应用身份服务：Token Exchange操作指导

步骤一：获取初始访问令牌

在发起令牌交换之前，您需要先获取一个有效的主体令牌（subject_token）。可通过 OAuth 2.0 授权码模式获取。

步骤二：发起令牌交换请求

向 IDaaS 授权服务器的令牌端点发起 POST 请求，交换新的访问令牌。

请求端点

POST https://{domain}/api/v2/iauths_system/oauth2/token

其中 {domain} 为您的 IDaaS 实例访问域名。

请求参数

请求示例

curl --location --request POST 'https://{domain}/api/v2/iauths_system/oauth2/token' \
--data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
--data-urlencode 'subject_token={subject_token}' \
--data-urlencode 'subject_token_type=urn:ietf:params:oauth:token-type:access_token' \
--data-urlencode 'requested_token_type=urn:ietf:params:oauth:token-type:access_token' \
--data-urlencode 'scope={audience}|{scope}' \
--data-urlencode 'audience={audience}' \
--data-urlencode 'client_id={client_id}' \
--data-urlencode 'client_secret={client_secret}'

成功响应

{
  "access_token": "eyJraWQiOiJBVVRIU0tFWVNYNDZ4bmRLN0RMdmM3NUx5Y0NuYkVFczFWTExQb2tzIiwiYWxnIjoiUlMyNTxxxx...",
  "issued_token_type": "urn:ietf:params:oauth:token-type:access_token",
  "token_type": "Bearer",
  "expires_in": 3600,
  "expires_at": 1772605468,
  "scope": "user:read"
}

响应参数说明

错误码

步骤三：使用新令牌访问资源

使用交换后的新令牌访问目标资源服务。

curl --location --request GET 'https://{resource_server}/api/protected-resource' \
--header 'Authorization: Bearer {access_token}'

其中：

• {resource_server}：目标资源服务的访问域名

• {access_token}：步骤二中获取的新访问令牌

Agent 身份安全场景

在企业 Agent 服务集成场景中，Token Exchange 可实现安全的身份传递和委托授权。

场景描述

某企业部署了差旅规划助手 Agent 和人力资源 MCP 服务。当员工通过差旅系统访问 Agent 规划行程时，差旅规划助手需要访问人力资源 MCP 服务以获取员工的职级信息和差旅预算等数据。

服务节点对应关系

优势

• 安全地将授权传递到人力资源 MCP 服务

• 保留业务操作的主体身份信息（员工），无需二次认证授权

• 完整的授权传递链路，便于溯源和审计

控制台审计日志

在 IDaaS 控制台日志模块的调用日志中，无论令牌交换请求是否成功，都会记录一条事件类型为"Token 交换"的日志。日志中会记录：

• 令牌交换的客户端

• 账户（主体）

• 主体令牌等核心要素信息

令牌内省能力

IDaaS 令牌交换所颁发的令牌为 JWT 格式，本身具备内省能力。IDaaS 授权服务器在实现令牌交换能力时会自定义一个声明 _idaas_imp 来记录令牌交换的链路。

令牌 Payload 示例

{
  "sub": "user_xxxxxxxxxxxxxxxxxxxx",
  "scope": "user:read",
  "jti": "AT_03",
  "iss": "https://{domain}/api/v2/iauths_system/oauth2",
  "iat": 1772604268,
  "nbf": 1772604268,
  "exp": 1772605468,
  "aud": "mcp-server",
  "client_id": "app_03",
  "_idaas_iid": "idaas_xxxxxxxxxxxxxxxxxxxx",
  "_idaas_tag": "user-auth",
  "_idaas_imp": {
    "jti": "AT_02",
    "client_id": "app_02",
    "_idaas_imp": {
      "jti": "AT_01",
      "client_id": "app_01"
    }
  }
}

字段说明