
└─────────────────────────────────────────────────────────────────────────┘

환경별 인증을 구성하십시오. 단계 및 프로덕션​은(는) 독립적인 설정을 유지합니다. 프로덕션​에서 인증을 활성화하기 전에 개발 IdP 테넌트에 대해 구성을 확인하십시오.

시작하기에 앞서

리소스 식별자 복사

앱의 리소스 식별자​은(는) MCP 서버 URL입니다. ID 공급자가 앱에 대해 발급하는 모든 액세스 토큰은 해당 정확한 URL의 이름을 대상자로 지정해야 합니다. 이 대상 바인딩은 다른 서비스에 대해 발급된 토큰을 사용할 수 없도록 합니다.

다음 단계에서는 ID 공급자 구성을 위해 복사된 MCP 서버 URL을 유지합니다. URL을 다시 입력하는 대신 붙여 넣습니다. 대상 검사는 경로를 포함하여 정확한 문자열 일치를 요구합니다. 단일 문자 차이로 인해 모든 토큰이 유효성 검사에 실패합니다.

ID 공급자 구성

단계는 공급자에 따라 다릅니다. 다음 네 가지 항목을 구성합니다.

인증 켜기

필드 요구 사항에 대해서는 인증 설정을 참조하십시오.

각 작업에 대한 인증 모드 선택

인증 사용​을 켜면 현재 없음(으)로 설정된 모든 작업이 필수(으)로 변경됩니다. 작업별 구성​에서 해당 할당을 검토하고 각 작업에 필요한 모드를 설정하십시오.

작업이 이미 필수 또는 선택적(으)로 설정되어 있으면 기존 모드를 유지합니다.

필수 또는 선택적 작업의 경우 필요한 범위​를 추가하십시오. 모든 범위는 지원되는 범위​에 이미 표시되어야 앱에서 LLM 플랫폼에 필요한 각 권한을 광고합니다. 플랫폼은 범위 불일치를 해결할 때까지 저장을 차단합니다.

지원되는 범위​은(는) 사용 가능한 범위를 제어합니다. 해당 목록에서 범위를 제거하면 필요한 모든 작업에서 범위가 즉시 제거됩니다. 작업에 범위를 할당하기 전에 각 범위를 목록에 추가합니다.

모든 작업에 대해 인증 필요​를 선택하면 없음 작업이 필수(으)로 변경되지만 이미 선택 사항(으)로 설정된 작업은 그대로 유지됩니다. 모든 작업에 로그인하려면 나머지 선택적 행을 개별적으로 필수(으)로 변경하십시오. 확인란을 지우면 모든 작업이 없음(으)로 반환됩니다.

완료되면 저장​을 선택하세요. 인증 모드 및 범위 변경 사항은 앱 수준 설정과 함께 저장됩니다.

ChatGPT은(는) 하나의 앱 내에서 혼합 인증 모드를 지원하고 각 작업의 모드를 개별적으로 적용합니다. 공개 작업은 로그인을 묻는 메시지를 표시하지 않습니다. 보호된 작업은 필요에 따라 메시지를 표시합니다.

Claude은(는) 지연 인증​을 통해 혼합 앱도 지원합니다. 커넥터 설정 중에 필요한 경우 로그인​을 선택하면 공개 작업이 익명으로 사용 가능하며 필수 작업이 호출되면 플랫폼에서 로그인을 요청합니다. 작업이 모두 필수​인 앱은 사용하기 전에 로그인해야 합니다. 필요한 작업과 로그인을 요청하는 선택적 처리기를 구분하려면 LLM 플랫폼 동작을 참조하세요.

변경 사항 배포

인증 변경 사항은 이 앱의 다음 배포에 적용됩니다. 구성한 환경에 앱을 다시 배포​합니다. 앱 배포를 참조하세요.

MCP 서버 URL은 변경되지 않습니다. 연결의 메타데이터를 새로 고치고 해당 인증 설정이 앱의 새 구성과 일치하는지 확인합니다. 인증 방법이 변경될 때 플랫폼을 통해 연결을 다시 연결하거나 다시 만들어야 할 수 있습니다.

핸들러에서 ID 읽기

확인된 ID는 작업의 인증 모드에 관계없이 호출자가 유효한 토큰을 보낼 때마다 핸들러에 두 번째 인수로 도달합니다. Optional 액션은 해당 ID를 사용하여 사용 가능한 경우 결과를 개인화하고 그렇지 않은 경우 익명 결과를 반환할 수 있습니다.

getAuthenticatedUser을(를) 사용하여 로그인한 사용자를 읽으십시오.

const { getAuthenticatedUser } = require('@adobe/llm-apps-runtime');

module.exports = async ({ orderId }, extra) => {
  const userId = getAuthenticatedUser(extra);

  if (!userId) {
    return { content: [{ type: 'text', text: 'Sign in to see your orders.' }] };
  }

  const order = await fetchOrderForUser(userId, orderId);

  return {
    content: [{ type: 'text', text: `Order ${order.id} is ${order.status}.` }],
    structuredContent: order
  };
};

런타임에서 토큰을 확인합니다. Required 작업의 경우 나열된 범위가 있는 유효한 토큰이 없는 모든 호출을 차단합니다. 처리기는 승인된 호출자에 대해서만 실행됩니다. hasScope을(를) 사용하여 권한에 따라 핸들러 동작을 선택합니다(예: Optional 작업).

대화 중 로그인을 요청하려면 처리기에서 extra.challengeAuth()을(를) 반환하세요. 도우미는 선택적 작업에서만 사용할 수 있습니다.

module.exports = async ({ signIn }, extra) => {
  if (signIn && !extra.authInfo) {
    return extra.challengeAuth({
      error: 'invalid_token',
      errorDescription: 'Sign in to see member pricing.'
    });
  }

  return {
    content: [{
      type: 'text',
      text: extra.authInfo ? await memberDeals() : await publicDeals()
    }]
  };
};

이 예제에서는 signIn과(와) 같은 명시적 입력 매개 변수를 사용하여 인증을 요청할 시기를 결정합니다. 사용자의 표현에서 해당 결정을 유추하지 마십시오.

보고된 조건과 일치하도록 error을(를) 설정하십시오. 위의 예제와 같이 호출자에게 올바른 세션이 없어 로그인해야 하는 경우 invalid_token을(를) 사용합니다. 호출자가 로그인되어 있지만 토큰에 필수 범위가 없는 경우 insufficient_scope을(를) 사용합니다. 각 LLM 플랫폼은 프롬프트 문구와 오류 코드에 응답하는 방법을 선택합니다. 조건을 정확하게 설명하는 코드를 보냅니다.

이 예제에서 !extra.authInfo 검사가 수행하는 것처럼 필수 ID가 누락된 경우에만 인증을 요청합니다. 로그인해도 무조건적인 문제가 해결되지 않습니다. 처리기가 모든 호출에 대해 인증을 다시 요청합니다.

ID 서버측을 유지합니다. 위젯에 필요한 데이터만 structuredContent에 전달합니다. structuredContent에 액세스 토큰을 포함하지 마십시오. 생성된 처리기 사용자 지정을 참조하십시오.

전체 계약에 대해서는 처리기 인증 API를 참조하십시오.

보호된 앱 테스트

기존 플러그인 또는 커넥터는 배포 후 업데이트된 구성을 사용합니다. 새 연결을 만들려면 플랫폼에 대한 지침을 따르십시오.

ChatGPT

새 플러그 인 대화 상자에서 앱의 작업을 구성한 방식과 일치하도록 인증​을 설정하십시오.

Optional 액션은 항상 익명 호출을 허용하므로 이 액션을 포함하는 앱은 완전히 제어되지 않습니다. 모든 액션이 Optional(으)로 설정되어 있더라도 Mixed​을(를) 선택하십시오. 인증되지 않은 발신자는 Required​만 거부합니다.

나머지 대화 상자에 대해서는 ChatGPT 플러그인 테스트를 참조하십시오.

Claude

사용자 지정 커넥터를 추가하고 해당 인증 설정을 검토합니다. 공용/보호된 혼합 앱의 경우 필요한 경우 로그인​을 선택합니다(가능한 경우). 커넥터를 사용하기 전에 로그인을 요청하려면 지금 로그인​을 선택하세요. 대화 상자는 계정 또는 조직에 따라 다릅니다. 클라우드 커넥터 테스트를 참조하세요.

확인

로그인이 시작되지 않거나 토큰이 거부되면 문제 해결을 참조하세요.

보안 지침

다음 단계