# Configurare l'autorizzatore JWT in entrata
<a name="inbound-jwt-authorizer"></a>

L'autorizzatore in entrata autentica e autorizza le richieste API OAuth 2.0 in entrata verso Runtime e Gateway. AgentCore AgentCore Convalida i token Web JSON (JWT) prima di consentire l'accesso ad agenti o gateway. L'autorizzatore è indipendente dall'Identity Provider (IdP) e funziona con qualsiasi provider di identità compatibile con OAuth 2.0. Quando AgentCore Runtime o AgentCore Gateway riceve una richiesta in entrata, l'autorizzatore utilizzerà l'URL di rilevamento configurato per recuperare le chiavi pubbliche e l'endpoint del server di autorizzazione per eseguire la convalida JWT. Puoi configurare l'autorizzatore in base al tuo IdP e agli ambiti o alle attestazioni di autorizzazione consentiti.

## Configura un Autorizzatore in entrata
<a name="configure-inbound-authorizer"></a>

Puoi configurare il runtime dell'agente (vedi [CreateAgentRuntime](https://docs.aws.amazon.com/bedrock-agentcore-control/latest/APIReference/API_CreateAgentRuntime.html)) o il gateway (vedi [CreateGateway](https://docs.aws.amazon.com/bedrock-agentcore-control/latest/APIReference/API_CreateGateway.html)) per accettare i token JWT bearer fornendo una configurazione di autorizzazione durante la creazione dell'agente o del gateway. La configurazione di autorizzazione (vedi [CustomJWTAuthorizerConfiguration](https://docs.aws.amazon.com/bedrock-agentcore-control/latest/APIReference/API_CustomJWTAuthorizerConfiguration.html)) è la stessa per Runtime o AgentCore Gateway. AgentCore 
+  **Discovery URL**: una stringa che deve corrispondere allo schema `^.+/\.well-known/openid-configuration$` per gli URL di discovery OpenID Connect (OIDC). Puoi trovare il tuo URL di scoperta dal tuo provider di identità. Un URL di rilevamento è un indirizzo Web specifico che AgentCore Identity può utilizzare per trovare informazioni sui dettagli dell'endpoint di autenticazione. Consente a AgentCore Identity di accettare dinamicamente i token emessi dal tuo provider di identità OIDC senza un onboarding esplicito.
+  Gruppi di **destinatari consentiti**: un elenco di destinatari consentiti che AgentCore Identity convaliderà in base alla dichiarazione contenuta nel token JWT. `aud` Un claim di pubblico (`aud`) in OAuth 2.0 specifica a quale server di risorse (API) è destinato il token. Il server di risorse convalida l'`aud`attestazione per assicurarsi che sia il destinatario corretto prima di elaborare la richiesta, evitando che un token venga riutilizzato in un'API diversa per cui non è stato emesso.
+  Client **consentiti**: un elenco di identificatori client consentiti che AgentCore Identity convaliderà in base al `client_id` claim nel token JWT. Un `client_id` in OAuth 2.0 è un identificatore pubblico e univoco per un'applicazione che richiede token di accesso per accedere a Runtime o Gateway. AgentCore AgentCore Funziona come un nome utente per l'applicazione, distinguendola dagli altri client (applicazioni) registrati con l'autorizzatore.
+  **Ambiti consentiti**: un elenco di autorizzazioni consentite, definite come ambiti, a cui è consentito richiamare il runtime o il gateway. Se configurato, almeno un valore di ambito nel token in ingresso deve corrispondere a uno dei valori configurati. Un ambito OAuth 2.0 è una stringa che definisce un livello di accesso specifico definito nel JWT. Gli ambiti fungono da autorizzazioni per limitare ciò che un'applicazione può fare.
+  **Affermazioni personalizzate obbligatorie (vedi CustomClaimValidationType)**: una serie di regole per abbinare affermazioni specifiche nel token in entrata a valori predefiniti per la convalida dei token JWT. Puoi creare una regola specificando quanto segue:
  +  **InboundTokenClaimName**: nome del reclamo personalizzato.
  +  **InboundTokenClaimValueType**: `STRING` o`STRING_ARRAY`.
  +  **AuthorizingClaimMatchValue**: valore richiesto e operatore di confronto del claim personalizzato.
    +  **ClaimMatchValue**: valore obbligatorio dell'attestazione personalizzata.
    +  **ClaimMatchOperator**: Se `InboundTokenClaimValueType` è uguale`STRING`, deve essere. `EQUALS` Se `InboundTokenClaimValueType` è uguale`STRING_ARRAY`, può essere o. `CONTAINS` `CONTAINS_ANY`
    +  **Esempio**: È possibile definire una regola che impone:. `Group must equal Developer`
+  **Nota**: almeno uno dei campi è obbligatorio per la configurazione: destinatari consentiti, client consentiti, ambiti consentiti o attestazioni personalizzate obbligatorie. Se ne viene utilizzato più di uno, l'autorizzatore li verificherà tutti.