文档中心

智能体身份和权限管理平台

凭据管理

创建凭据

当你的 Agent 需要作为客户端去调用外部或下游的 API 时，它同样需要身份凭据。身份凭据托管模块就是为此设计的，它允许你将这些出站（Outbound）的凭据安全地存储在智能体身份和权限管理平台中，智能体在运行时可以按需获取并使用它们，从而避免了在代码或配置中硬编码敏感信息的风险。

目前支持托管两种类型的凭据：API Key 和 OAuth Client。

与密钥管理服务的关系

为保障安全，您在此托管的敏感凭据（如 API Key 和 Client Secret）并不会以明文形式存储在智能体身份和权限管理平台中。系统会将这些凭据安全地存放在火山引擎的密钥管理服务（KMS）内，而智能体身份和权限管理平台仅保留其引用。为遵循最佳安全实践，建议您定期在 KMS 中轮换凭据。

创建 API Key 托管

适用于使用固定密钥进行认证的外部服务。

登录火山引擎智能体身份和权限管理平台。

在左侧导航栏，选择凭据管理。

单击新建凭据并选择新建 API Key。

配置相关参数。

配置项	说明
API Key 名称	自定义 API Key 的名称，用于标识不同的 API Key。
API Key 值	填入你从第三方服务获取的实际密钥值。
参数位置	指定在发起 API 请求时，此 Key 应放置的位置。推荐使用 Header，因为它比放在 Query 中更安全。 Header：密钥将作为 HTTP 请求头的一部分发送。 Query：密钥将作为 URL 的查询参数发送（https://api.example.com?key=...），易因 URL 泄露而暴露。
参数名称	指定承载 API Key 的参数名，必须与外部服务的要求完全一致。例如，如果选择 Header，参数名可能是 X-Api-Key 或 Authorization。

单击确定。

API Key 会被加密存储在密钥管理服务（Secret Manager）中。

创建 OAuth Client 凭据托管

适用于需要通过 OAuth 2.0 流程进行认证的下游服务。

登录火山引擎智能体身份和权限管理平台。

在左侧导航栏，选凭据管理。

单击新建凭据并选择新建 OAuth Client。

配置相关参数。

配置项	说明
提供商名称	自定义名称，如 downstream-service-oauth。
提供商类型	当前支持预置提供商类型和自定义类型，预置类型包括：飞书、Coze 和 GitHub。
Client ID / Client Secret	填入你为智能体在下游 OAuth 服务注册时获得的客户端凭据。
配置类型	提供商类型为自定义时需要配置。自动发现：需要配置 OIDC 配置根 URL（如 https://idp.example.com/.well-known/openid-configuration），系统自动拉取端点信息。手动配置：需要手动填写授权服务器元数据，包括发行者根 URL、授权端点、令牌端点和响应类型。
权限范围	客户端请求的权限范围：标准 Scope：openid（OIDC 必需，默认添加）、email、profile；自定义 Scope：read:data、write:config（需 IdP 支持）。
自定义参数	向授权请求 / 令牌请求添加标准外的自定义参数（如 aud=https://api.example.com、tenant=123），满足 IdP 特殊要求。
OAuth2 流程	这是关键配置，决定了授权如何发生：用户委托（USER_FEDERATION）：需要真实用户介入授权。首次调用时，用户会被重定向到下游服务的授权页面进行登录和同意。授权成功后，Agent Identity 会安全地托管获取到的 Refresh Token，用于后续代表用户静默刷新 Access Token，实现“一次授权，长期访问”。机器对机器 (M2M)：无需用户介入。智能体直接使用 Client ID/Secret 向下游服务获取 Access Token，适用于服务间的后台调用。
强制重新授权	如果勾选，每次发起授权请求时，即使用户已有有效会话，也会被强制要求重新登录和授权。
最长过期时间	可以设置获取的令牌的最长有效期，以强制重新授权，增强安全性。需小于 IdP 限制，过期后需重新获取令牌。
Workload Pool	账户内唯一的 Workload Pool 名称，用于隔离不同环境的 OAuth 客户端（如 prod-pool），不填则默认 default。

查看、编辑与删除

你可以随时在列表中查看已创建的凭据的摘要信息，单击身份凭据名称可以查看详细信息。

单击编辑可以更新凭据的部分信息（如 API Key 的值、OAuth 客户端的 Secret 等）。更新后，系统会自动在后端的密钥管理服务中创建新版本的密钥。

单击删除将永久移除该托管凭据。正在使用此凭据的智能体将无法访问对应的外部服务。

最近更新时间：2026.03.25 11:22:27

这个页面对您有帮助吗？

有用

无用