容器计算服务 ACS：为 Agent Sandbox 挂载 AgenticFS（Agent Identity）

工作原理

相比传统 AccessKey 方式将长期静态凭据挂载到 Sandbox（所有 Sandbox 共享同一组 AK/SK，权限无法收缩到实例维度），Agent Identity 通过 ack-agent-identity 组件为每个 Sandbox 签发独立身份，动态获取短期 STS（Security Token Service，安全令牌服务）临时凭据，实现 Sandbox 级别的精细化权限隔离，且 Sandbox 内不留存任何长期密钥。

Agent Identity 采用两层权限模型：

• 第一层：RAM 角色权限（最大权限边界）。在 RAM 控制台创建，覆盖所有 Sandbox 可能访问的 AgenticFS 文件系统范围，由管理员一次性配置。

• 第二层：CredentialProvider 策略（实际生效权限）。在集群内通过 CredentialProvider CR（Custom Resource，自定义资源）定义，必须是第一层的子集，支持变量插值按每个 Sandbox 声明的 AccessPoint 动态收缩。

每个 Sandbox 最终获取的 STS 凭据权限，为 RAM 角色权限与 CredentialProvider 策略的交集。此外，该权限的生效范围仅限于该 Sandbox 声明的 AccessPoint。

AgenticFS 的 Agent Identity 挂载走 aliagenticfs 客户端，通过 TLS 隧道（本地 stunnel → AgenticFS AccessPoint 的 12049 端口）以 NFSv3 协议挂载。因此除凭据链路外，还需确保 AgenticFS 侧已开启传输加密并放行 12049 端口，详见适用范围与步骤一：配置网络放行。

支持基于 E2B 的 Create 接口、休眠或唤醒功能以及原地升级镜像后的运行时存储挂载。

适用范围

• 已完成 Agent Sandbox 的基础环境搭建。具体操作，请参见创建Agent Sandbox。

• 已在集群组件管理中安装或升级并配置以下组件：

  • ack-agent-identity ≥ v0.5.1，如果使用 e2b 接口，请勾选 agentTokenDelegation 配置项。

  • ack-agent-sandbox-controller ≥ v0.6.1-release.1，并勾选 identityProvider 配置项。

    由于组件运行及配置 Sandbox 时需要依赖 csi-agent、csi-plugin 以及 agent-runtime 镜像，建议提前配置好镜像缓存，避免扩容耗时。

  • ack-sandbox-manager ≥ v0.6.11，并勾选 identityProvider 配置项。

• 已在集群集群信息页的基本信息页签中的安全与审计区域开启 RRSA OIDC，并已记录供应商 URL 和供应商 ARN，用于后续 RAM 角色信任策略配置。具体操作，请参考通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

• AgenticFS 侧前置条件（AgenticFS 场景特有）：

  • 已创建 AgenticFS 文件系统，并为其创建 AccessPoint（接入点），且 AccessPoint 已开启 RAM 授权（EnabledRam: true）。

  • 已为该 AgenticFS 文件系统开启传输加密（TLS）。AccessPoint 挂载强制要求 TLS，未开通会导致挂载报 mount.nfs: Unknown error 521。

  • AgenticFS AccessPoint 与集群位于同一 VPC、同一 Region。

  具体操作，请参考创建 AgenticFS Volume。

使用限制

• Sandbox 需使用 dnsPolicy: ClusterFirst 以便解析 Credential Provider 服务域名及 AgenticFS AccessPoint 域名。

• 在配置网络策略或流量策略时，请务必放行访问 CoreDNS、Credential Provider 服务（TCP/8443）以及 AgenticFS AccessPoint TLS 端口（TCP/12049）的出方向流量。

• AgenticFS AccessPoint 仅支持通过 TLS 挂载，不支持未加密挂载。

• PV 的 volumeAttributes 创建后不可修改，变更鉴权方式需删除并重建 PV。

• 请根据 Sandbox 实例规模，前往配额中心申请 AssumeRoleWithOIDC 接口的访问配额，避免因配额不足导致凭据获取失败。

步骤一：配置网络放行

Sandbox 访问 Credential Provider 获取 STS 凭据、通过 TLS 隧道访问 AgenticFS AccessPoint 读写数据均需要显式放行。使用 TrafficPolicy 控制 Pod 层出入方向流量，使用安全组控制 ECS 网卡层流量，二者需同步配置。

本文的 TrafficPolicy、Agent Identity 相关 CR、SandboxSet、SandboxClaim 与 Sandbox 需位于同一命名空间，下文统一以 <YOUR-NAMESPACE> 表示，请替换为实际命名空间。

apiVersion: network.alibabacloud.com/v1alpha1
kind: TrafficPolicy
metadata:
  name: sandbox-policy
  namespace: <YOUR-NAMESPACE>
spec:
  priority: 100
  selector:
    matchLabels:
      app: sandbox
  ingress:
    rules:
      # 允许来自 Sandbox Gateway、Manager 和 Controller 的访问
      - action: allow
        from:
          - service:
              name: sandbox-gateway
              namespace: sandbox-system
          - service:
              name: sandbox-manager
              namespace: sandbox-system
          - service:
              name: sandbox-controller-manager-webhook-service
              namespace: sandbox-system
      # 禁止其他所有来源
      - action: deny
        from:
          - cidr: 0.0.0.0/0
  egress:
    rules:
      # 禁止访问云产品元数据服务
      - action: deny
        to:
          - cidr: 100.100.100.200/32
      # 允许 DNS 服务，用于解析 Credential Provider 与 AgenticFS AccessPoint 服务域名
      - action: allow
        to:
          - service:
              namespace: kube-system
              name: kube-dns
      # 允许访问 Credential Provider 服务，用于获取 STS Token
      - action: allow
        to:
          - service:
              namespace: ack-agent-identity
              name: credential-provider
      # 允许访问 AgenticFS（放行到 AgenticFS IP的出方向，用于 TLS 隧道挂载）
      # 说明：AgenticFS AccessPoint 通过 VPC 内网可达，若上面已放行 0.0.0.0/0 可省略；
      #       若做了内网 CIDR 收紧，请单独放行 AgenticFS 所在网段。
      # 将 <AgenticFS-ACCESSPOINT-IP> 替换为接入点挂载地址的内网 IP，每个挂载地址加一条
      - action: allow
        to:
          - cidr: <AgenticFS-ACCESSPOINT-IP>/32
      # 禁止访问私有网络（防止 Sandbox 探测内网，此规则必须位于上面的 allow 之后）
      - action: deny
        to:
          - cidr: 10.0.0.0/8
      - action: deny
        to:
          - cidr: 172.16.0.0/12
      - action: deny
        to:
          - cidr: 192.168.0.0/16
      # 允许访问公网
      - action: allow
        to:
          - cidr: 0.0.0.0/0

# 验证到 Credential Provider 的连通性
telnet credential-provider.ack-agent-identity.svc 8443

# 验证到 AgenticFS AccessPoint 12049 端口的连通性（<AgenticFS-ACCESSPOINT-IP> 为 AccessPoint 挂载地址）
telnet <AgenticFS-ACCESSPOINT-IP> 12049

步骤二：创建 RAM 角色并配置信任策略

Agent Identity 组件依赖 RRSA（RAM Roles for Service Account，服务账户角色）扮演 RAM 角色获取 STS 临时凭据。此处配置的 RAM 角色权限是最大权限边界，实际每个 Sandbox 获得的权限还会被步骤三的 CredentialProvider 策略进一步收缩。建议将此角色配置为覆盖所有 Sandbox 可能访问的 AgenticFS 文件系统范围。

1. 在目标集群信息页的基本信息页签中的安全与审计区域开启 RRSA OIDC。将鼠标悬浮至 RRSA OIDC 右侧的已开启上，即可查看提供商的 URL 链接和 ARN 信息。

2. 访问 RAM 控制台-创建角色页面，选择**信任主体类型**为**身份提供商类型**，替换以下模板中的 <oidc_issuer_url> 为提供商 URL，<oidc_provider_arn> 为提供商 ARN：

   重要

   在大规模应用场景下，为避免 STS Token 反复轮转，建议在角色创建完成后，在角色详情页更改最大会话时间，调整至 12 小时以上。若当前 RAM 用户没有创建角色或策略的相关权限，请联系阿里云账号管理员为当前用户授予 AliyunRAMFullAccess 等相关权限。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": [
               "system:serviceaccount:ack-agent-identity:credential-provider"
             ]
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

   oidc:sub 中的 ack-agent-identity:credential-provider 是 ack-agent-identity 组件使用的 ServiceAccount，不支持自定义。

3. 为该 RAM 角色创建自定义权限策略。根据业务需求选择只读或读写策略，将 <YOUR-REGION>、<YOUR-ACCOUNT-ID>、<YOUR-FILESYSTEM-ID> 替换为实际值。nas:AccessPointArn 条件将权限约束到指定的 AccessPoint，<YOUR-ACCESSPOINT-ID> 替换为实际 AccessPoint ID（如需覆盖多个可列举或使用通配符）。

   只读策略

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "nas:ClientMount",
           "nas:ClientRootAccess"
         ],
         # REGIONID(cn-hangzhou) & ACCOUNT-ID 不能写 * 
         "Resource": "acs:nas:<YOUR-REGION>:<YOUR-ACCOUNT-ID>:filesystem/*",
         "Condition": {
           "StringEquals": {
             "nas:AccessPointArn": [
               # REGIONID(cn-hangzhou) & ACCOUNT-ID 不能写 * 
               "acs:nas:<YOUR-REGION>:<YOUR-ACCOUNT-ID>:accesspoint/<YOUR-ACCESSPOINT-ID>"
             ]
           }
         }
       }
     ]
   }
   

   读写策略

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "nas:ClientMount",
           "nas:ClientWrite",
           "nas:ClientRootAccess"
         ],
         # REGIONID（cn-hangzhou） & ACCOUNT-ID 不能写 *
         "Resource": "acs:nas:<YOUR-REGION>:<YOUR-ACCOUNT-ID>:filesystem/*",
         "Condition": {
           "StringEquals": {
             "nas:AccessPointArn": [
               # REGIONID(cn-hangzhou) & ACCOUNT-ID 不能写 *
               "acs:nas:<YOUR-REGION>:<YOUR-ACCOUNT-ID>:accesspoint/<YOUR-ACCESSPOINT-ID>"
             ]
           }
         }
       }
     ]
   }
   

   AgenticFS 客户端权限 Action 说明：nas:ClientMount（挂载/读，只读必需）、nas:ClientWrite（写）、nas:ClientRootAccess（以 root 身份访问，按需）。只读场景仅保留 nas:ClientMount；写场景追加 nas:ClientWrite。

4. 访问 RAM 控制台-角色页面，在 RAM 角色列表的操作列，单击目标角色对应的新增授权，将上一步创建的权限策略授权给该 RAM 角色。

步骤三：创建 Agent Identity 相关 CR

创建 AgentIdentity、CredentialProvider、AgentRole、AgentRoleBinding 四种 CR，完成 Sandbox 身份与凭据的授权绑定。

1. 将以下 YAML 保存为 agent-identity.yaml，定义 Agent 身份标识：

   apiVersion: agentidentity.alibabacloud.com/v1alpha1
   kind: AgentIdentity
   metadata:
     name: my-storage-agent            # Agent 身份名称
     namespace: <YOUR-NAMESPACE>
   spec:
     description: "用于 AgenticFS 存储挂载的 Agent 身份"

2. 将以下 YAML 保存为 credential-provider.yaml，定义每个 Sandbox 实际获得的 STS 凭据权限范围。可按业务场景创建多个 CredentialProvider 作为不同的权限模板，本文提供只读和读写两种。

   CredentialProvider 的策略需在步骤二 RAM 角色的权限范围内，超出部分不会生效。

   将 <YOUR-RAM-ROLE-NAME> 替换为步骤二创建的 RAM 角色名称，<YOUR-REGION>、<YOUR-ACCOUNT-ID> 替换为实际值。${ack:agent-identity/storage-auth/agenticfs-ap-id} 无需替换，sandbox-controller 会按每个 Sandbox 声明的 AccessPoint 自动填充为实际 AccessPoint ID，从而将权限收缩到该 Sandbox 挂载的 AccessPoint。

   只读 CredentialProvider

   apiVersion: agentidentity.alibabacloud.com/v1alpha1
   kind: CredentialProvider
   metadata:
     name: agenticfs-read-only              # 只读场景的 CredentialProvider
     namespace: <YOUR-NAMESPACE>
   spec:
     type: RAM
     ram:
       source:
         provider: RRSA
         rrsa:
           roleName: <YOUR-RAM-ROLE-NAME>
           tokenValidity: 1h
           policy: |
             {
               "Version": "1",
               "Statement": [
                 {
                   "Effect": "Allow",
                   "Action": ["nas:ClientMount", "nas:ClientRootAccess"],
                   "Resource": {{ build_policy_nas_resource() }},
                   "Condition": {
                     "StringEquals": {
                       "nas:AccessPointArn": {{ build_policy_nas_ap_arn_condition() }}
                     }
                   }
                 }
               ]
             }

   读写 CredentialProvider

   apiVersion: agentidentity.alibabacloud.com/v1alpha1
   kind: CredentialProvider
   metadata:
     name: agenticfs-read-write             # 读写场景的 CredentialProvider
     namespace: <YOUR-NAMESPACE>
   spec:
     type: RAM
     ram:
       source:
         provider: RRSA
         rrsa:
           roleName: <YOUR-RAM-ROLE-NAME>
           tokenValidity: 1h
           policy: |
             {
               "Version": "1",
               "Statement": [
                 {
                   "Effect": "Allow",
                   "Action": ["nas:ClientMount", "nas:ClientWrite", "nas:ClientRootAccess"],
                   "Resource": {{ build_policy_nas_resource() }},
                   "Condition": {
                     "StringEquals": {
                       "nas:AccessPointArn": {{ build_policy_nas_ap_arn_condition() }}
                     }
                   }
                 }
               ]
             }
   

   tokenValidity 指定 STS 临时凭据有效期。挂载后 csi-agent 会在凭据过期前（约 tokenValidity - 5min）自动轮转，无需重新挂载，业务无感知。

3. 将以下 YAML 保存为 agent-role.yaml，通过 AgentRole 引用所有存储相关的 CredentialProvider，并通过 AgentRoleBinding 将角色绑定到 Agent 身份：

   apiVersion: agentidentity.alibabacloud.com/v1alpha1
   kind: AgentRole
   metadata:
     name: agenticfs-storage-role
     namespace: <YOUR-NAMESPACE>
   spec:
     rules:
     - effect: Allow
       action: "GetResourceCredential"
       resource: "CredentialProvider/agenticfs-read-only"    # 引用只读 CredentialProvider
     - effect: Allow
       action: "GetResourceCredential"
       resource: "CredentialProvider/agenticfs-read-write"    # 引用读写 CredentialProvider
   ---
   apiVersion: agentidentity.alibabacloud.com/v1alpha1
   kind: AgentRoleBinding
   metadata:
     name: my-agent-agenticfs-binding
     namespace: <YOUR-NAMESPACE>
   spec:
     agentRoleRef:
       apiGroup: agentidentity.alibabacloud.com
       kind: AgentRole
       name: agenticfs-storage-role
     subjects:
     - authorizationType: "Agent"
       agentAuthorizationConfiguration:
         agentName: my-storage-agent                     # 与 AgentIdentity name 一致
   

4. 依次应用以上所有 YAML 文件：

   kubectl apply -f agent-identity.yaml
   kubectl apply -f credential-provider.yaml
   kubectl apply -f agent-role.yaml
   

   应用后确认四种 CR 均处于可用状态：

   kubectl get agentidentity,credentialprovider,agentrole,agentrolebinding -n <YOUR-NAMESPACE>

权限收缩示例

假设 RAM 角色允许 nas:ClientMount + nas:ClientWrite 访问某文件系统的所有 AccessPoint。Sandbox A 的 SandboxClaim 引用 agenticfs-read-only，Sandbox B 引用 agenticfs-read-write。最终 Sandbox A 仅能只读访问其声明的 AccessPoint，Sandbox B 可读写其声明的 AccessPoint，两者互不可见。

步骤四：配置 SandboxSet 和创建 PV

在 SandboxSet 中启用 CSI 和 agent-runtime 能力，并创建声明 authType: agent-identity 的 PersistentVolume 对象。

1. 将以下 YAML 保存为 sandboxset.yaml（注意 dnsPolicy 必须为 ClusterFirst），执行 kubectl apply -f sandboxset.yaml 进行应用：

   apiVersion: agents.kruise.io/v1alpha1
   kind: SandboxSet
   metadata:
     name: code-interpreter-agenticfs-agent-identity
     namespace: <YOUR-NAMESPACE>
   spec:
     replicas: 3
     runtimes:
     - name: csi                        # 启用 CSI 挂载能力
     - name: agent-runtime              # 注入 envd 等环境管理工具
     template:
       metadata:
         annotations:
           network.alibabacloud.com/wait-clusterip-ready: "*"
         labels:
           alibabacloud.com/acs: "true"
           alibabacloud.com/compute-class: agent-sandbox
           alibabacloud.com/compute-qos: default
       spec:
         automountServiceAccountToken: false
         dnsPolicy: ClusterFirst        # 必须为 ClusterFirst
         containers:
         - image: registry-cn-hangzhou-vpc.ack.aliyuncs.com/acs/code-interpreter:v1.6
           imagePullPolicy: IfNotPresent
           name: sandbox
           resources:
             requests:
               cpu: "1"
               memory: 1Gi
             limits:
               cpu: "1"
               memory: 1Gi
         terminationGracePeriodSeconds: 30
   

   建议启用 network.alibabacloud.com/wait-clusterip-ready 注解，确保 Sandbox 执行动态存储挂载时能够准确解析到 Credential Provider 和 AgenticFS 服务端的地址。

2. 将以下 YAML 保存为 agenticfs-pv.yaml，替换 AccessPoint 域名和 Region 为实际值，执行 kubectl apply -f agenticfs-pv.yaml 创建资源。

   Agent Identity 方式下 PV 无需 nodePublishSecretRef，也无需创建 Secret。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     labels:
       alicloud-pvname: agenticfs-pv-sandbox-system
     name: agenticfs-pv-sandbox-system
   spec:
     accessModes:
     - ReadWriteMany
     capacity:
       storage: 50Gi
     csi:
       driver: nasplugin.csi.alibabacloud.com
       volumeAttributes:
         authType: agent-identity                          # 固定值，声明使用 Agent Identity 认证
         mountProtocol: alinas                             # 固定值，使用 aliagenticfs 客户端（NFSv3 over TLS）
         server: <YOUR-ACCESSPOINT-DOMAIN>                 # AccessPoint 域名，如 ap-xxxx.<fsid>-xxx.<region>.agenticfs.aliyuncs.com
         path: /                                           # 挂载点相对 AccessPoint 根目录的路径
         options: nolock,tcp,noresvport,tls,ram,vers=3
       volumeHandle: agenticfs-pv-sandbox-system                   # 必须与 PV 的名称一致
     persistentVolumeReclaimPolicy: Retain
     storageClassName: test
     volumeMode: Filesystem
   

   重要

   PV 的 volumeAttributes 创建后不可修改。如需变更鉴权方式，需删除并重建 PV。此操作会导致未升级的 Sandbox AgenticFS 访问失败，请谨慎操作。

   关键字段说明如下：

   参数	说明
   authType	固定为 agent-identity，表示使用 Agent Identity 认证。
   mountProtocol	固定为 alinas，使用 aliagenticfs 客户端以 NFSv3 over TLS 方式挂载 AccessPoint。
   server	AgenticFS AccessPoint 的域名。
   path	挂载点相对于 AccessPoint 根目录的路径，默认为 /。
   options	aliagenticfs 挂载选项。AccessPoint 挂载必须包含 tls、ram 与 vers=3。

步骤五：挂载存储卷

在 Sandbox 上指定挂载配置时，需通过 attributes.credentialProviderName 指定使用的 CredentialProvider，并通过 security.agents.kruise.io/agent-name 关联步骤三创建的 AgentIdentity。ACS 支持以下两种触发挂载的方式：应用以编程方式创建 Sandbox 时使用 E2B SDK，在集群内声明式管理 Sandbox 时使用 SandboxClaim。

subPath 自动创建：在挂载配置中声明 subPath 时，若该子目录在 AgenticFS 远端尚不存在，CSI 会自动创建该子目录后再挂载，无需提前手动创建。

import json
from e2b_code_interpreter import Sandbox

sbx = Sandbox.create(
    template="code-interpreter-agenticfs-agent-identity",
    timeout=600,
    metadata={
        "e2b.agents.kruise.io/csi-volume-config": json.dumps([
            {
                "pvName": "agenticfs-pv-sandbox-system",
                "mountPath": "/data-agenticfs",
                "subPath": "user-a-data",
                "attributes": {
                    "credentialProviderName": "agenticfs-read-only"
                }
            }
        ]),
        "security.agents.kruise.io/agent-name": "my-storage-agent"
    }
)
print(f"sandbox id: {sbx.sandbox_id}")

apiVersion: agents.kruise.io/v1alpha1
kind: SandboxClaim
metadata:
  name: code-interpreter-claim
  namespace: <YOUR-NAMESPACE>
spec:
  templateName: code-interpreter-agenticfs-agent-identity     # 关联的 SandboxSet 名称
  replicas: 1
  claimTimeout: 5m
  ttlAfterCompleted: 15m
  annotations:
    # 必须与 AgentIdentity 名称完全一致
    security.agents.kruise.io/agent-name: my-storage-agent
  dynamicVolumesMount:
  # 公司只读子目录 1
  - pvName: agenticfs-pv-sandbox-system
    mountPath: "/office-skill-readonly"
    subPath: "office-skill-readonly"
    readOnly: true
    attributes:
      credentialProviderName: "agenticfs-read-only"
  # 公司只读子目录 2
  - pvName: agenticfs-pv-sandbox-system
    mountPath: "/bu-office-skill-sub"
    subPath: "bu-office-skill-sub-readonly"
    readOnly: true
    attributes:
      credentialProviderName: "agenticfs-read-only"
  # 每个用户独立的读写子目录
  - pvName: agenticfs-pv-sandbox-system
    mountPath: "/user-owner-dir-rw"
    subPath: "user-a-owner-dir-rw"
    attributes:
      credentialProviderName: "agenticfs-read-write"

步骤六：验证挂载结果

以下命令以步骤五中的 SandboxClaim 方式为例验证。若通过 E2B SDK 挂载，请将命令中的目录替换为该示例声明的挂载路径。

1. Sandbox 创建成功后，status 变为 Running 即表示 Claim 与挂载流程已完成。查询已分配出的 Sandbox：

   kubectl get sandbox -n <YOUR-NAMESPACE> -l agents.kruise.io/claim-name=code-interpreter-claim
   

   预期输出：

   NAME                                          STATUS    AGE   CLAIMED
   code-interpreter-agenticfs-agent-identity-6vh94     Running   45s   true
   

2. 替换 <POD_NAME> 为上一步输出中的 Pod 名称，进入容器验证只读挂载目录可列举、读写挂载目录可写入：

   kubectl exec -it <POD_NAME> -n <YOUR-NAMESPACE> -- ls /office-skill-readonly
   kubectl exec -it <POD_NAME> -n <YOUR-NAMESPACE> -- sh -c "echo 'hello agent identity' > /user-owner-dir-rw/test.txt && cat /user-owner-dir-rw/test.txt"

   若 ls 可正常列出 AgenticFS AccessPoint 子目录下的文件，且读写挂载目录写入成功，即表示 Agent Identity 认证的 AgenticFS 存储卷挂载生效。只读挂载目录写入失败属预期行为；读写挂载目录写入失败则说明权限配置有问题，排查方法请参见常见问题中的第三层。

   也可在容器内确认挂载点走的是 TLS（端口 12049）：

   kubectl exec -it <POD_NAME> -n <YOUR-NAMESPACE> -- sh -c "mount | grep agenticfs"
   # 预期见到 type nfs (rw,...,port=12049,...) 说明走 aliagenticfs TLS 隧道

常见问题

Agent Identity 挂载 AgenticFS 的完整链路可以拆解为三层：Sandbox 通过网络访问 CredentialProvider → CredentialProvider 签发 STS Token → 使用 Token 通过 TLS 隧道挂载 AgenticFS AccessPoint。三层问题的定位方式和排查手段各不相同，可按以下顺序逐层排查。

# 查看 token 签发状态
kubectl get pod <POD_NAME> -n <YOUR-NAMESPACE> -o jsonpath='{.metadata.annotations.security\.agents\.kruise\.io/token-status}'

# 查看 csi-sidecar 日志，定位挂载报错与 mount options
kubectl -n <YOUR-NAMESPACE> logs <POD_NAME> -c csi-sidecar

# 查看 csi-agent-sidecar 日志与 aliagenticfs 挂载详情
kubectl -n <YOUR-NAMESPACE> logs <POD_NAME> -c csi-agent-sidecar
kubectl -n <YOUR-NAMESPACE> exec <POD_NAME> -c csi-agent-sidecar -- tail -50 /var/log/aliyun/aliagenticfs/mount.log

# 在 Sandbox 内验证连通性
telnet credential-provider.ack-agent-identity.svc 8443
telnet <NAS-ACCESSPOINT-IP> 12049

kubectl -n <YOUR-NAMESPACE> logs <POD_NAME> -c csi-sidecar | grep -oE 'options=\[[^]]+\]' | tail -1