创建出站身份
操作说明
当智能体需要主动向外发起网络请求、调用外部业务接口或访问下游服务时，需配置专属出站身份。默认状态下智能体无对外访问身份，无法完成合规出站通信。运维人员可在管理界面为单智能体或批量智能体创建出站身份，绑定对应的访问主体信息。该配置用于解决智能体对外访问无身份标识、请求无法鉴权、访问日志无法对应具体智能体的问题，适配日常智能体对外调用、数据外拉、跨服务交互的常规运维场景。
原理描述
智能体出站身份创建基于身份标识绑定与权限隔离机制实现。系统为目标智能体生成唯一合规出站身份凭证，关联智能体本体特征信息与预设访问白名单，完成身份确权绑定。当智能体发起对外出站请求时，系统自动携带专属身份凭证完成链路校验，依托身份标识实现访问主体精准定位、权限动态校验及行为日志留存。通过独立出站身份隔离不同智能体的访问链路，杜绝越权访问、身份混淆问题，构建轻量化、高安全的智能体出站访问信任体系。
创建OAuth认证类型的出站身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“出站身份”。单击右上角“创建出站身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 认证类型选择“OAuth客户端”。OAuth客户端是在身份提供商处注册的应用程序，使用OAuth 2.0协议代表用户请求访问用户的数据。
- 根据参数说明表格，完成创建OAuth认证类型出站身份的参数设置。
表1 参数说明 参数
说明
提供商
OAuth客户端对接的身份提供商（IdP），即签发令牌的授权服务器所在平台。
- 自定义提供商：使用Discovery URL（自动获取配置详细信息）或通过手动输入服务器元数据来设置自定义OAuth提供程序。
- 预置的提供商：默认OAuth提供程序已部分预配置，您只需要为这些预定义的提供程序指定客户端ID和密钥即可。当前支持Microsoft和Github。
提供商类型配置
配置自定义提供商时，获取元数据信息的方式。
- Discovery URL：使用Discovery URL动态获取凭证提供商的配置信息，配置变更可自动同步，减少手工维护。
- 自定义配置：自定义硬编码配置凭证提供商的元数据信息，适用于不支持Discovery的提供商。
客户端ID
身份提供商或授权服务器分配给客户端应用程序的唯一标识符。与客户端密钥配对使用，属于公开信息。
客户端密钥
分配给客户端应用程序的唯一密钥值，用户在发出请求时针对客户端进行身份验证。属于敏感凭据，泄露可能导致令牌被冒领，需妥善保管并定期轮换。
Discovery URL
当提供商类型配置选择“Discovery URL”时，需要填写此参数。
提供一个Discovery URL，供客户端用户发现您的身份提供商，并与之集成。自动获取授权端点、令牌端点、响应类型等配置信息。
签发者
当提供商类型配置选择“自定义配置”时，需要填写此参数。
授权服务器的基本URL，用于标识令牌的签发者。系统据此校验访问令牌中的签发者（issuer）声明是否与配置一致，防止伪造或跨域令牌滥用。
授权端点
当提供商类型配置选择“自定义配置”时，需要填写此参数。
授权服务器执行用户授权流程的端点URL。智能体发起授权请求时，用户通过该端点完成登录和授权同意，授权服务器据此返回授权码。
令牌端点
当提供商类型配置选择“自定义配置”时，需要填写此参数。
客户端使用授权码等凭据交换访问令牌的端点URL。智能体获取授权码后，调用该端点换取访问令牌。
响应类型（可选）
授权服务器支持的OAuth 2.0响应类型，决定授权流程返回的凭据形态。不配置时使用授权服务器默认行为。
租户ID
当提供商选择“预置的提供商”且提供商类型配置选择“预置提供商”的“Microsoft”时，需要填写此参数。
分配给Microsoft Entra租户的唯一标识符，用于定位应用注册所属的目录和授权范围。
- 单击右下角“立即创建”。创建成功的出站身份将会显示在出站身份列表中。
创建API Key类型的出站身份
- 登录智能体身份控制台。
- 在左侧导航窗格中，选择“出站身份”。单击右上角“创建出站身份”。
- 输入“身份名称”。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
- 认证类型选择“API Key”。
- 输入API Key的值。 图1 输入API Key
- 单击右下角“立即创建”。创建成功的出站身份将会显示在出站身份列表中。
