# 创建出站身份
#### 操作说明
当智能体需要主动向外发起网络请求、调用外部业务接口或访问下游服务时，需配置专属出站身份。默认状态下智能体无对外访问身份，无法完成合规出站通信。运维人员可在管理界面为单智能体或批量智能体创建出站身份，绑定对应的访问主体信息。该配置用于解决智能体对外访问无身份标识、请求无法鉴权、访问日志无法对应具体智能体的问题，适配日常智能体对外调用、数据外拉、跨服务交互的常规运维场景。
#### 原理描述
智能体出站身份创建基于身份标识绑定与权限隔离机制实现。系统为目标智能体生成唯一合规出站身份凭证，关联智能体本体特征信息与预设访问白名单，完成身份确权绑定。当智能体发起对外出站请求时，系统自动携带专属身份凭证完成链路校验，依托身份标识实现访问主体精准定位、权限动态校验及行为日志留存。通过独立出站身份隔离不同智能体的访问链路，杜绝越权访问、身份混淆问题，构建轻量化、高安全的智能体出站访问信任体系。
#### 创建OAuth认证类型的出站身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"出站身份"。单击右上角"创建出站身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 认证类型选择"OAuth客户端"。OAuth客户端是在身份提供商处注册的应用程序，使用OAuth 2.0协议代表用户请求访问用户的数据。
5. 根据参数说明表格，完成创建OAuth认证类型出站身份的参数设置。 
   表1参数说明 
   | 参数            | 说明                                                                                                                                                                                                                                                                                                                                                                                                |
   |:---|:---|
   | 提供商          | OAuth客户端对接的身份提供商（IdP），即签发令牌的授权服务器所在平台。 - 自定义提供商：使用Discovery URL（自动获取配置详细信息）或通过手动输入服务器元数据来设置自定义OAuth提供程序。  - 预置的提供商：默认OAuth提供程序已部分预配置，您只需要为这些预定义的提供程序指定客户端ID和密钥即可。当前支持Microsoft和Github。   |
   | 提供商类型配置       | 配置自定义提供商时，获取元数据信息的方式。 - Discovery URL：使用Discovery URL动态获取凭证提供商的配置信息，配置变更可自动同步，减少手工维护。  - 自定义配置：自定义硬编码配置凭证提供商的元数据信息，适用于不支持Discovery的提供商。                                                |
   | 客户端ID         | 身份提供商或授权服务器分配给客户端应用程序的唯一标识符。与客户端密钥配对使用，属于公开信息。                                                                                                                                                                                                                                                                                                                                                     |
   | 客户端密钥       | 分配给客户端应用程序的唯一密钥值，用户在发出请求时针对客户端进行身份验证。属于敏感凭据，泄露可能导致令牌被冒领，需妥善保管并定期轮换。                                                                                                                                                                                                                                                                                                                              |
   | Discovery URL | 当提供商类型配置选择"Discovery URL"时，需要填写此参数。 提供一个Discovery URL，供客户端用户发现您的身份提供商，并与之集成。自动获取授权端点、令牌端点、响应类型等配置信息。                                                                                                                                                                                                                                                      |
   | 签发者          | 当提供商类型配置选择"自定义配置"时，需要填写此参数。 授权服务器的基本URL，用于标识令牌的签发者。系统据此校验访问令牌中的签发者（issuer）声明是否与配置一致，防止伪造或跨域令牌滥用。                                                                                                                                                                                                                                                         |
   | 授权端点           | 当提供商类型配置选择"自定义配置"时，需要填写此参数。 授权服务器执行用户授权流程的端点URL。智能体发起授权请求时，用户通过该端点完成登录和授权同意，授权服务器据此返回授权码。                                                                                                                                                                                                                                                                 |
   | 令牌端点          | 当提供商类型配置选择"自定义配置"时，需要填写此参数。 客户端使用授权码等凭据交换访问令牌的端点URL。智能体获取授权码后，调用该端点换取访问令牌。                                                                                                                                                                                                                                                                                |
   | 响应类型（可选）      | 授权服务器支持的OAuth 2.0响应类型，决定授权流程返回的凭据形态。不配置时使用授权服务器默认行为。                                                                                                                                                                                                                                                                                                                                               |
   | 租户ID           | 当提供商选择"预置的提供商"且提供商类型配置选择"预置提供商"的"Microsoft"时，需要填写此参数。 分配给Microsoft Entra租户的唯一标识符，用于定位应用注册所属的目录和授权范围。                                                                                                                                                                                                                                                       |
      
   
   
6. 单击右下角"立即创建"。创建成功的出站身份将会显示在出站身份列表中。
 
#### 创建API Key类型的出站身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"出站身份"。单击右上角"创建出站身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 认证类型选择"API Key"。
5. 输入API Key的值。 
   图1输入API Key   
   ![](https://support.huaweicloud.com/usermanual-agentidentity/zh-cn_image_0000002723824852.png)
   
   
6. 单击右下角"立即创建"。创建成功的出站身份将会显示在出站身份列表中。
 
#### 创建IAM委托类型的出站身份
1. 登录[智能体身份控制台](https://console.huaweicloud.com/agent-identity/?)。
2. 在左侧导航窗格中，选择"出站身份"。单击右上角"创建出站身份"。
3. 输入"身份名称"。身份名称只能包含英文字母、数字或特殊字符(_-)，长度不能超过56个字符。
4. 认证类型选择"IAM委托"。
5. 在下拉列表中选择已创建的IAM信任委托，或单击右侧"新建IAM信任委托"，创建操作请参考[信任委托](https://support.huaweicloud.com/usermanual-iam5/iam_01_0915.html)。
   
   图2创建IAM委托类型的出站身份   
   ![](https://support.huaweicloud.com/usermanual-agentidentity/zh-cn_image_0000002723681942.png)
   
   
6. 单击右下角"立即创建"。创建成功的出站身份将会显示在出站身份列表中。