创建工作负载身份
操作场景
工作负载身份可为AI智能体等程序载体提供独立可信的机器身份，实现消除静态密钥风险、精细化权限隔离、全链路操作审计、多环境统一身份管控能力。若业务存在智能体承接用户交互或后台自动调度，程序需访问云资源、内部接口、第三方工具，且有安全合规治理需求时，需创建工作负载身份并配套身份提供商，搭建可信访问链路。
原理说明
创建工作负载身份会在IAM中注册专属机器实体并分配唯一标识，通过身份提供商建立与IAM的信任委托；负载校验身份通过后自动获取可轮换短期凭证，依靠该身份完成入站准入校验、出站资源访问管控，所有操作携带身份标识留存日志，实现身份、权限、凭证一体化闭环治理。
约束与限制
- 当前区域的账号中可创建的工作负载身份的最大数量为1000个。
- 创建API Key认证类型的工作负载身份，最多可以添加10个API Key。
创建IAM认证类型的工作负载身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“工作负载身份”。单击右上角“创建工作负载身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 选择“入站身份认证”。此处选择“IAM认证”。将IAM身份配置为入站身份认证，以验证调用者的身份。
- （可选）为工作负载身份添加标签。
标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
如果您的组织设定了智能体身份的相关标签策略，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
标签的设置说明如表1所示。 - 单击“创建”，创建成功的工作负载身份将会出现在工作负载身份列表。
创建OAuth 2.0认证类型的工作负载身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“工作负载身份”。单击右上角“创建工作负载身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 选择“入站身份认证”。此处选择“OAuth 2.0认证”。将JWT（如OAuth令牌）配置为入站身份认证，以验证传入的令牌签名和范围。
- 根据参数说明表格，完成创建OAuth 2.0认证类型工作负载身份的参数设置。
表2 参数说明 参数
示例
说明
Discovery URL
https://{base URL}/.well-known/openid-configuration
输入您的身份提供商（例如 Okta、Cognito等）提供的Discovery URL，该URL通常可在该提供商的文档中找到。
URL格式如下：https://{base URL}/.well-known/openid-configuration，其中base URL由企业IdP定义，如Google提供的Openid-configuration为https://accounts.google.com/.well-known/openid-configuration，Cognito的URL格式为https://cognito-idp.region.amazonaws.com/userPoolId/.well-known/openid-configuration，Okta的URL格式为https://OKTA_DOMAIN/.well-known/openid-configuration。
允许的受众
-
这用于认证为OAuth 2.0指定的受众是否在智能体身份运行中指定的受众匹配或为其子集。
允许的客户端
-
这用于认证为OAuth 2.0指定的客户端标识符是否被允许访问智能体身份。
允许的范围
-
仅当令牌包含此处配置的至少一个必须范围时才允许访问。
自定义声明
-
仅当令牌中的特定声明与预定义字符串值相匹配时才允许访问。
- （可选）为工作负载身份添加标签。
标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
如果您的组织设定了智能体身份的相关标签策略，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
标签的设置说明如表3所示。 - 单击“创建”，创建成功的工作负载身份将会出现在工作负载身份列表。
创建API Key认证类型的工作负载身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“工作负载身份”。单击右上角“创建工作负载身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 选择“入站身份认证”。此处选择“API Key认证”。将预设的密钥对（键和值）配置为入站身份认证，以验证请求中携带的密钥合法性。
- 单击“添加API Key”，输入API Key的值和名称。如不添加API Key，系统将默认生成一条API Key。最多可以添加10个API Key。
- （可选）为工作负载身份添加标签。
标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
如果您的组织设定了智能体身份的相关标签策略，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
标签的设置说明如表4所示。 - 单击“创建”，创建成功的工作负载身份将会出现在工作负载身份列表。
创建无认证类型的工作负载身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“工作负载身份”。单击右上角“创建工作负载身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 选择“入站身份认证”。此处选择“无认证”。无需对入站身份进行认证，允许匿名访问资源。
- （可选）为工作负载身份添加标签。
标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
如果您的组织设定了智能体身份的相关标签策略，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
标签的设置说明如表5所示。 - 单击“创建”，创建成功的工作负载身份将会出现在工作负载身份列表。
