亚马逊 Cognito 为下游服务添加 OAuth 2.0 代币交换功能

Amazon Web Services 于 2026 年 11 月 12 日宣布，Amazon Cognito 现已支持 OAuth 2.0 代币交换（RFC 8693）。这项功能允许代表用户行事的服务或 AI Agent，将该用户的代币交换为一个作用域限定于特定下游服务的新代币。此前，代表用户调用其他服务的服务必须转发用户的原始代币，或自行构建并维护代币铸造逻辑。Amazon Cognito 可帮助开发者为 Web 应用程序、移动应用程序和 AI Agent 添加注册、登录和访问控制功能。

代币交换可签发作用域更窄、面向单一受众且不含刷新代币的代币

通过代币交换，Amazon Cognito 可以签发一个作用域比原始代币更窄、绑定到单一受众且不含刷新代币的新代币。这样，下游服务就能仅获得执行特定调用所需的访问权限，而不是用户最初获取的完整代币。

Act 声明可区分代理请求与用户直接发起的请求

在交换过程中包含行为者代币时，Amazon Cognito 会添加一个用于标识中间方的 act 声明。下游服务可以利用该声明，区分代理代表用户发起的请求与用户直接发起的请求。原文举例称，模型上下文协议（MCP）服务器可以将用户的代币交换为作用域较窄的代币，用于调用后端 API，而 act 声明会记录该 MCP 服务器为行为者。

代币端点和 GetDerivedToken API 提供两种交换途径

开发者可以通过代币端点或新的 GetDerivedToken API 交换代币；该 API 记录在 Amazon Cognito 用户池 API 参考中。所有提供 Amazon Cognito 服务的 AWS 区域均可在 Essentials 和 Plus 功能套餐中使用代币交换。实现详情见 Amazon Cognito 开发者指南中有关为下游服务交换代币的章节。

Amazon Cognito 代币交换规格与可用性

• 协议标准：OAuth 2.0 代币交换，RFC 8693
• 原文所述发布日期：2026 年 11 月 12 日
• 交换方式：代币端点和新的 GetDerivedToken API
• 签发代币的属性：作用域比原始代币更窄、绑定到单一受众、不含刷新代币
• 用于标识中间方的身份声明：act 声明，在包含行为者代币时添加
• 功能套餐：Essentials 和 Plus
• 区域可用性：所有提供 Amazon Cognito 服务的 AWS 区域

常见问题

Amazon Cognito 代币交换允许服务执行什么操作？

根据原文，代币交换允许代表用户行事的服务或 AI Agent，将用户的代币交换为一个作用域限定于特定下游服务的新代币。新代币的作用域可以比原始代币更窄，绑定到单一受众，且不含刷新代币。

act 声明如何帮助下游服务？

包含行为者代币时，Amazon Cognito 会添加一个用于标识中间方的 act 声明。这使下游服务能够区分代理代表用户发起的请求与用户直接发起的请求。原文举例称，模型上下文协议（MCP）服务器调用后端 API 时，会在 act 声明中将自身记录为行为者。

哪些套餐和区域支持 Amazon Cognito 代币交换？

所有提供 Amazon Cognito 服务的 AWS 区域均可在 Essentials 和 Plus 功能套餐中使用代币交换。开发者可以通过代币端点或 GetDerivedToken API 执行交换。