AIエージェントの権限管理 2: データ基盤の Fine grained access control 編

© 2026, Amazon Web Services, Inc. or its affiliates. All
rights reserved. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. AIエージェントの権限管理 2: データ基盤の Fine grained access control 編 Renya Kujirada AI/ML Specialist Solutions Architect 2026/04/17 AI Agent Ready Data Platform

rights reserved. ⾃⼰紹介 2 鯨⽥連也アマゾンウェブサービスジャパン合同会社スペシャリストソリューションアーキテクト, AI/ML 前職 (NTT DATA) では、データサイエンティストとして、深層学習モデル・AI Agent の開発に従事。 • 興味: AI Agent 開発, LLM 学習・推論 • 好きなサービス: Amazon Bedrock, Amazon SageMaker AI

rights reserved. 3 発表の背景と⽬的今後、企業毎に数百・数千の Agent がデプロイされ、Agent が社内の多数のデータソースや API と接続するようなことが多くなると考えられる。セキュアに Agent にツールやデータを利⽤させるには Fine-grained access control (FGAC) が重要である。AgentCore を利⽤することで、FGAC を容易に実装できる。本発表では、AgentCore を利⽤したデータの FGAC の実装パターンについて、Dive Deep する。

rights reserved. 4 前回の振り返り Agent が MCP サーバー経由でデータ基盤にアクセスする際、ユーザー毎に制御すべき項⽬として (1) MCP サーバー、(2) ツール、(3) データの 3つが考えられる。 Agent User データ基盤 MCP Server Tool Tool Tool

rights reserved. 5 前回の振り返り Agent が MCP サーバー経由でデータ基盤にアクセスする際、ユーザー毎に制御すべき項⽬として (1) MCP サーバー、(2) ツール、(3) データの 3つが考えられる。 Agent User データ基盤 MCP Server Tool Tool Tool 社内・特定のユーザーからのアクセスのみ許可データの更新・削除ツールなどは、管理者のみ実⾏許可ユーザー毎に、参照可能なテーブル・列・データを制御

rights reserved. 6 前回の振り返り前回は、(1) MCP サーバー、(2) ツールの Fine-grained access control (FGAC) について解説した。 Agent User データ基盤 MCP Server Tool Tool Tool 社内・特定のユーザーからのアクセスのみ許可データの更新・削除ツールなどは、管理者のみ実⾏許可ユーザー毎に、参照可能なテーブル・列・データを制御前回資料: https://speakerdeck.com/ren8k/aws-mcp-access-control-for-ai-agents

rights reserved. 7 今回のスコープ今回は、Agent がアクセスするデータの Fine-grained access control (FGAC) について解説する。 Agent User データ基盤 MCP Server Tool Tool Tool 社内・特定のユーザーからのアクセスのみ許可データの更新・削除ツールなどは、管理者のみ実⾏許可ユーザー毎に、参照可能なテーブル・列・データを制御

rights reserved. 8 発表のゴールとレベル • ゴール︓AgentCore を利⽤した、Agent がアクセスするデータの FGAC の実現⽅法を理解する • レベル︓L300 ~ L400

rights reserved. © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. • Agent がアクセスするデータの FGAC の重要性 • AgentCore Gateway の前提知識 • AgentCore Gateway を利⽤したデータ基盤の FGAC アーキテクチャ • 本発表のユースケース: AgentCore x Lake Formation によるデータの FGAC • AgentCore Gateway カスタムヘッダー伝播の Dive Deep • まとめアジェンダ 9

rights reserved. 11 データ基盤 × Agent 連携の拡⼤データ基盤と Agent を連携し、(ユーザーの代理で) Agent に⾃然⾔語でデータを取得・分析させるユースケースは増加している。 Agent User データ基盤・X⽉ ~ Y⽉までの売上を集計して・1週間のアクティブユーザーは︖ ・先⽉の A と B のコンバージョン率を⽐較して SQL を⽣成してデータをクエリ CLI 上で API を実⾏

rights reserved. 12 MCP サーバーによるデータアクセス MCP サーバーを利⽤して、データを操作するツールを Agent に提供することで、Agent は⾃律的にデータにアクセスできるようになる。 Agent User データ基盤 MCP Server # ツール⼀覧 • データの読み込み • データの書き込み • データの更新 • データの削除

rights reserved. 13 Agent によるマルチテナントのデータアクセスの課題マルチテナント SaaS 等で同⼀の Agent・MCP サーバーを共有する場合、MCP サーバー⾃体にはデータのアクセス制御機能がないため、Agent が他テナントのデータにアクセスするリスクがある。 Agent tenant A データ基盤 MCP Server テナントA のユーザーが、テナントB のデータをAgent経由で閲覧 tenant B テナントB のユーザーが、テナントA のデータをAgent経由で削除

rights reserved. 14 Agent によるマルチテナントのデータアクセスの課題マルチテナント SaaS 等で同⼀の Agent・MCP サーバーを共有する場合、MCP サーバー⾃体にはデータのアクセス制御機能がないため、Agent が他テナントのデータにアクセスするリスクがある。 Agent tenant A データ基盤 MCP Server テナントA のユーザーが、テナントB のデータをAgent経由で閲覧 tenant B テナントB のユーザーが、テナントA のデータをAgent経由で削除データ基盤側の認可の仕組み (FGAC) を利⽤し、Agentにアクセスさせたい

rights reserved. Agent がアクセスするデータの FGAC の実現⽅法 MCP サーバーに Credential を伝播することで、MCP サーバーを介し、ユーザーの代理 (on behalf of) として、Agent は各ユーザーの権限の範囲内でデータ基盤にアクセス可能。 15 Agent tenant A データ基盤 MCP Server tenant B Credential 各ユーザーの Credential を伝播 MCP ツール側で、Credential を利⽤しデータ基盤にアクセス FGAC をバックエンドに委譲

rights reserved. 16 AgentCore Gateway を介した Credential 伝播 AgentCore Gateway のヘッダー伝播機能を利⽤することで、ID Token / ⼀時認証キーなどの認証情報をリクエストヘッダーに含め、 Gateway Interceptor や MCP サーバーに伝播することが可能。 AgentCore Gateway tenant A データ基盤 MCP Server (AgentCore Runtime) tenant B ID Token を⼀時認証キーに交換 ID Token 各ユーザーの⼀時認証キーのテナント情報を評価し権限制御 Gateway Interceptor (Lambda) ⼀時認証キー⼀時認証キーを利⽤してクエリ Agent ⼀時認証キー

rights reserved. 18 AgentCore Gateway の概要既存の API、Lambda 関数、Remote MCP サーバーを束ねて単⼀の MCP サーバーとして利⽤可能。⼤量の MCP サーバー・ツールの管理、各ツールの認証認可を⼀元的に⾏え、社内展開も容易に。 Agent MCP クライアント AgentCore Gateway OpenAPI 仕様の API AWS Lambda Amazon API Gateway MCP サーバー Smithy モデルによる API AgentCore Identity アイデンティティプロバイダー (Amazon Cognito, Okta, Microsoft Entra ID...) Inbound 認証 Outbound 認証 OAuth Authorization server (AS) 認可サーバーが公開する JWK を⽤いて JWT を検証 Inbound • OAuthトークン • IAM Outbound • OAuthトークン • API キー • IAM ユーザーの代理で認証トークンを発⾏

rights reserved. 19 Gateway Interceptors とは AgentCore Gateway のリクエストとレスポンスを Lambda で処理・変換することで、利⽤者毎に実⾏可能なツールの制御、認可のカスタマイズ、データの保護を実現することができる機能。 AgentCore Gateway Target (MCP Tools) ①JWT token with claim ③If allowed IdP Inbound Authorization AWS Lambda (request Interceptor) AWS Lambda (response Interceptor) ②authorize tool execution ④filter out tools リクエストの処理・変換レスポンスの処理・変換 User

rights reserved. 20 request interceptor / response interceptor AgentCore Gateway の⼊⼒の処理には request interceptor を、出⼒の処理には response interceptor を利⽤する。各 interceptor はどちらか⽚⽅のみを利⽤することも可能。 AgentCore Gateway Target (MCP Tools) IdP Inbound Authorization AWS Lambda (request interceptor) AWS Lambda (response interceptor) ①JWT token with claim ③If allowed ②authorize tool execution ④filter out tools ツールのアクセス制御ロジック・認証情報の発⾏ロジックを Lambda で実装実⾏許可されてないツールの情報や PII をユーザーに開⽰しないように Lambda で実装 User

rights reserved. 21 AgentCore Gateway のヘッダー伝播 MCP Client から Gateway Target に対し、指定したヘッダーのみを伝播可能。 Gateway Interceptor で動的にヘッダーを追加・上書きも可能。 User Agent MCP request AgentCore Gateway JWT { "headers": { ”X-Client-ID": ”tenant-abc", "Authorization": "JWT", }, "body": { "jsonrpc": "2.0", "method": "tools/call", "params": { ... } } } Gateway Interceptor (任意) Gateway Target (MCP Server) { "headers": { ”X-Client-ID": ”tenant-abc", "Authorization": ”New JWT", }, "body": { "jsonrpc": "2.0", "method": "tools/call", "params": { ... } } } MCP Server にヘッダー情報を伝播 (例) 最⼩権限のトークンに変更

rights reserved. 23 FGAC を実現するアーキテクチャ Credential を MCP サーバーに伝播する⽅法として、(1) Gateway Interceptor で Credential を発⾏するパターンと、 (2) MCP サーバーで Credential を発⾏するパターンが考えられる。 AgentCore Gateway データ基盤 MCP Server ID Token Gateway Interceptor (Lambda) ⼀時認証キー Agent ⼀時認証キー AgentCore Gateway データ基盤 MCP Server ID Token Agent ⼀時認証キー ID Token パターン 1 パターン 2 ID Token を⼀時認証キーに交換 ID Token を⼀時認証キーに交換

rights reserved. 24 パターン 1: Interceptor で Credential を発⾏ ID Token を AgentCore Gateway Interceptor にヘッダー伝播し、Interceptor 上で Credential (⼀時認証キー) に交換して、 MCP サーバーに伝播する。 AgentCore Gateway tenant A データ基盤 MCP Server (AgentCore Runtime) tenant B ID Token を⼀時認証キーに交換 ID Token 各ユーザーの⼀時認証キーのテナント情報を評価し権限制御 Gateway Interceptor (Lambda) ⼀時認証キー⼀時認証キーを利⽤してクエリ Agent ⼀時認証キー

rights reserved. パターン 2: MCP サーバーで Credential を発⾏ ID Token を AgentCore Gateway にヘッダー伝播し、直接 MCP サーバーに伝播する。その後、MCP サーバー上で ID Token を Credential に交換する。 AgentCore Gateway tenant A データ基盤 MCP Server (AgentCore Runtime) tenant B ① ID Token を⼀時認証キーに交換 ID Token 各ユーザーの⼀時認証キーのテナント情報を評価し権限制御 ② ⼀時認証キーを利⽤してクエリ 25 Agent ⼀時認証キー ID Token

rights reserved. 26 各パターンの使い分け Credential 発⾏のロジックが AgentCore Gateway 直下の全ツール / 複数の MCP サーバーに共通ならパターン (1) を、特定ツール / MCP サーバーに依存するならパターン (2) を採⽤する。観点 (1) Interceptor で発⾏ (2) MCP Server 内部で発⾏関⼼の分離 ◯ MCP Server はデータアクセスのみ △ MCP Server に認証ロジックが⼊る最⼩権限の原則 ◯ MCP Server に認証情報の発⾏権限が不要 △ MCP Server に認証情報の発⾏権限が必要再利⽤性 ◯ 同じ Interceptor を複数の MCP Server に適⽤可能 △ 各 MCP Server に個別実装が必要構成のシンプルさ △ Interceptor の実装・管理が必要 ◯ Interceptor 不要でシンプル

rights reserved. 27 パターン 1: Interceptor で Credential を発⾏ ID Token を AgentCore Gateway Interceptor にヘッダー伝播し、Interceptor 上で Credential (⼀時認証キー) に交換して、 MCP サーバーに伝播する。 AgentCore Gateway tenant A データ基盤 MCP Server (AgentCore Runtime) tenant B ID Token を⼀時認証キーに交換 ID Token 各ユーザーの⼀時認証キーのテナント情報を評価し権限制御 Gateway Interceptor (Lambda) ⼀時認証キー⼀時認証キーを利⽤してクエリ Agent ⼀時認証キー本発表はこのパターン1を利⽤したユースケースで解説します。

rights reserved. 29 題材とするデータ基盤 S3 + Lake Formation + Athena による、テナントユーザー毎にアクセス可能なデータを制御する分析基盤を題材とする。この認証・認可フローは Web アプリケーションでも共通の仕組み。 Tenant A Tenant B テナントデータをクエリ認可の確認⼀時クレデンシャルの発⾏テナントデータをリクエストテナントデータを取得 3 4 5 6 7 Amazon Cognito AWS STS Lake Formation Amazon Athena Amazon S3 カスタム属性を含む IDトークンを取得 1 2 STS トークンを取得テナント属性が STS トークン内のセッションタグとしてマッピング

rights reserved. 30 Lake Formation によるテナント分離 Cedar ポリシーで STS セッションタグ (tenantId, tenantTier) を評価し、DB・テーブル・⾏レベルでアクセス制御を⾏うことができる。 permit (principal, action, resource) when { context.iam.principalTags.hasTag("tenantTier") && context.iam.principalTags.getTag("tenantTier") == "premium" && context.iam.principalTags.hasTag("tenantId") && context.iam.principalTags.getTag("tenantId") == "premium_tenant1" }; premium_tenant1 のデータベースへのアクセスを許可する Cedar ポリシー

rights reserved. 31 実現したいこと: Agent Ready な分析基盤各テナントに属するユーザーが Agent を通じてデータ基盤に⾃然⾔語で問い合わせる際、ユーザー毎に Agent がアクセス可能なデータのスコープを制御 (FGAC) したい。 Tenant A Tenant B テナントデータをクエリ認可の確認⼀時クレデンシャルの発⾏テナントデータをリクエストテナントデータを取得 Amazon Cognito AWS STS Lake Formation Amazon Athena Amazon S3 カスタム属性を含む IDトークンを取得 STS トークンを取得テナント属性が STS トークン内のセッションタグとしてマッピング Agent ⾃然⾔語で分析依頼

rights reserved. 32 FGAC を実現するアーキテクチャとデータフロー AgentCore Gateway の Interceptor とヘッダー伝播機能を利⽤し、MCP サーバーに認証情報を渡すことで、FGAC を実現する。なお、本構成は Lake Formation 以外のデータ基盤にも適⽤可能。 Amazon Cognito AgentCore Gateway User Client Request interceptor (Lambda) Gateway Target (MCP Server on AgentCore Runtime) MCP ツール内部でヘッダーから⼀時認証キーを取得し、 Athenaでクエリヘッダー経由で Interceptors に ID Token を伝播 ID Token を⼀時認証キーに交換 AWS STS Temporary security credential ヘッダー経由で MCP サーバーに⼀時認証キーを伝播 Agent (Strands Agents) ID Token FGAC をデータ基盤側に委譲

rights reserved. 34 2 区間のヘッダー伝播 Client → Interceptor と Interceptor → MCP サーバーの 2 区間で ID Token / ⼀時認証キーを伝播しており、利⽤するヘッダー名は Gateway, Gateway Target, Runtime 作成時に設定する必要がある。 # 区間ヘッダー名 (例) 伝播情報 1 MCP Client → Request Interceptor X-Id-Token ID Token 2 Request Interceptor → Gateway Target (AgentCore Runtime) X-Amzn-Bedrock-AgentCore-Runtime- Custom-Tenant-Credentials ⼀時認証キー AgentCore Gateway User Client Request interceptor (Lambda) Gateway Target (MCP Server on AgentCore Runtime) ID Token Temporary security credential

rights reserved. 35 各リソースでのヘッダー伝播設定ヘッダーを伝播する各リソース ( AgentCore Gateway, Gateway Target, AgentCore Runtime ) にて、利⽤するヘッダー名の指定や伝播の許可設定が必要。 # リソース設定プロパティ設定内容 1 AgentCore Gateway interceptorConfigurations.inputConfiguration. passRequestHeaders true (クライアントヘッダーを Interceptor に渡す) 2 Gateway Target metadataConfiguration.allowedRequestHeaders 転送許可するヘッダー名を指定 3 AgentCore Runtime * requestHeaderConfiguration.allowlistedHeaders コンテナへの転送を許可するヘッダー名を指定 * Gateway Target に Lambda, OpenAPI 等を利⽤する場合は設定不要

rights reserved. 36 1. AgentCore Gateway のヘッダー伝播設定 MCP Client のリクエストに含まれるヘッダー情報を Request Interceptors に伝播するために、 AgentCore Gateway 作成時、プロパティ inputConfiguration で passRequestHeaders: true を設定。 AgentCore Gateway User Client Request interceptor (Lambda) Gateway Target (MCP Server on AgentCore Runtime) Temporary security credential ID Token

rights reserved. 37 Request Interceptor へのヘッダー伝播⽅法 MCP Client 側では、リクエストにヘッダーを含めるだけで良い。 Request Interceptor 側では、Lambda の引数 event からヘッダー情報を抽出できる。 MCP Client からのリクエスト例 Request Interceptors の実装 (抜粋) ID Token を伝播

rights reserved. 38 Request Interceptor の⼊出⼒形式ヘッダーは、⼊⼒には gatewayRequest に含まれ, 出⼒には transformedGatewayRequest に含める。 Request Interceptor への⼊⼒ (引数 event) の中⾝ (例) Request Interceptor 返り値の中⾝ (例) ID Token を検証し、セッションタグ付き⼀時認証キーに交換 ID Token が伝播

rights reserved. 39 2. AgentCore Gateway Target のヘッダー伝播設定 Request Interceptors が返すヘッダーを Gateway Target に伝播するために、Gateway Target 作成時、プロパティ allowedRequestHeaders にて伝播を許可するヘッダー名を明⽰する。 AgentCore Gateway User Client Request interceptor (Lambda) Gateway Target (MCP Server on AgentCore Runtime) Temporary security credential ID Token 事前に予約されている header 名以外を指定する。

rights reserved. 40 3. AgentCore Runtime のヘッダー伝播設定 Gateway Target から AgentCore Runtime 上のコンテナ (MCP Server) にヘッダーを伝播するために、 Runtime 作成時、プロパティ requestHeaderAllowlist にて伝播を許可するヘッダー名を明⽰する。 AgentCore Gateway User Client Request interceptor (Lambda) Gateway Target (MCP Server on AgentCore Runtime) Temporary security credential ID Token X-Amzn-Bedrock-AgentCore-Runtime-Custom-*プレフィックスが必須。

rights reserved. 41 AgentCore Runtime (MCP Server) でのヘッダー取得⽅法 MCP Server を FastMCP で実装している場合、get_http_headers() 等を利⽤してリクエストヘッダーを抽出する実装が必要。

rights reserved. 42 (補⾜) Gateway Target が Lambda の場合のヘッダー取得⽅法 Lambda を Gateway Target に登録している場合、Lambda の引数 context からヘッダーを抽出可能。 AgentCore Runtime のようなヘッダーの転送設定は Lambda 側では不要。

rights reserved. 44 まとめ AgentCore Gateway で MCP サーバーにユーザー毎の認証情報をヘッダー伝播することで、 MCP サーバーからデータ基盤にアクセスする際にデータの FGAC を実現できることを解説した。コンポーネント役割設計上のポイント AgentCore Gateway / Request Interceptor ID Token からセッションタグ付き⼀時認証キーへの交換・ヘッダー伝播 Credential Vending を担う。同⼀ Interceptor を複数 MCP サーバーに再利⽤可能 MCP Server (AgentCore Runtime) ⼀時認証キーでユーザーの代理としてデータ基盤にクエリ実⾏ on behalf of パターン。テナント判別ロジック不要でデータアクセスに専念バックエンド (Lake Formation) Cedar ポリシーでセッションタグを評価しテナント毎のアクセス制御最⼩権限の原則で、DB・テーブル・⾏レベルの FGAC をバックエンドに委譲

rights reserved. 45 より Dive Deep したい⽅は AWS Japan の Zenn にて、検証記事や CDK の実装を公開しているので、ぜひご覧下さい。 https://zenn.dev/aws_japan/articles/004-bedrock-agentcore-fgac-multi- tenant-isolation https://zenn.dev/aws_japan/articles/003-bedrock-agentcore-policy-fgac

AIエージェントの権限管理 2: データ基盤の Fine grained access con...

AIエージェントの権限管理 2: データ基盤の Fine grained access control 編

More Decks by Renya Kujirada

Featured

Transcript