出站 - 智能體身分（Agent Identity）

Agent Identity的功能按工作流程的方向，可以分為入站和出站兩部分。其中，出站指的是Agent完成入站認證和授權後，使用Workload Access Token調用Agent Identity服務介面，為Agent擷取訪問下遊雲端服務或第三方資源憑證的過程。

如何選擇出站憑證

Agent Identity 支援擷取三種類型的出站憑證：STS Token、OAuth Access Token 和 API Key。您可以根據要訪問的下遊資源類型和認證方式，選擇最合適的憑證。

使用情境	出站憑證	擷取方法
訪問阿里雲服務	OAuth Access Token	註冊OAuth憑證供應商，調用`GetResourceOauth2Token`介面擷取OAuth Access Token，再通過OAuth Access Token調用阿里雲OpenAPI MCP服務。
訪問阿里雲服務	STS Token	Agent調用 `AssumeRoleForWorkloadIdentity`介面扮演RAM角色，擷取上下文感知的STS Token，再通過STS Token調用阿里雲OpenAPI。
訪問LLM或三方資源	API Key	註冊API Key憑證供應商，調用`GetResourceAPIKey`介面擷取API Key，再通過API Key訪問LLM或三方資源。
訪問LLM或三方資源	OAuth Access Token	註冊OAuth憑證供應商，調用`GetResourceOauth2Token`介面擷取OAuth Access Token，再通過OAuth Access Token調用三方資源的API或MCP服務。

關於具體如何擷取憑證，請參見擷取憑證。

出站授權

調用Agent Identity的出站憑證擷取介面（如GetReourceOAuth2Token）時，需要完成出站授權。

您可以為要用來擷取出站憑證的工作負載身份關聯角色建立一個自訂權限原則，並授予相應許可權。

策略樣本：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "agentidentitydata:GetResourceOAuth2Token",
        "agentidentitydata:GetResourceAPIKey",
      ],
      "Resource": "*"
    }
  ],
  "Version": "1"
}

憑證供應商管理

Agent Identity支援配置OAuth和API Key兩種類型的憑證供應商。配置和管理方法請參見：

Agent Identity針對常見OAuth憑證供應商（如阿里雲）做了預配置，以協助您簡化憑證供應商的配置。具體請參見：典型OAuth憑證供應商設定教程。