# 创建工作负载身份
#### 操作场景
工作负载身份可为AI智能体等程序载体提供独立可信的机器身份，实现消除静态密钥风险、精细化权限隔离、全链路操作审计、多环境统一身份管控能力。若业务存在智能体承接用户交互或后台自动调度，程序需访问云资源、内部接口、第三方工具，且有安全合规治理需求时，需创建工作负载身份并配套身份提供商，搭建可信访问链路。
#### 原理说明
创建工作负载身份会在IAM中注册专属机器实体并分配唯一标识，通过身份提供商建立与IAM的信任委托；负载校验身份通过后自动获取可轮换短期凭证，依靠该身份完成入站准入校验、出站资源访问管控，所有操作携带身份标识留存日志，实现身份、权限、凭证一体化闭环治理。
#### 约束与限制
- 当前区域的账号中可创建的工作负载身份的最大数量为1000个。
- 创建API Key认证类型的工作负载身份，最多可以添加10个API Key。
 
#### 创建IAM认证类型的工作负载身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"工作负载身份"。单击右上角"创建工作负载身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 选择"入站身份认证"。此处选择"IAM认证"。将IAM身份配置为入站身份认证，以验证调用者的身份。
5. （可选）为工作负载身份添加标签。 
   标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
   如果您的组织设定了智能体身份的相关[标签策略](https://support.huaweicloud.com/usermanual-organizations/org_03_0067.html)，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
   标签的设置说明如[表1]所示。
    表1标签说明 
   | 参数 | 说明                                                                                                                                                                                                                                                                                                                                                                                               | 举例          |
   |:---|:---|:---|
   | 键   | 输入标签的键，同一个工作负载身份标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： - 长度不能超过128个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@字符，但首尾不能包含空格，且不能以_sys_开头。   | Key_0001     |
   | 值  | 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： - 长度不能超过255个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@\&字符。                                                                 | Value_0001 |
      
   
   
6. 单击"创建"，创建成功的工作负载身份将会出现在工作负载身份列表。
#### 创建OAuth 2.0认证类型的工作负载身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"工作负载身份"。单击右上角"创建工作负载身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 选择"入站身份认证"。此处选择"OAuth 2.0认证"。将JWT（如OAuth令牌）配置为入站身份认证，以验证传入的令牌签名和范围。
5. 根据参数说明表格，完成创建OAuth 2.0认证类型工作负载身份的参数设置。 
    表2参数说明 
   | 参数           | 示例                                                 | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                    |
   |:---|:---|:---|
   | Discovery URL | https://{base URL}/.well-known/openid-configuration | 输入您的身份提供商（例如 Okta、Cognito等）提供的Discovery URL，该URL通常可在该提供商的文档中找到。 URL格式如下：*https://{base URL}/.well-known/openid-configuration* ，其中*base URL* 由企业IdP定义，如Google提供的Openid-configuration为https://accounts.google.com/.well-known/openid-configuration，Cognito的URL格式为https://cognito-idp.*region* .amazonaws.com/*userPoolId* /.well-known/openid-configuration，Okta的URL格式为https://*OKTA_DOMAIN*/.well-known/openid-configuration。 |
   | 允许的受众        | -                                                   | 这用于认证为OAuth 2.0指定的受众是否在智能体身份运行中指定的受众匹配或为其子集。                                                                                                                                                                                                                                                                                                                                                                                                                            |
   | 允许的客户端         | -                                                    | 这用于认证为OAuth 2.0指定的客户端标识符是否被允许访问智能体身份。                                                                                                                                                                                                                                                                                                                                                                                                                                |
   | 允许的范围          | -                                                    | 仅当令牌包含此处配置的至少一个必须范围时才允许访问。                                                                                                                                                                                                                                                                                                                                                                                                                                             |
   | 自定义声明          | -                                                    | 仅当令牌中的特定声明与预定义字符串值相匹配时才允许访问。                                                                                                                                                                                                                                                                                                                                                                                                                                           |
      
   
   
6. （可选）为工作负载身份添加标签。 
   标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
   如果您的组织设定了智能体身份的相关[标签策略](https://support.huaweicloud.com/usermanual-organizations/org_03_0067.html)，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
   标签的设置说明如[表3]所示。
    表3标签说明 
   | 参数 | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   | 举例          |
   |:---|:---|:---|
   | 键   | 输入标签的键，同一个工作负载身份标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： - 长度不能超过128个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@字符，但首尾不能包含空格，且不能以_sys_开头。   | Key_0001     |
   | 值  | 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： - 长度不能超过255个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@\&字符。                                                                 | Value_0001 |
      
   
   
7. 单击"创建"，创建成功的工作负载身份将会出现在工作负载身份列表。
 
#### 创建API Key认证类型的工作负载身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"工作负载身份"。单击右上角"创建工作负载身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 选择"入站身份认证"。此处选择"API Key认证"。将预设的密钥对（键和值）配置为入站身份认证，以验证请求中携带的密钥合法性。
5. 单击"添加API Key"，输入API Key的值和名称。如不添加API Key，系统将默认生成一条API Key。最多可以添加10个API Key。
6. （可选）为工作负载身份添加标签。 
   标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
   如果您的组织设定了智能体身份的相关[标签策略](https://support.huaweicloud.com/usermanual-organizations/org_03_0067.html)，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
   标签的设置说明如[表4]所示。
    表4标签说明 
   | 参数 | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               | 举例          |
   |:---|:---|:---|
   | 键   | 输入标签的键，同一个工作负载身份标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： - 长度不能超过128个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@字符，但首尾不能包含空格，且不能以_sys_开头。   | Key_0001     |
   | 值  | 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： - 长度不能超过255个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@\&字符。                                                                 | Value_0001 |
      
   
   
7. 单击"创建"，创建成功的工作负载身份将会出现在工作负载身份列表。
 
#### 创建无认证类型的工作负载身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"工作负载身份"。单击右上角"创建工作负载身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 选择"入站身份认证"。此处选择"无认证"。无需对入站身份进行认证，允许匿名访问资源。
5. （可选）为工作负载身份添加标签。 
   标签以键值对的形式表示，用于标识工作负载身份，便于对工作负载身份进行分类和搜索。此处的标签仅用于工作负载身份的过滤和管理。一个存储库最多添加20个标签。
   如果您的组织设定了智能体身份的相关[标签策略](https://support.huaweicloud.com/usermanual-organizations/org_03_0067.html)，则需按照标签策略规则为存储库添加标签。标签如果不符合标签策略的规则，则可能会导致工作负载身份创建失败，请联系组织管理员了解标签策略详情。
   标签的设置说明如[表5]所示。
    表5标签说明 
   | 参数 | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               | 举例          |
   |:---|:---|:---|
   | 键   | 输入标签的键，同一个工作负载身份标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： - 长度不能超过128个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@字符，但首尾不能包含空格，且不能以_sys_开头。   | Key_0001     |
   | 值  | 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： - 长度不能超过255个字符。  - 可以包含任意语种的字母、数字和空格，以及_.:/=+-@\&字符。                                                                 | Value_0001 |
      
   
   
6. 单击"创建"，创建成功的工作负载身份将会出现在工作负载身份列表。