文档中心

智能体身份和权限管理平台

身份管理

添加外部身份提供商

你可以通过配置外部身份提供商，来管理智能体身份和权限管理平台之外的用户身份。外部身份提供商可以通过 OAuth、OIDC 或 SAML 向 Agent Identity 提供身份信息，将你的 Agent Identity 账户和外部身份提供商建立信任。

添加配置之后，将允许用户使用其已有的企业账户（如企业微信、Azure AD）或社交账户（如 Google）登录您的应用，您也无需在用户池中为这些用户创建和管理密码。

前提条件

你已创建用户池，相关操作可参考创建用户池。

操作步骤

登录火山引擎智能体身份和权限管理平台。

在左侧导航栏，选择身份管理 > 用户池。

单击目标用户池名称，进入指定的用户池详情页面。

切换到外部身份提供商标签页，单击新建提供商。

自定义提供商名称，该名称会在用户登录页内展示，供用户登录时选择。

按照提供商类型配置对应参数。

OAuth 2.0
OIDC
SAML 2.0
飞书（OAuth 2.0）
OAuth2.0 核心配置
在身份提供商处创建应用，获取客户端 ID 和客户端密钥，并将其配置到表单里，以完成身份联邦集成。
客户端 ID：必填。在 IDP 注册应用时获取的客户端唯一标识符（如 1234567890-abcd1234.apps.googleusercontent.com），用于标识当前用户池与 IDP 的信任关系。
客户端密钥：必填。在 IDP 注册应用时获取的客户端密钥，与 ClientID 配合使用，用于验证用户池（作为 OIDC 客户端）的合法性（如在授权码流程中换取令牌时验证身份）。需妥善保管，避免泄露。
授权范围：必填。你希望从 IdP 获取的用户信息范围。至少需要包含 openid。通常还可以包括 profile 和 email。
授权端点：必填。用于启动用户登录和授权流程的 URL。
令牌端点：必填。用于通过授权码交换令牌的 URL。
用户信息端点：必填。获取到 Access Token 后，调用此 URL 以获取用户的基本信息（如用户名、邮箱）。
安全配置
启用 PKCE 增强安全性：推荐开启。为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。
用户身份联动配置
确保授权流程的合法性和用户对资源的合理控制。
用户唯一标识属性：必填。外部身份提供者返回的用户唯一标识字段名（如 email 或 sub，用于关联本地用户）。
允许新用户注册：开启后，外部身份提供商的用户首次登录时，若用户池不存在该用户，是否允许通过手动/自动的方式创建新用户。
自动创建账号：开启后，无需人工确认，当用户首次通过此 IdP 登录时，自动在用户池内创建用户并填充外部身份提供商用户信息（如姓名、邮箱），并将外部身份与该用户关联。
自动更新用户信息：开启后，用户每次登录时，本地账户会自动同步外部身份提供者的最新属性（如头像、部门）。
OIDC 核心配置
在身份提供商处创建应用，获取客户端 ID 和客户端密钥，并将其配置到表单里，以完成身份联邦集成。
Issuer URL：必填。外部身份提供商（IDP）的唯一标识 URL，需与外部身份提供商的配置一致，用于验证身份令牌的来源合法性。
客户端 ID：必填。在 IDP 注册应用时获取的客户端唯一标识符（如 1234567890-abcd1234.apps.googleusercontent.com），用于标识当前用户池与 IDP 的信任关系。
客户端密钥：必填。在 IDP 注册应用时获取的客户端密钥，与 ClientID 配合使用，用于验证用户池（作为 OIDC 客户端）的合法性（如在授权码流程中换取令牌时验证身份）。需妥善保管，避免泄露。
授权范围：必填。你希望从 IdP 获取的用户信息范围。至少需要包含 openid。通常还可以包括 profile 和 email。
安全配置
启用 PKCE 增强安全性：推荐开启。为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。
用户身份联动配置
确保授权流程的合法性和用户对资源的合理控制。
从 ID 令牌映射用户属性：由于 OIDC 依赖 ID 令牌传递用户信息。开启后，从 ID 令牌的 sub/name 等声明映射；关闭则从 UserInfo 端点获取用户信息。
允许新用户注册：开启后，外部身份提供商的用户首次登录时，若用户池不存在该用户，是否允许通过手动/自动的方式创建新用户。
自动创建账号：开启后，无需人工确认，当用户首次通过此 IdP 登录时，自动在用户池内创建用户并填充外部身份提供商用户信息（如姓名、邮箱），并将外部身份与该用户关联。
自动更新用户信息：开启后，用户每次登录时，本地账户会自动同步外部身份提供者的最新属性（如头像、部门）。
SAML 核心配置
在 SAML 2.0 身份提供商处注册您的应用，获取元数据文件，并将其上传至用户池，以实现与 SAML 身份提供商的信任连接。
SAML 元数据：从 SAML IdP 导出的元数据 XML（包含实体ID、端点、证书等）。支持直接填入 XML 内容或上传文件解析。
启用签名认证：开启后，Agent Identity 将使用 IdP 提供的签名证书对 SAML 请求进行签名。防止 SAML 请求被篡改。
启用加密：开启后，Agent Identity 将使用 IdP 提供的加密证书对 SAML 响应进行加密。防止 SAML 响应被篡改。
用户身份联动配置
确保授权流程的合法性和用户对资源的合理控制。
用户属性映射：将 IdP 返回的属性映射到 Agent Identity 用户池的属性，如将 IdP 的 emails 映射到 UserPool 的 email。
用户唯一标识属性：指定用于识别用户的唯一属性（如邮箱、NameID），需与 IdP 元数据中的属性一致。
允许新用户注册：开启后，外部身份提供商的用户首次登录时，若用户池不存在该用户，是否允许通过手动/自动的方式创建新用户。
自动创建账号：开启后，无需人工确认，当用户首次通过此 IdP 登录时，自动在用户池内创建用户并填充外部身份提供商用户信息（如姓名、邮箱），并将外部身份与该用户关联。
自动更新用户信息：开启后，用户每次登录时，本地账户会自动同步外部身份提供者的最新属性（如头像、部门）。
自动链接配置：已存在用户时，通过指定属性（NameID 或 Email）自动关联 SAML 身份（避免重复创建）。
Agent Identity 当前预置了飞书服务（OAuth2.0）作为外部 IdP，你可以直接使用。
飞书核心配置
在飞书开发者后台创建应用，获取客户端 ID 和客户端密钥，并将其配置到表单，以完成身份联邦集成。
Client ID：必填。飞书应用的唯一标识（App ID），在飞书开发者后台凭证与基础信息>应用凭证中获取（如cli_9d13f****）。
Client Secret：必填。飞书应用的密钥平台为 OIDC 提供商分配的客户端身份密钥（App Secret)，用于向提供商证明身份。在飞书开发者后台凭证与基础信息>应用凭证中获取（如UQj2QK****）。
授权作用域：默认作用域为contact:user.base:readonly和contact:contact.base:readonly。
安全配置
启用 PKCE 增强安全性：推荐开启。为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。
用户身份联动配置
确保授权流程的合法性和用户对资源的合理控制。
用户唯一标识属性：必填。外部身份提供者返回的用户唯一标识字段名（如 email 或 sub，用于关联本地用户）。
允许新用户注册：开启后，外部身份提供商的用户首次登录时，若用户池不存在该用户，是否允许通过手动/自动的方式创建新用户。
自动创建账号：开启后，无需人工确认，当用户首次通过此 IdP 登录时，自动在用户池内创建用户并填充外部身份提供商用户信息（如姓名、邮箱），并将外部身份与该用户关联。
自动更新用户信息：开启后，用户每次登录时，本地账户会自动同步外部身份提供者的最新属性（如头像、部门）。

其他操作

启用/禁用：在身份提供商详情页面，你可以随时启用或禁用某个 IdP。禁用后，用户将无法通过该提供商进行登录。

编辑限制：创建后，部分核心配置（如提供商类型）可能无法修改。如果需要重大变更，建议删除后重新创建。

最近更新时间：2026.03.25 11:22:27

这个页面对您有帮助吗？

有用

无用