Identidade do Agente (Agent Identity):Securely access DingTalk from an agent

Requisitos de ambiente

O ambiente de teste local deve ter o Python (versão 3.10 ou posterior) e o gerenciador de pacotes pip instalados.

Requisitos de usuário e permissão

1. Requisitos de usuário:

   1. Administrador da DingTalk Open Platform: para gerenciar aplicativos na DingTalk Open Platform.

   2. Usuário de execução de script (usuário RAM): para executar o script de configuração e testar o aplicativo localmente.

2. Requisitos de permissão RAM:

   O usuário de execução de script deve ter as seguintes permissões:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "agentidentity:*",
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "agentidentitydata:*",
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": ["agentidentity.aliyuncs.com"]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "ram:CreateApplication",
           "ram:CreateRole", 
           "ram:CreatePolicy",
           "ram:AttachPolicyToRole", 
           "ram:CreateAppSecret",
           "ram:DeleteApplication"
         ],
         "Resource": "*"
       }
     ]
   }

Chave de API do DashScope

Obtenha uma chave de API do DashScope com permissão para chamar modelos do Model Studio. Se ainda não tiver criado uma, consulte Criar uma chave de API.

Criar um aplicativo DingTalk

Siga o Tutorial de configuração do provedor de credenciais OAuth do DingTalk para criar um aplicativo DingTalk e configurá-lo como provedor de credenciais OAuth2 para o Agent Identity.

Configurar permissões do aplicativo DingTalk

1. Faça login na DingTalk Open Platform. Localize o aplicativo DingTalk criado e acesse a página de detalhes.

2. No painel de navegação à esquerda da página de detalhes do aplicativo, clique em Permission Management. Na caixa de pesquisa de permissões, insira Document.Document.Write e clique em Enable na coluna Actions. Essa permissão permite que o aplicativo DingTalk sobrescreva documentos do usuário em nome dele.

Obter e preparar o código de exemplo

1. Clone o repositório de código. Abra um terminal local e execute o comando abaixo para clonar o código de exemplo.

   git clone https://github.com/aliyun/agent-identity-dev-kit.git
   cd agent-identity-dev-kit/agent_identity_python_samples/end-to-end_sample

2. Instale as dependências. Crie e ative um ambiente virtual Python e instale as dependências necessárias.

   pip install -r requirements.txt

3. Configure as variáveis de ambiente.

   export AGENT_IDENTITY_REGION_ID=cn-beijing # Agent Identity is currently available only in the China (Beijing) region
   export DASHSCOPE_API_KEY=<your-api-key> # Your DashScope API key

Preparar credenciais de usuário RAM

Configure as credenciais localmente para o usuário de execução de script mencionado na seção Requisitos de usuário e permissão.

export ALIBABA_CLOUD_ACCESS_KEY_ID=<your-access-key-id>
export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<your-access-key-secret>

Executar o script de configuração

No diretório raiz do projeto local, execute o script de configuração prepare.py para criar automaticamente os recursos de cloud necessários:

python -m prepare

Esse script executa as seguintes ações:

1. Cria um provedor de identidade.

2. Cria um aplicativo de entrada OAuth 2.1 da Alibaba Cloud.

3. Cria um aplicativo nativo OAuth 2.1 necessário para os services MCP da Alibaba Cloud (não utilizado neste tutorial).

4. Cria uma identidade de carga de trabalho e uma função.

5. Configura o provedor de credenciais.

O script gera informações sobre os recursos criados no arquivo .config.json no diretório raiz.

Se o script falhar devido a uma exceção, como problema de rede ou cota de recursos excedida, limpe os recursos criados antes de executá-lo novamente:

python -m clear

Configurar o provedor de credenciais do DingTalk no código

1. Na página Agent Identity Credential Providers, localize o provedor de credenciais do DingTalk criado na Etapa 1 e copie o Credential Provider Name.

2. No arquivo deploy_starter/tools/ding_talk_tool.py do projeto, localize o seguinte código:

   @requires_access_token(
       credential_provider_name="test-provider-for-dingtalk",
       scopes=["openid", "corpid"],
       auth_flow="USER_FEDERATION",
       on_auth_url= on_auth,
       # force_authentication=True,
       callback_url= f"{get_config_with_default('APP_REDIRECT_URI', 'http://localhost:8090')}/callback",
       inject_param_name="access_token",
   )

   Substitua o código existente pelo trecho abaixo e atualize o valor de credential_provider_name para o nome do seu provedor de credenciais do DingTalk.

   @requires_access_token(
       credential_provider_name="your-dingtalk-credential-provider-name",
       scopes=["openid", "corpid"],
       auth_flow="USER_FEDERATION",
       on_auth_url= on_auth,
       # force_authentication=True,
       callback_url= f"{get_config_with_default('APP_REDIRECT_URI', 'http://localhost:8090')}/callback",
       inject_param_name="access_token",
       custom_parameters={"prompt": "consent"},
   )