文档中心

智能体身份和权限管理平台

产品简介

名词解释

名词解释

本文介绍智能体身份和权限管理平台相关名词及对应作用。

通用名词

名词（全称）	定义	作用
TRN（资源名称）	全局唯一的资源标识符，用于在系统中唯一标识各类资源（如服务、数据、配置等）。	支持跨服务的资源管理与定位，是实现授权策略配置、日志审计追踪、资源访问控制的基础。
MFA（Multi-Factor Authentication，多因素认证）	一种安全认证机制，除用户已知的密码外，还需通过额外验证因素（如短信验证码、硬件Token、生物特征等）确认身份，增强账号安全性。	有效降低因单一密码泄露导致的账号被盗风险，广泛应用于高安全需求场景（如金融交易、企业内网登录等，通常强制启用）。
JWT（JSON Web Token）	一种紧凑且 URL 安全的轻量级令牌，以 JSON 格式在网络应用间安全传递声明信息（如用户身份、权限范围、令牌有效期等）。	支持无状态认证与授权，减少服务端存储压力，常用于分布式系统中的身份验证（如OIDC ID Token）和资源访问授权（如OAuth 2.0 Access Token）。

用户身份管理

名词（全称）	定义	作用	示例
用户池（User Pool）	用户身份管理的逻辑隔离单元，包含用户账号信息、认证策略配置（如密码规则、MFA）、客户端注册数据及外部身份提供商（IdP）关联关系。	支持多租户用户数据隔离（如不同业务线用户分池管理），统一认证流程与安全策略，简化用户生命周期管理。	电商用户池（ecommerce-userpool，存储 C 端消费者账号）企业管理池（admin-userpool，存储内部管理员账号）。
用户（User）	拥有唯一身份标识符（如用户 ID）的自然人或系统账号，作为认证与授权的主体，包含基础属性（邮箱、手机号、昵称等）及安全凭证（密码哈希、MFA密钥）。	通过输入凭证（如密码+验证码）参与认证流程，生成身份凭证（如JWT令牌），作为访问资源的权限主体。	用户 alice 用户 ID：usr_12345 邮箱：alice@example.com 手机号：+86138****1234）
客户端（Client）	接入用户池的应用程序注册实体，包含应用类型（如 Web 应用、移动端 App）、授权配置（回调 URL、授权类型）等信息，用于发起用户授权请求并获取令牌。	区分不同应用的访问范围和令牌类型（ID Token/Access Token），控制令牌发放规则（如 Web 应用允许刷新令牌，移动端仅支持短期访问令牌）。	客户端 web-client-01 类型：Web 应用回调URL：https://app.example.com/callback
外部身份提供商（IdP，Identity Provider）	提供用户身份验证能力的第三方服务（如企业微信、Google、Azure AD），通过OIDC/OAuth 2.0 协议与用户池建立联合登录关系。	实现跨平台身份联合，用户无需单独注册账号即可通过已有 IdP 账号登录（如企业员工通过企业微信扫码登录系统），简化登录流程并提升用户体验。	配置企业微信作为IdP 协议：OIDC 用户属性映射：企业微信userid→用户池username，员工通过企业微信扫码完成用户池认证。
OIDC（OpenID Connect）	构建在 OAuth 2.0 之上的身份认证协议，定义了身份令牌（ID Token）格式及用户信息接口（UserInfo Endpoint），支持安全传递用户身份声明（如唯一标识sub、邮箱email、头像picture）。	标准化第三方登录流程，避免重复开发认证逻辑，确保身份信息在跨应用间的安全传递与验证（如分布式系统统一身份认证）。	应用通过OIDC授权码流获取ID Token，解析得到用户sub（唯一标识：usr_12345）、email（alice@example.com），实现用户身份识别。
OAuth 2.0（开放授权2.0）	基于令牌机制的授权框架，允许第三方应用在用户授权下获取对特定资源的有限访问权限（无需共享用户密码），支持多种授权流程（授权码流、客户端凭证流、密码流等）。	控制资源访问范围（如只读/读写权限），保护用户资源安全（如仅允许应用访问“文件读取”权限而非全部账号权限），适用于API授权、第三方应用集成场景。	通过 OAuth 2.0 客户端凭证流获取 Google Drive 授权，实现用户云端数据的只读访问。

智能体身份管理

名词	定义	作用	示例
工作负载池（Workload Pool）	管理 Workload 身份的逻辑分组单元，用于按环境（如生产/测试）、业务线或团队隔离 Agent/自动化工具的身份集合，支持统一配置与权限管控。	实现 Workload 身份的隔离与边界划分，避免跨环境/团队的权限混淆（如生产环境 Agent 与测试环境 Agent 分池管理，降低误操作风险），简化批量身份的权限策略配置。	default池（默认分组，存放未明确归类的临时 Workload 身份） ai-agent-pool（AI 团队专用，存放模型训练 Agent、数据处理工具等身份）。
Workload 身份	Agent/自动化工具的唯一数字身份标识，采用标准化资源名称格式：trn:id:{RegionCode}:{AccountId}:workload/{PoolName}/{Name}，用于唯一识别非用户主体（如工具、服务）。	作为非用户主体（如 AI Agent、CI/CD 工具、监控脚本）的身份凭证，参与资源访问的权限校验与审计追踪，支持无人值守场景下的自动化操作授权。	trn:id:cn-beijing:123456:workload/default/test-agent（测试环境自动化测试工具的身份）
属性标签（Attribute Tag）	关联至 Workload 身份的键值对元数据（如 department:ai-lab、env:production），用于标识身份的属性特征（环境、所属部门、功能类型等）。	作为权限策略的动态判断条件，实现基于属性的精细化权限控制（ABAC），例如通过标签匹配限制“仅允许 env:production 且 department:ai-lab 的 Agent 访问 GPU 资源”，提升权限管理的灵活性与安全性。	为 Workload 身份 trn:id:cn-beijing:123456:workload/ai-agent-pool/train-agent 添加标签 env:production 和 task:model-training，在权限策略中配置“仅允许 env:production 且 task:model-training 的 Agent 调用训练集群 API”。

三方凭据托管

名词	定义	作用	示例
OAuth Client 凭据	第三方服务（如 Google、GitHub）的 OAuth 2.0 客户端认证凭证，包含客户端 ID（Client ID）和客户端密钥（Client Secret），用于标识应用身份并发起授权请求，通常需加密存储。	安全托管 OAuth 客户端敏感凭证，避免硬编码或明文暴露（如 Agent 调用 Google API 时，通过凭据托管模块自动注入 Client ID/Secret，无需人工配置），降低凭证泄露风险。	存储 Google OAuth 客户端凭证：client-id=12345.apps.googleusercontent.com，client-secret=GOCSPX-xxxx（通过密钥管理服务 KMS 加密存储，仅授权进程可解密访问）。
API Key 凭据	第三方服务（如阿里云、天气 API）的访问密钥，以唯一字符串形式标识调用方身份，需通过加密方式存储（非明文），用于服务端与客户端间的简单鉴权。	简化 Agent 调用外部服务的鉴权流程（如 Agent 无需手动配置密钥，直接从凭据托管模块获取加密存储的 API Key 并自动填充至请求头），避免人工维护密钥导致的泄露风险。	存储阿里云 OSS API Key 凭据：key=AKIAEXAMPLE123456（通过 AES-256 加密存储于凭据托管模块，调用 OSS API 时自动解密并注入 Authorization: AccessKey AKIAEXAMPLE123456 请求头）。
凭据轮换（Credential Rotation）	定期或触发式更新存储的凭据值（如 API Key、OAuth Client Secret）的机制，支持自动（按周期）或手动（如检测到泄露时）触发，旧凭据在过渡期后失效。	降低长期使用固定凭据导致的泄露风险，满足安全合规要求（如 PCI DSS 要求密钥 90 天内轮换、SOC 2 审计要求定期凭证更新），避免凭据泄露后被长期滥用。	OAuth Client Secret 配置自动轮换策略：每 30 天生成新 Secret，旧 Secret 保留 24 小时过渡期（允许存量请求完成），过渡期后自动失效并删除。

权限管控

名词	定义	作用	示例
Cedar 语言	声明式权限策略语言，用于定义主体（Principal）对资源（Resource）的操作权限，支持条件逻辑（如属性匹配、关系判断）和最小权限原则，语法简洁且可验证。	编写细粒度、可审计的权限策略，支持复杂条件授权（如“仅允许部门A的用户编辑自己创建的文档”），避免权限过度授予，提升授权系统的安全性和可维护性。	策略示例： permit (principal == User::"alice", action == Action::"edit", resource: Document) where resource.owner == principal.name; （允许用户Alice编辑自己拥有的文档）
权限策略（Policy）	基于Cedar语言编写的规则集合，定义“谁（主体）能对什么（资源）执行什么操作（Action）”，包含ALLOW/DENY规则及条件判断（如主体属性、资源属性、环境变量），是授权决策的核心依据。	作为权限引擎的输入，控制资源访问的ALLOW/DENY决策，支持基于属性的访问控制（ABAC）、基于角色的访问控制（RBAC）等模型，实现权限的集中化管理与动态调整。	策略组合示例： allow (principal in Group::"editors", action == Action::"edit", resource: Document); deny (principal, action == Action::"delete", resource: Document) where resource.category == "confidential"; （允许编辑组用户编辑文档，但禁止删除机密文档）
授权决策（Decision）	权限引擎（如Cedar Policy Engine）对访问请求的判断结果（ALLOW/DENY），包含匹配的策略列表、决策理由（如“匹配ALLOW策略X”“触发DENY策略Y”）及上下文信息（如请求时间、IP）。	作为资源访问的最终判断依据，决定是否允许主体执行操作（如Agent调用工具、用户访问API），并支持审计追踪（记录决策过程用于合规检查）。	请求示例：主体Workload::"test-agent"调用操作Action::"invoke"访问资源Tool::"payment"。决策结果：DENY 决策理由：无匹配的ALLOW策略，且触发DENY策略（deny (principal == Workload::"test-agent", action == Action::"invoke", resource: Tool::"payment");）。
主体（Principal）	权限策略中的请求发起者，可为用户（User）、Workload身份、用户组（Group）或服务角色（Role），采用标准化标识符格式：{类型}::{唯一标识}（如User::"alice"、Workload::"ai-agent-01"）。	定义“谁”有权限执行操作，支持个体、组（如Group::"data-scientists"）或角色（如Role::"admin"）层级的权限分配，实现权限的批量管理与继承。	主体匹配示例：个体：principal == User::"bob"（用户Bob）组：principal in Group::"ai-team"（AI团队所有用户） Workload身份：principal == Workload::"train-agent"（训练Agent）
资源（Resource）	权限策略中的操作对象，可为具体实体（如文档、工具、API接口）或抽象资源（如用户池、Workload池），采用标准化标识符格式：{类型}::{唯一标识}（如Document::"doc-123"、Tool::""），支持通配符（）和层级化标识（如Folder::"project-x/doc-123"）。	定义“对什么”资源执行操作，支持资源属性（如owner、env、category）参与条件判断（如“仅允许访问生产环境资源”），实现资源级别的权限隔离。	资源匹配示例：具体资源：resource == Document::"doc-123"（文档123）通配符：resource in Tool::"*"（所有工具）属性条件：resource.env == "production"（生产环境资源）

最近更新时间：2026.03.25 11:22:26

这个页面对您有帮助吗？

有用

有用

无用

无用