策略集概述

策略集简介

智能体身份策略集是用于统一管理智能体出站身份访问策略的配置集合。策略集通过集中定义访问规则，将智能体对外部服务的调用行为纳入统一管控，实现对越权访问的预防、异常调用的发现以及安全事件的审计追溯。

您可以将策略集绑定到指定实例，主要为凭证库。绑定后，策略集规则即对通过该凭证库发起的出站调用生效。一个策略集可应用于多个凭证库，多个策略集也可同时绑定一个凭证库，便于按业务、部门或安全等级对访问策略进行灵活编排。

执行模式

策略集支持设置两种执行模式：

• 拦截模式：策略规则被强制执行。智能体发起出站调用时，系统实时评估调用请求与策略规则的匹配情况，对符合策略的请求予以放行，对不符合策略的请求直接拦截并记录失败原因，从源头防止未授权访问。
• 观察模式：策略规则仅被评估和记录，不实际拦截访问。系统对不符合策略规则的调用生成告警日志和审计记录，调用本身仍正常执行。该模式适用于策略上线初期的灰度验证，便于在真实流量中评估规则准确性和影响范围，确认无误后再切换为拦截模式。

策略简介

智能体身份策略是定义智能体访问行为的授权规则，包含在策略集中，主要用于配置凭证的访问控制策略。每条策略通过效果、主体范围、主体类型、资源范围、资源类型、操作范围和条件等要素，精确描述“谁在什么条件下、对什么资源、可以执行什么操作”。其中，效果用于指定策略是允许还是拒绝访问；主体范围和主体类型用于限定策略适用的调用主体及其类型；资源范围和资源类型用于限定策略可访问的资源对象及类型；操作范围用于限定允许执行的操作；条件用于通过条件表达式进一步约束策略的生效场景，如调用时间、调用来源等。

策略支持使用Cedar编辑器进行编辑。Cedar是一种用于描述授权策略的结构化语言，您可以在编辑器中通过可视化方式或文本方式配置策略要素，系统在保存时自动进行语法校验，确保策略格式正确。配置完成的策略包含在策略集中，随策略集绑定至凭证库等实例后生效。