For the complete documentation index, see llms.txt. Markdown versions of all docs pages are available by appending .md to any docs URL.

AccessPolicy がレジストリ操作、チャット呼び出し、実行時のエージェント間呼び出しなど、すべてのレイヤーでアクセスを制御する方法について説明します。

Solo Enterprise for agentregistry は、レジストリおよびその AI アーティファクトへのアクセスを保護し、レジストリユーザーとデプロイされたエージェントが実行できる操作を制御するために、多層アプローチを採用しています。

アクセス制御レイヤー

アクセスは 3 つのレイヤーで実施され、それぞれが前のレイヤーの上に構築されます。

レイヤー 1: 認証

Solo Enterprise for agentregistry は、Keycloak、Okta、Auth0 などの外部 OIDC 準拠 ID プロバイダー（IdP）に依存して、レジストリでユーザーを認証します。レジストリへのすべてのリクエストは、IdP によって発行および署名された有効な JWT を保持している必要があります。レジストリはすべてのリクエストで IdP の JWKS 公開鍵に対してトークンを検証します。トークンが欠落しているか無効な場合、ポリシーが評価される前に 401 Unauthorized で拒否されます。

OIDC 設定では、システムの異なる部分にそれぞれ機能する 4 つの個別クライアントを使用します。

OIDC セットアップの例については、OIDC プロバイダーをセットアップするを参照してください。

レイヤー 2: ユーザー認可

トークンが正常に検証された後、レジストリは JWT からロールクレームを抽出してユーザーの権限を決定します。ロールに使用するクレームは、次のいずれかの Helm 値または環境変数で設定できます。

クレームからロール情報が抽出された後、Solo Enterprise for agentregistry はレジストリにログインしようとするユーザーのタイプを検証します。Solo Enterprise for agentregistry は次のユーザータイプを区別します。

次の例は、developers ロールにすべてのエージェントとランタイムへの読み取りアクセスを付与し、それらのユーザーがチャット UI で myagent エージェントを呼び出せるようにする AccessPolicy を示しています。

apiVersion: ar.dev/v1alpha1
kind: AccessPolicy
metadata:
  name: developers
spec:
  description: "Access policy for the developers group"
  principals:
    - kind: Role
      name: developers       # must match the OIDC group claim value
  rules:
    - actions:
        - "registry:read"    # controls catalog access
      resources:
        - kind: agent
          name: "*"
        - kind: runtime
          name: "*"
    - actions:
        - "runtime:*"        # controls chat invocation
      resources:
        - kind: agent
          name: myagent      # restrict chat to a specific agent

レイヤー 3: エージェントのランタイム認可

デプロイ済みのエージェントがランタイムで実行できる操作 (他のエージェントの呼び出しや MCP ツールの呼び出しなど) を制御するには、AccessPolicy リソースと RuntimeAccessPolicy リソースを使用します。使用するリソースの種類は、エージェントが動作するランタイムによって異なります。

AWS Bedrock AgentCore

AgentCore ランタイムでは、RuntimeAccessPolicy リソースを使用して、どのエージェントデプロイがどの MCP サーバーおよびツールを呼び出せるかを制御します。次の例では、myagent デプロイが mymcp MCP サーバーの echo ツールを呼び出すことを許可し、そのサーバー上の他のすべてのツールをブロックします。

apiVersion: ar.dev/v1alpha1
kind: RuntimeAccessPolicy
metadata:
  name: myagent-mymcp-echo
spec:
  rules:
    - from:
        - kind: Deployment
          name: myagent
      to:
        - kind: MCPServer
          name: mymcp
          mcpTools:
            - echo

Solo Enterprise for kagent

Solo Enterprise for kagent ランタイムでは、AccessPolicy リソースを使用し、spec.principals[].kind フィールドをエージェントの Deployment にスコープして、エージェントのランタイムアクセスを制御します。次の例では、myagent デプロイが k8s-agent エージェントを呼び出し、runtime-mcp MCP サーバーの get_object ツールを呼び出すことを許可します。

apiVersion: ar.dev/v1alpha1
kind: AccessPolicy
metadata:
  name: k8s-agent-policy
spec:
  description: "Runtime access policy for k8s-agent"
  principals:
    - kind: Deployment
      name: myagent  
  rules:
    - actions:
        - "runtime:invoke" 
      resources:
        - kind: agent
          name: k8s-agent
        - kind: server
          name: runtime-mcp
          subresources:
            - tool/get_object

ランタイム認可の設定例については、エージェントのランタイム認可を参照してください。

レイヤーの連携

    sequenceDiagram
    participant User as ユーザー
    participant Agent as エージェント
    participant IdP as IdP (Keycloak / Okta)
    participant AR as agentregistry
    participant GW as ゲートウェイ
    participant Target as MCP サーバー / エージェント

    Note over User,AR: レイヤー 1 -- 認証
    User->>IdP: ログイン（デバイスフロー、パスワードクレデンシャル (CI/CD)、または PKCE）
    IdP-->>User: 署名済み JWT (Groups: ["developers"], aud: ar-backend)
    User->>AR: API リクエスト（Bearer トークン）
    AR->>IdP: JWKS（公開鍵）を取得
    IdP-->>AR: 公開鍵
    AR->>AR: トークン署名を検証し、aud = ar-backend を確認

    Note over AR: レイヤー 2 -- ユーザー認可 (kind: Role)
    AR->>AR: Groups クレームを読み取り → AccessPolicy プリンシパルと照合
    AR->>AR: registry:* / runtime:* ルールを評価
    AR-->>User: レスポンス（カタログまたはチャット）

    Note over Agent,Target: レイヤー 3 -- エージェントのランタイム認可 (kind: Agent)
    Agent->>GW: MCP ツール呼び出しまたはエージェント呼び出し
    GW->>GW: 呼び出しエージェント → AccessPolicy プリンシパルと照合
    GW->>GW: runtime:invoke ルールを評価
    alt 許可
        GW->>Target: リクエストを転送
    else 拒否
        GW-->>Agent: 403 Forbidden
    end
  

次のステップ