Vertiefende Analyse · Etwa 3 Min. Lesezeit
AWS und Keyfactor binden Agentenaufrufe an eine vom Nutzer signierte Delegation
X.509-Zertifikate, Signaturen, begrenzte Tokens und Widerrufsprüfung belegen Identität, nicht die fachliche Richtigkeit einer Datenbankaktion.
- Datum der Quelle
- Hier veröffentlicht
- Quelle geprüft
Der Leitfaden vom 20. Oktober beschreibt drei Ebenen von Anmeldung über Agentenaufrufe bis zum MCP-Server. Das Beispiel verwendet Bedrock, Strands, Keycloak und EJBCA Enterprise. Es unterscheidet das Vorzeigen eines Berechtigungsnachweises vom Beweis, dass eine konkrete Anfrage von einem eigens autorisierten Schlüsselinhaber signiert wurde.
Nachrichten anhören
Diesen Artikel vorlesen oder mit den Nachrichten fortfahren.
Vorlesen wird vorbereitet…
Gerätestimme
Browser oder Gerät verarbeiten die Sprache. AISubHub sendet den Text nicht an eine Audio-API. Stimmen und Wiedergabe bei gesperrtem Bildschirm hängen vom Gerät ab.
Beim Fortsetzen kann sich ein kurzer Satzteil wiederholen.
Auf einen Blick
- Signierte Umschläge, Nutzerdelegation und RFC-8693-Austausch zu einem zielgruppenbegrenzten Token werden kombiniert; der Server gleicht die Identitäten ab.
- Die Frischegrenze beträgt standardmäßig 60 Sekunden, zufällige Nonces haben 128 Bit und der Arbeitsspeicher-Cache behält sie doppelt so lange wie das Frischefenster.
Nutzerbefugnis vom Agentenschlüssel trennen
Nach der Anmeldung erhält die Anwendung per RFC 8693 ein enger begrenztes Token für den geschützten MCP-Dienst statt für alle Dienste des ursprünglichen Sitzungstokens. Sie erzeugt RSA-Schlüssel mit mindestens 2048 Bit lokal und sendet nur eine Zertifikatsanfrage an EJBCA. Zertifikat und privater Schlüssel werden für Secrets Manager gebündelt; die Zertifizierungsstelle erhält den privaten Schlüssel nicht. Der Nutzer signiert eine Delegation mit SHA-256-Fingerabdrücken zugelassener Agentenzertifikate und Ablaufzeit. Agenten erhalten damit eine Autorisierungsaussage statt Nutzerschlüssel oder vollständigem Sitzungstoken. Jeder Agent besitzt einen eigenen Schlüssel.
Ein Zertifikat belegt keine frische Anfrage
Der Aufrufer signiert Werkzeugname, Argumente, Zeitstempel und Nonce mit RSA-PSS-SHA256. Der Empfänger prüft Signatur, Frische, Nonce-Einmaligkeit, CA-Kette, zulässige Rolle und OCSP. Das 60-Sekunden-Fenster lässt alte Anfragen ablaufen; der Cache weist bereits verwendete Nonces auch bei frischen Anfragen zurück. Eine Wiederholung braucht neuen Umschlag und Nonce, garantiert aber keine genau einmalige fachliche Ausführung. Der Beispielcache ist threadsicher, jedoch nur im Arbeitsspeicher. Für verteilte Systeme nennt der Leitfaden einen geteilten ElastiCache-Ansatz: Eine Replik darf nicht vergessen, was eine andere bereits akzeptiert hat.
Der Werkzeugserver führt Nachweise zusammen
Vor einer Datenbankaktion prüft der Server Aktivität und Zielgruppe des Tokens, den signierten Umschlag, Delegation und erlaubten Fingerabdruck. Er gleicht Token-Nutzernamen, Delegationssubjekt und Zertifikatsidentität ab. Die Rollenkarte erlaubt dem Orchestrator Datenbank- und E-Mail-Unteragenten, keine beliebigen seitlichen oder aufwärts gerichteten Aufrufe. Laut AISubHub beantwortet dies, wer in wessen Auftrag handelt; passende Datenbankrechte und Operationsrichtlinien bleiben nötig. Tokenaustausch und Prüfkurzform im Artikel verwenden unterschiedliche Zielgruppen-Zeichenfolgen. Reale Aussteller- und Prüfeinstellungen müssen übereinstimmen; die Fragmente sind keine fertige Konfiguration.
Widerruf schafft eine Verfügbarkeitsabhängigkeit
Bei unerreichbarem OCSP oder fehlgeschlagener Prüfung wird verweigert. Abmeldung widerruft Nutzer- und drei Agentenzertifikate, entfernt Geheimnisse und beendet die Identitätssitzung. Der Nutzerwiderruf macht Delegation bei folgenden Prüfungen ungültig; der Leitfaden nennt dies unmittelbare Verbreitung durch OCSP je Anfrage. Das ist unter konkreten Respondern, Caches, Fehlern und Uhren zu prüfen, keine gemessene universelle Latenzgrenze. Das Zertifikatsprofil gilt sieben Tage. Hochverfügbarkeit, geteilter Wiederholungsschutz, Rotation und Auditaufbewahrung gehören zur Abnahme. Guardrails und begrenzte Werkzeuge ergänzen Identität; Signaturen und Inhaltsfilter belegen keine korrekte generierte Operation.
Warum es wichtig ist
AISubHub-Analyse: Identität und Delegation gehören an die Werkzeuggrenze statt nur in Modellanweisungen. Eine gültige Kette beweist weder sinnvolles SQL noch eine fachlich zulässige Operation.
Grenzen und Verfügbarkeit
Dies ist eine Referenz, keine unabhängige Sicherheitszertifizierung; wir haben sie nicht ausgeführt. Erforderlich sind Keycloak ab 26.2 und EJBCA Enterprise mit OCSP. Lizenz-, Betriebs- und Dienstkosten werden hier nicht beziffert.
Quellen und Belege
Datum der Quelle: 20.10.2026 · Quelle geprüft: 21.10.2026
KI-gestützte redaktionelle Beiträge, anhand der genannten Primärquellen geprüft. Anbieterangaben werden zugeordnet; eine Aufnahme ist keine Empfehlung.