委托介绍

AgentArtsRuntimeDeploymentAgency（服务部署委托）

用户运行时委托（智能体身份委托）

如何使用两个委托

AgentArtsRuntimeDeploymentAgency

该委托由AgentArts服务内部直接使用，对用户完全透明。用户无需进行任何额外配置或代码编写。

服务会在以下场景中自动使用该委托：

• 下载用户镜像：当用户创建或更新智能体运行时时，沙箱服务使用该委托从SWR下载用户指定的容器镜像
• 挂载SFS Turbo：当用户配置了SFS Turbo存储时，沙箱服务使用该委托查询并挂载弹性文件系统

该委托是AgentArts运行时正常工作的前提条件，请勿删除。如果该委托被删除，将导致运行时创建失败或镜像下载异常。

用户运行时委托（智能体身份委托）

该委托用于在智能体运行时内部代表用户身份访问其他华为云云服务。AgentArts运行时SDK提供了 MetadataProvider来自动获取该委托对应的临时凭据，用户可以使用该凭据来访问其他云服务。

工作原理

智能体运行时  →  MetadataProvider  →  元数据服务  →  获取AK/SK/SecurityToken  →  使用凭据访问其他云服务

MetadataProvider是AgentArts SDK凭证提供链中的一环。当智能体运行在AgentArts运行时环境中时，SDK会自动通过元数据服务获取委托对应的临时凭据（AK/SK/SecurityToken），无需用户手动配置AK/SK。

SDK凭证获取优先级

AgentArts SDK的凭证提供链（CredentialProviderChain）按以下顺序尝试获取凭证：

1. EnvCredentialProvider：从环境变量读取（HUAWEICLOUD_SDK_AK / HUAWEICLOUD_SDK_SK）
2. ProfileCredentialProvider：从配置文件读取
3. MetadataProvider：从 AgentArts 运行时元数据服务获取（仅在运行时环境中可用）

代码示例

示例 1：直接使用MetadataProvider获取凭据

from agentarts.sdk.utils.metadata import create_credential

# 自动按优先级获取凭证：环境变量 → 配置文件 → 元数据服务
# 在 AgentArts 运行时环境中，会自动通过 MetadataProvider 获取委托凭据
credentials = create_credential()

# 使用获取到的凭据访问其他华为云服务
# credentials 包含 AK、SK 和 SecurityToken
print(f"AK: {credentials.ak}")
print(f"SK: ***（已隐藏）")
print(f"Security Token: {credentials.security_token}")

示例 2：使用 @require_sts_token 装饰器获取 STS 临时凭据

from agentarts.sdk import require_sts_token

# 通过装饰器自动获取 STS 凭证并注入到函数参数中
@require_sts_token(
    provider_name="huaweicloud-iam",       # 凭证提供者名称
    agency_session_name="my-agent-session" # 会话名称
)
def access_cloud_resource(sts_credentials=None):
    """使用 STS 凭证访问华为云服务"""
    print(f"Access Key ID: {sts_credentials.access_key_id}")
    print(f"Secret Access Key: ***（已隐藏）")
    print(f"Security Token: {sts_credentials.security_token}")
    print(f"Expiration: {sts_credentials.expiration}")

    # 在此处使用 sts_credentials 访问其他华为云服务
    # 例如：访问 OBS、RDS、ECS 等

# 调用函数，STS 凭证会自动注入
access_cloud_resource()

示例 3：使用 @require_api_key 装饰器获取 API Key

from agentarts.sdk import require_api_key

@require_api_key(
    provider_name="my-api-key-provider"  # 凭证提供者名称
)
def call_external_api(api_key=None):
    """使用 API Key 调用外部服务"""
    print(f"API Key: {api_key}")

    # 在此处使用 api_key 访问外部 API
    headers = {"Authorization": f"Bearer {api_key}"}
    # response = requests.get("https://api.example.com/data", headers=headers)

call_external_api()

示例 4：使用 @require_access_token 装饰器获取 OAuth2 令牌

from agentarts.sdk import require_access_token

@require_access_token(
    provider_name="my-oauth2-provider",
    auth_flow="M2M",  # 机器对机器流程，也可使用 "USER_FEDERATION"
    scopes=["read", "write"]
)
def access_oauth_resource(access_token=None):
    """使用 OAuth2 令牌访问受保护的资源"""
    print(f"Access Token: {access_token}")

    # 在此处使用 access_token 访问受 OAuth2 保护的资源
    headers = {"Authorization": f"Bearer {access_token}"}
    # response = requests.get("https://api.example.com/protected", headers=headers)

access_oauth_resource()

示例 5：在智能体代码中集成使用

from agentarts.sdk import AgentArtsRuntimeApp, RequestContext
from agentarts.sdk import require_sts_token

app = AgentArtsRuntimeApp()

@app.route("/invoke")
@require_sts_token(
    provider_name="huaweicloud-iam",
    agency_session_name="runtime-agent"
)
async def handle_invoke(request, sts_credentials=None):
    """智能体入口函数，自动获取 STS 凭证访问其他云服务"""

    # 使用 sts_credentials 访问用户的其他华为云资源
    # 例如：读取 OBS 中的数据、查询 RDS 数据库等

    ak = sts_credentials.access_key_id
    sk = sts_credentials.secret_access_key
    token = sts_credentials.security_token

    # 示例：使用凭证访问 OBS
    # from obs import ObsClient
    # obs_client = ObsClient(
    #     access_key_id=ak,
    #     secret_access_key=sk,
    #     security_token=token,
    #     server="obs.cn-southwest-2.myhuaweicloud.com"
    # )
    # obs_client.getObject("my-bucket", "my-object")

    return {"status": "success", "message": "资源访问成功"}

if __name__ == "__main__":
    app.run()

关键说明

1. 元数据服务地址：MetadataProvider通过元数据服务的 v1/metadata/securitykey接口获取凭据，该服务仅在AgentArts运行时环境内可访问
2. 凭据有效期：通过元数据服务获取的临时凭据具有有效期（expires_at），SDK会自动处理凭据的刷新
3. 本地开发：在本地开发环境中（非运行时环境），MetadataProvider将无法获取凭据，SDK会提示配置环境变量HUAWEICLOUD_SDK_AK 和 HUAWEICLOUD_SDK_SK
4. 默认委托：如果未自定义委托，服务开通时自动创建的DefaultAgentArtsRuntimeAgency已包含推荐的两个策略，可直接开箱使用