Identity as a Service：Token Exchange操作指導

步驟一：擷取初始存取權杖

在發起令牌交換之前，您需要先擷取一個有效主體令牌（subject_token）。可通過 OAuth 2.0 授權碼模式擷取。

步驟二：發起令牌交換請求

向 IDaaS 授權伺服器的令牌端點發起 POST 請求，交換新的存取權杖。

請求端點

POST https://{domain}/api/v2/iauths_system/oauth2/token

其中 {domain} 為您的 IDaaS 執行個體訪問網域名稱。

請求參數

請求樣本

curl --location --request POST 'https://{domain}/api/v2/iauths_system/oauth2/token' \
--data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
--data-urlencode 'subject_token={subject_token}' \
--data-urlencode 'subject_token_type=urn:ietf:params:oauth:token-type:access_token' \
--data-urlencode 'requested_token_type=urn:ietf:params:oauth:token-type:access_token' \
--data-urlencode 'scope={audience}|{scope}' \
--data-urlencode 'audience={audience}' \
--data-urlencode 'client_id={client_id}' \
--data-urlencode 'client_secret={client_secret}'

成功響應

{
  "access_token": "eyJraWQiOiJBVVRIU0tFWVNYNDZ4bmRLN0RMdmM3NUx5Y0NuYkVFczFWTExQb2tzIiwiYWxnIjoiUlMyNTxxxx...",
  "issued_token_type": "urn:ietf:params:oauth:token-type:access_token",
  "token_type": "Bearer",
  "expires_in": 3600,
  "expires_at": 1772605468,
  "scope": "user:read"
}

響應參數說明

錯誤碼

步驟三：使用新令牌訪問資源

使用交換後的新令牌訪問目標資源服務。

curl --location --request GET 'https://{resource_server}/api/protected-resource' \
--header 'Authorization: Bearer {access_token}'

其中：

• {resource_server}：目標資源服務的訪問網域名稱

• {access_token}：步驟二中擷取的新存取權杖

Agent 身份安全情境

在企業 Agent 服務整合情境中，Token Exchange 可實現安全的身份傳遞和委託授權。

情境描述

某企業部署了差旅規劃助手 Agent 和人力資源 MCP 服務。當員工通過差旅系統訪問 Agent 規划行程時，差旅規劃助手需要訪問人力資源 MCP 服務以擷取員工的職級資訊和差旅預算等資料。

服務節點對應關係

優勢

• 安全地將授權傳遞到人力資源 MCP 服務

• 保留業務操作的主體身份資訊（員工），無需二次認證授權

• 完整的授權傳遞鏈路，便於溯源和審計

控制台審計日誌

在 IDaaS 控制台日誌模組的調用日誌中，無論令牌交換請求是否成功，都會記錄一條事件類型為"Token 交換"的日誌。日誌中會記錄：

• 令牌交換的用戶端

• 賬戶（主體）

• 主體令牌等核心要素資訊

令牌內省能力

IDaaS 令牌交換所頒發的令牌為 JWT 格式，本身具備內省能力。IDaaS 授權伺服器在實現令牌交換能力時會自訂一個聲明 _idaas_imp 來記錄令牌交換的鏈路。

令牌 Payload 樣本

{
  "sub": "user_xxxxxxxxxxxxxxxxxxxx",
  "scope": "user:read",
  "jti": "AT_03",
  "iss": "https://{domain}/api/v2/iauths_system/oauth2",
  "iat": 1772604268,
  "nbf": 1772604268,
  "exp": 1772605468,
  "aud": "mcp-server",
  "client_id": "app_03",
  "_idaas_iid": "idaas_xxxxxxxxxxxxxxxxxxxx",
  "_idaas_tag": "user-auth",
  "_idaas_imp": {
    "jti": "AT_02",
    "client_id": "app_02",
    "_idaas_imp": {
      "jti": "AT_01",
      "client_id": "app_01"
    }
  }
}

欄位說明