使用 Amazon Bedrock AgentCore 构建多租户代理，并通过 Bedrock AgentCore Gateway 拦截器实施细粒度访问控制，为代理系统中的代表方（OBO）令牌交换奠定了概念基础。本文是实施指南，将完整演示针对 Okta 的多租户 OBO 配置，展示每一跳中的 JSON Web Token (JWT) 声明转换，并演示受众绑定如何产生可扩展至各租户的纵深防御。