文档中心

智能体身份和权限管理平台

快速入门

出站授权：Agent 代表用户访问第三方资源

本指南介绍如何配置身份凭据托管，使你的 Agent 能够代表当前登录用户，安全地访问支持 OAuth 2.0 的第三方服务（如查询 Google 天气、读取飞书文档、操作 GitHub 仓库）。本文以访问飞书开放平台为例，介绍如何配置 OAuth Client。

前提条件

你已开通智能体身份和权限管理平台服务并完成授权。详情请参见开通智能体身份和权限管理平台并完成授权。

你已在第三方开发者平台注册了应用，并获取了 App ID (Client ID) 和 App Secret (Client Secret)。

步骤一创建用户池

用户池是存放用户账号的容器。你的所有用户数据（用户名、密码、手机号等）都将存储在这里。

登录火山引擎智能体身份和权限管理平台。

在左侧导航栏，选择用户池。

单击右上角的新建用户池。

配置用户池参数。

用户池名称：输入易于识别的名称，例如 my-web-app-pool。

其他参数可保持默认。

单击确定。

步骤二创建客户端

为了让你的应用能够“连接”到刚才创建的用户池，你需要注册一个客户端。

在返回的页面单击新建客户端。

配置客户端基础信息。

客户端名称：my-webapp-client。

客户端类型：选择 Web 应用。

授权回调 URL：关键配置。这是用户登录成功后，Agent Identity 将用户送回你应用的地址。

本地调试示例：http://localhost:8000/callback

生产环境示例：https://agent.com/auth/callback

注意

此处配置的 URL 必须与你代码中配置的 Redirect URI 完全一致（包括末尾的斜杠），否则会产生 redirect_uri_mismatch 错误。

步骤三创建用户

创建一个测试账号，用于登录应用，验证流程。

在返回的页面单击新建用户。

配置用户信息。

用户名：testuser。

手机号：+86173********。

临时密码：设置一个符合以下要求的密码。

说明

密码必须包含数字、特殊字符、大小写字母。

长度至少为 8 位。

附加属性：设置一个附加属性（例如姓、名）。

点击确定。

步骤四配置 OAuth Client

登录火山引擎智能体身份和权限管理平台。

在左侧导航栏，选择身份凭据托管。

单击新建并选择新建 OAuth Client。

配置相关参数。

提供商名称：自定义一个易于识别的 ID，例如 downstream-feishu-service。

提供商类型：选择飞书。

Client ID / Client Secret：填入你在飞书开放平台获取的应用凭证。

权限范围：填入你需要请求的权限列表（例如 contact:user.base:readonly），多个权限使用回车分隔。

回调 URL：关键配置。这是用户在完成提供商授权后，Agent Identity 将用户送回你应用的地址。

本地调试示例：http://localhost:8000/callback

生产环境示例：https://agent.com/auth/callback

单击确定。

步骤五回填回调地址

需要告诉第三方服务（飞书），允许它们将 Token 发送给 Agent Identity。

在用户池列表，找到创建好的用户池。

单击用户池名称，查看用户池详情。

找到系统生成的 OIDC 登录回调地址。

复制这个地址。

登录飞书开放平台，选择进入需要配置重定向 URL 的应用详情页。

找到开发配置 > 安全设置，将刚才复制的地址填入重定向 URL 中。

验证配置效果

当 Agent 需要调用飞书开放平台的 API 时，它向智能体身份和权限管理平台请求一个访问凭据。

首次调用：智能体身份和权限管理平台检测到没有该用户的有效授权，会返回一个重定向 URL。智能体的前端需将用户重定向到此 URL，用户将在页面上登录并授权。授权成功后，智能体身份和权限管理平台会安全地保存 Refresh Token。

后续调用：智能体再次请求访问凭据时，智能体身份和权限管理平台会利用已保存的 Refresh Token，在后台静默地为用户获取一个新的 Access Token，并返回给智能体。智能体即可用此令牌去调用飞书，整个过程对用户透明。

查看与撤销授权

你可以查看托管的凭据，但无法直接看到用户的 Refresh Token。

如果需要撤销用户对该智能体的授权，你可以删除对应的出站凭据托管配置，或在下游服务中撤销授权。

最近更新时间：2026.03.25 11:22:27

这个页面对您有帮助吗？

有用

无用