# 工作负载身份概述
工作负载身份是指AI智能体在运行、调用服务、访问资源、执行跨系统交互等工作负载场景中，用于标识自身身份、完成权限校验、实现安全交互的核心凭证体系，是保障智能体资源访问安全、权限精细化管控、交互行为可追溯的核心基础。根据认证机制、凭证形态、权限管控粒度与适用场景的差异，华为云工作负载身份主要分为**IAM** **认证、** **OAuth 2.0** **认证、** **API Key** **认证、无认证**四种核心类型，四种身份模式的安全等级、运行机制、适用场景差异显著，共同覆盖了智能体从公开测试、轻量化调用到企业级合规部署的全场景需求。
#### IAM认证类型工作负载身份概述
IAM认证类型的工作负载身份，是基于企业级身份权限管理体系构建的标准化、精细化身份凭证，属于高安全等级的官方认证模式。该模式下，智能体被视为独立的工作负载主体，在IAM系统中完成专属身份注册、账号创建与权限绑定，核心依托IAM的账号体系、角色权限策略、资源访问规则实现身份认证与授权管控。
其核心特性是支持最小权限原则落地，管理员可针对单个智能体或智能体分组，精准配置资源访问范围、操作权限、访问时段等精细化策略，同时支持身份生命周期全流程管理，包括身份创建、权限变更、过期失效、注销回收等。认证过程依托加密签名、令牌校验、会话管控等机制，且全程可记录审计日志，能够精准追溯智能体的每一次资源访问、接口调用行为，广泛适用于企业生产环境、涉密业务、核心数据交互等高合规、高安全要求的智能体工作负载场景。
#### OAuth 2.0认证类型工作负载身份
OAuth 2.0认证类型的工作负载身份，是基于OAuth 2.0开放授权协议构建的轻量化、第三方授权身份模式，核心解决智能体跨平台、跨系统、跨服务的授权访问问题。该模式并非依靠固定账号密码认证，而是通过授权码、客户端凭证、令牌（Token）流转的方式，实现智能体与目标服务之间的临时授权交互。
在该身份体系下，智能体作为客户端主体，向授权服务器发起授权申请，通过合法校验后获取短期有效的访问令牌，凭借令牌完成资源调用与身份校验。其核心优势是无需暴露核心账号凭证，支持授权范围自定义、令牌有效期可控，兼顾安全性与灵活性，主要适用于智能体对接第三方开放平台、跨系统协同调用、轻量化对外服务等需要临时授权、按需开放权限的工作负载场景，是开放式生态下智能体交互的主流身份模式。
#### API Key认证类型工作负载身份
API Key认证类型工作负载身份，是一种极简、高效的静态密钥认证身份模式，通过唯一的字符串密钥（API Key）作为智能体的身份标识与认证凭证。该模式无需复杂的授权流程与账号体系，仅需为智能体分配一组专属API Key，智能体在发起接口调用、资源访问请求时，通过请求头、参数携带API Key，服务端校验密钥合法性后即可完成身份认证与请求放行。
该身份模式部署简单、接入成本低、响应速度快，无需依赖独立的身份管理系统，适配绝大多数标准化接口调用场景。但核心短板是API Key多为静态固定凭证，一旦泄露易被滥用，且默认权限粒度较粗，难以实现精细化权限管控，通常仅支持密钥启停、黑白名单等基础管控能力，主要适用于内部调试、非核心资源调用、低风险轻量化交互场景。
#### 无认证类型工作负载身份
无认证类型工作负载身份是指智能体在运行交互过程中，不依托任何身份凭证、认证协议与权限校验机制的极简运行模式。该模式下，智能体无需注册身份、无需配置密钥、无需申请授权，所有对外请求、资源访问、服务调用均无需经过身份校验与权限核验，服务端默认放行所有来自该智能体的交互请求。
该模式的核心特点是零接入成本、零认证耗时、部署极致简单，完全消除了身份认证带来的开发与运维成本。但安全性极低，无任何权限管控、访问溯源、风险防护能力，任何获取请求地址的主体均可模拟智能体发起请求，仅适用于本地测试、内网隔离环境调试、公开演示、临时原型验证等无安全风险、无需合规管控的非生产工作负载场景。
#### 各类工作负载身份的区别
四种工作负载身份在安全等级、认证机制、权限管控、运维成本、适用场景等核心维度存在区别，具体区别如[表1]所示。
 表1各类工作负载身份的区别 
| 对比维度   | IAM认证                                                 | OAuth 2.0认证                           | API Key认证                    | 无认证                            |
|:---|:---|:---|:---|:---|
| 安全等级   | 安全等级最高，依托完整的身份权限体系、审计追溯、动态权限管控，可抵御身份伪造、越权访问、凭证泄露等各类风险。 | 较IAM认证次之，通过动态短期令牌、按需授权降低凭证泄露风险，安全性适中。 | 安全等级较低，静态密钥存在泄露、复用、滥用风险。    | 无任何安全防护，安全等级最低，存在极高的非法访问风险。 |
| 认证机制   | 基于专属账号体系与加密校验，依托后台权限策略动态核验身份。                          | 基于标准化授权协议，通过令牌动态流转、临时授权完成认证。           | 静态密钥一对一校验，认证逻辑简单固定。         | 无任何校验机制，直接放行所有请求。               |
| 权限管控能力 | 支持精细化、颗粒化权限管控，可精准限定访问资源、操作权限、访问时段，支持角色分组、权限分级与动态调整。    | 支持按需授权、限定令牌权限范围，可灵活调整临时授权边界。           | 仅支持全局权限或基础黑白名单管控，无法实现精细化权限拆分。 | 无任何权限管控能力，无访问限制。              |
| 运维与接入成本 | 需搭建、维护身份管理体系，配置权限策略、审计日志，接入流程复杂，运维成本最高。              | 需对接授权服务器、配置授权规则、管控令牌生命周期，接入与运维成本中等。     | 无需复杂部署，仅需分配与启停密钥，接入简单、运维成本极低。 | 零配置、零运维，接入成本最低。              |
| 适用场景差异 | 用于企业生产环境、核心业务、涉密数据交互等高合规、高安全场景。                        | 适用于跨平台、第三方对接、临时授权的开放式交互场景。           | 适用于内部非核心业务调用、轻量化固定交互场景。         | 适用于本地测试、原型验证、内网调试等非生产、无安全风险场景。  |