智能体身份和权限管理平台
智能体身份和权限管理平台
文档指南
请输入
- 文档首页
智能体身份和权限管理平台用户指南权限管控创建权限策略
复制全文
下载 pdf创建权限策略
文档反馈
问问助手权限策略基于 Cedar 声明式授权语言，为你提供一套覆盖 User -> Agent -> Tool全链路的权限管理方案。它旨在解决权限追溯困难、权限逻辑与业务代码耦合、策略配置门槛高等核心痛点。
通过本指南，你将学习如何创建和管理权限策略，利用可视化编辑器或 Cedar 代码定义精细化的访问规则，并通过模拟校验功能确保策略的准确性。
核心价值
- 全链路权限追溯：支持记录并校验从用户到智能体，再到工具的多级权限传递，确保每一个操作的权限来源清晰可溯。
- 业务逻辑解耦：通过与权限网关的深度集成，实现权限校验与业务逻辑的分离，支持链式鉴权，且不侵入你的业务代码。
- 低门槛策略配置：提供可视化的策略编辑器和专业的 Cedar 代码编辑器，无论是业务人员还是开发人员，都能轻松上手。
基础概念
前提条件
步骤一：进入并创建策略空间
策略空间是管理和组织权限策略的第一步。
- 登录火山引擎智能体身份和权限管理平台。
- 在左侧导航栏，选择权限管控 > 权限策略。
- 在弹出的表单中，填写空间名称、描述，并选择所属项目和标签。
- 单击确定。
步骤二：创建权限策略
创建策略空间后，你可以开始在其中定义具体的权限规则。
- 在策略空间列表中，单击目标策略空间的名称或 ID，进入其详情页。
- 在详情页中，单击新建策略。
-
- 编辑策略名称和描述。
- 配置具体策略内容。
- 系统提供两种策略创建方式：可视化编辑 和 Cedar 语句编辑。
-
- 参数配置：
- 效果：选择 允许 或 拒绝，这决定了该策略是授权（permit）还是禁止（forbid）。
- 用户：从下拉列表中级联选择 用户池 和具体 用户。这是策略授权或拒绝的对象。
- 中间层 Agent：单击 + 添加 Agent，可以模拟“用户 → 智能体 → 工具”的调用链。最多可添加 5 级 Agent。
- 资源：从下拉列表中选择资源类型（如 Agent、知识库、知识库文档等），并指定具体的资源 ID。
- 实时预览：在配置过程中，右侧的预览窗口会实时展示生成的 Cedar 策略代码。
如果你熟悉 Cedar 语言，可以直接编写策略代码，以实现更灵活、更复杂的权限控制。在代码编辑器中，手动编写你的 Cedar 策略。编辑器提供代码高亮、语法提示和实时错误检查功能，可帮助你高效编写。示例：permit(principal == user::"alice", action == Action::"invoke", resource == agent::"trip_agent");
- 单击 确定，系统校验并保存策略。
步骤三：管理与查看策略
创建完成后，你可以在策略空间详情页的列表中查看和管理所有策略。
- 筛选与排序：使用顶部的搜索框按“策略 ID/TRN/描述”进行模糊搜索，或单击表头对列表进行排序。
- 查看策略内容：单击策略行左侧的 + 图标，即可展开查看该策略完整的 Cedar 代码。
- 删除策略：单击操作列的删除按钮，并在二次确认后移除策略。
步骤四：模拟权限校验
为了确保策略按预期工作，你可以使用模拟权限校验功能，在真实调用发生前测试权限规则。
- 在权限策略列表右上角，单击模拟权限校验。
- 在弹出的检查权限窗口中，配置一个完整的调用链：
- 用户：选择需要校验的用户。
- 中间层 Agent：按需添加 1 至 5 级 Agent。
- 资源：选择需要访问的目标资源。
-
- 通过：如果请求被允许，系统会显示“权限通过”，并列出匹配到的 permit 策略名称。
- 拒绝：如果请求被拒绝，系统会显示“权限未通过”，并列出匹配到的 forbid 策略或提示“未命中任何策略”。
常见问题
为什么我的策略不生效？
请检查策略中的 资源类型 是否与实际业务场景中的资源类型完全一致。例如，如果策略中定义的是知识库（KnowledgeBase），而实际访问的是知识库文档（Document），则策略不会匹配成功。
Cedar 语句保存失败怎么办？
请确保你的 Cedar 代码严格遵循 permit/forbid(principal == ..., action == ..., resource == ...); 的语法格式。任何语法错误都会导致保存失败，你可以根据编辑器的实时错误提示进行修正。
最近更新时间：2026.03.25 11:22:27
这个页面对您有帮助吗？
有用
有用
无用
无用