应用身份服务：Agent 身份注册认证配置指南

核心价值

• 统一身份管理：为每个 Agent 分配全局唯一的 Agent ID，实现身份可识别、可追溯、可审计。

• 零静态密钥：通过联邦信任源，Agent 代码中无需嵌入任何长期有效的静态凭据。

• 跨平台适配：支持阿里云、AWS、Azure、GCP 等云厂商及本地 IDC 等多种运行环境。

• 动态凭据管理：运行时仅获取短期、受限的临时凭证，凭据分发全程受控。

前置条件

• 已开通阿里云 IDaaS EIAM 企业版或试用版实例。

• 拥有 EIAM 实例的管理员权限。

注册 Agent 身份

1. 进入 IDaaS EIAM 控制台。

2. 单击 Agent身份安全 > 注册Agent身份。

3. 在弹出的配置面板中，完成以下 Agent 基本信息配置：

   • 修改Agent名称。

   • 编辑负责人。

   • 展开认证类型区域，添加对应的认证方式（详见下方「配置认证方式」章节）。

4. 单击确定保存。注册成功后，可在 Agent 身份安全列表中看到新建的 Agent 记录。

Client Secret 凭证配置

1. 进入 IDaaS EIAM 控制台。

2. 单击 Agent身份安全，进入 Agent 身份安全列表页。

3. 选择目标 Agent 并打开，在 Agent 详情页，单击页面下方流程图中的 Agent 模块。

4. 在弹出的对话框中的通用配置页签，找到认证管理区域，选择 Client Secret凭证页签，单击添加 client_secret。

开发接入流程

以下以本地采用 Java 语言通过 Client Secret 凭证认证为例说明。

完成认证方式配置后，在 Agent 通用配置页面选择 Client Secret凭证，单击生成SDK配置，获取以下 JSON 配置：

{
  "idaasInstanceId": "idaas_test",
  "clientId": "app_test",
  "issuer": "https://test.aliyunidaas.com/api/v2/iauths_system/oauth2",
  "tokenEndpoint": "https://test.aliyunidaas.com/api/v2/iauths_system/oauth2/token",
  "scope": "urn:cloud:idaas:pam|.all",
  "developerApiEndpoint": "eiam-developerapi.${region_id}.aliyuncs.com",
  "authnConfiguration": {
    "identityType": "CLIENT",
    "authnMethod": "CLIENT_SECRET_POST",
    "clientSecretEnvVarName": "IDAAS_CLIENT_SECRET"
  }
}

将配置文件保存至本地默认路径：

~/.cloud_idaas/client-config.json

复制 client_secret 并配置环境变量：

export IDAAS_CLIENT_SECRET=CSBppDAeLzvAY1HQhpRnjxxx

准备 Java 认证的 Core SDK，采用 Agent 身份认证的代码示例如下：

import com.cloud_idaas.core.factory.IDaaSCredentialProviderFactory;
import com.cloud_idaas.core.provider.IDaaSCredentialProvider;

public class sample {

  public static void main(String[] args) {
    // 通过配置文件初始化 IDaaS 的配置
    IDaaSCredentialProviderFactory.init();

    // 无参构造方法获取 IDaaS credentialProvider，获取访问配置文件中指定的 scope 的 Access Token
    IDaaSCredentialProvider credentialProvider = IDaaSCredentialProviderFactory.getIDaaSCredentialProvider();
    String accessToken = credentialProvider.getBearerToken();

    // 有参构造方法获取 IDaaS credentialProvider，获取访问自行指定的 scope 的 Access Token
    // String scope =  "api.example.com|read:file";
    // IDaaSCredentialProvider anotherCredentialProvider = IDaaSCredentialProviderFactory.getIDaaSCredentialProvider(scope);
    // String accessToken = anotherCredentialProvider.getBearerToken();

    System.out.println("Access Token: " + accessToken);
  }
}

获取 Agent 认证 Token 后，即可以 Agent 身份调用服务。

其他相关 SDK 语言支持，参见SDK 文档。

完整的 Agent 接入 Demo 样例可参考 idaas-java-agent-id-demo。

认证方式选型建议

以上介绍了 Client Secret凭证 的配置方法。此外，Agent 还支持以下认证方式，可根据实际场景按需选择：

其它认证方式配置