应用身份服务：基于 IDaaS 的 Agent 身份安全最佳实践

安装开发环境

• 安装 JDK 17 或以上版本

• 安装 Maven

打包项目

在终端执行以下命令：

cd idaas-java-agent-id-demo
mvn clean package

设置环境变量

以 Linux 操作系统为例：

export IDAAS_CLIENT_SECRET={client_secret}
export ENV_PRIVATE_KEY={private_key}
export JWKS_ENDPOINT=https://xxx.aliyunidaas.com/api/v2/iauths_system/oauth2/jwks
export AGENT_AUDIENCE=https://agentserver.example.com
export AGENT_SCOPE=agent.access
export ACCESS_IDENTITY=Machine
export LLM_API_KEY_IDENTIFIER=llm_api_key
export EXTERNAL_SERVER_API_KEY_IDENTIFIER=mcp_server_api_key
export ENTERPRISE_SERVICE_SCOPE="https://mcpserver.com|mcp.access"
export EXTERNAL_SERVER_URL=https://dashscope.aliyuncs.com/api/v1/mcps/amap-maps/mcp
export ENTERPRISE_SERVICE_URL=https://xxx.{region_id}.fcapp.run

运行 JAR

在终端执行以下命令：

java -Dcloud_idaas_config_path=cloud_idaas_config_for_computer.json -jar target/idaas-java-agent-id-demo-1.0.jar

打包并压缩 Agent 示例代码

在终端执行以下命令：

cd idaas-java-agent-id-demo
mvn clean package
cd ../
zip -r idaas-java-agent-id-demo.zip idaas-java-agent-id-demo/

创建执行角色

1. 登录访问控制 RAM 控制台

2. 单击导航栏中的身份管理 > 角色。

3. 单击创建角色，信任主体类型选择 云服务，信任主体名称选择函数计算/FC 。

4. 角色名称设置为 sample-fc-role。

创建 Agent

1. 登录函数计算 FC 控制台。

2. 在左侧导航栏中选择 函数智能 > 智能体 AgentRun。

3. 在角色授权检查中单击 一键授权（首次创建时需要）。

4. 单击创建 Agent，选择通过代码创建。

5. 代码来源选择 上传代码包，运行时选择 Java 17。

6. 上传压缩好的 idaas-java-agent-id-demo.zip 文件。

7. 启动命令填入：

   java -Dcloud_idaas_config_path=classpath:cloud_idaas_config_for_agent_run.json -jar idaas-java-agent-id-demo/target/idaas-java-agent-id-demo-1.0.jar

8. 启动端口填入 9002。

9. 配置环境变量。

   环境变量名	说明	获取方式
   IDAAS_CLIENT_SECRET	Agent 的 Client Secret 凭证（使用 Client Secret 认证时必填）	Agent 身份安全配置指导中创建的 Agent 节点的通用配置中查看。
   ENV_PRIVATE_KEY	Agent 的私钥（使用公私钥认证时必填）	Agent 身份安全配置指导中，为 Agent 节点创建公私钥凭证时所上传公钥对应的私钥。
   JWKS_ENDPOINT	IDaaS 验签公钥端点	格式为：https://xxx.aliyunidaas.com/api/v2/iauths_system/oauth2/jwks。 其中 xxx 取自步骤二：配置 IDaaS SDK的SDK 配置文件中 issuer 字段的对应值。
   AGENT_AUDIENCE	Agent 的受众标识	Agent 身份安全配置指导中创建的 Agent 节点的通用配置中查看。
   AGENT_SCOPE	Agent 的权限标识	Agent 身份安全配置指导中创建的 Agent 节点的权限配置中查看。
   ACCESS_IDENTITY	Agent 身份模式：Machine（机器身份）或 Human（用户身份）	本实例中使用 Machine（机器身份），适用于 Agent 以自身身份独立操作的场景，下游服务感知到的是 Agent 的机器身份
   LLM_API_KEY_IDENTIFIER	大模型 API Key 标识	Agent 身份安全配置指导中创建的大模型节点中查看。
   EXTERNAL_SERVER_API_KEY_IDENTIFIER	第三方服务 API Key 标识	Agent 身份安全配置指导中创建的三方服务节点中查看。
   ENTERPRISE_SERVICE_SCOPE	企业服务访问范围（受众标识 | 权限标识）	格式为：受众标识 | 权限标识。 Agent 身份安全配置指导中创建的企业服务节点中的通用配置下查看受众标识，权限配置下查看权限标识。
   EXTERNAL_SERVER_URL	三方服务的 Endpoint	高德 MCP Server HTTP Endpoint，从百炼平台的高德地图 MCP 中查看。
   ENTERPRISE_SERVICE_URL	企业服务 Endpoint	3.2 配置 JWT 认证中在函数详情页签中单击函数拓扑图中的触发器，可查看公网访问地址。

10. 执行角色选择之前创建的 sample-fc-role。

11. 单击 开始部署。

12. 部署完成后，在 Agent 卡片右下角单击详情，在左侧导航栏中选择版本与灰度，单击创建 Endpoint。