当你的 Agent 需要作为客户端去调用外部或下游的 API 时，它同样需要身份凭据。身份凭据托管模块就是为此设计的，它允许你将这些出站（Outbound）的凭据安全地存储在智能体身份和权限管理平台中，智能体在运行时可以按需获取并使用它们，从而避免了在代码或配置中硬编码敏感信息的风险。目前支持托管两种类型的凭据：**API Key** 和 **OAuth Client**。 ## **与密钥管理服务的关系** 为保障安全，您在此托管的敏感凭据（如 API Key 和 Client Secret）并不会以明文形式存储在智能体身份和权限管理平台中。系统会将这些凭据安全地存放在火山引擎的密钥管理服务（KMS）内，而智能体身份和权限管理平台仅保留其引用。为遵循最佳安全实践，建议您定期在 KMS 中轮换凭据。 ## 创建 API Key 托管适用于使用固定密钥进行认证的外部服务。 1. 登录 [火山引擎智能体身份和权限管理平台](https://console.volcengine.com/identity)。 2. 在左侧导航栏，选择**凭据管理**。 3. 单击**新建凭据**并选择**新建 API Key**。 ![图片](https://p9-arcosite.byteimg.com/obj/tos-cn-i-goo7wpa0wc/54b4778556a540239afb8dddbf8e322f) 4. 配置相关参数。 |配置项 |说明 | |---|---| |**API Key 名称** |自定义 API Key 的名称，用于标识不同的 API Key。 | |**API Key 值** |填入你从第三方服务获取的实际密钥值。 | |**参数位置** |指定在发起 API 请求时，此 Key 应放置的位置。**推荐使用 ** **`Header`**，因为它比放在 `Query` 中更安全。

* **Header**：密钥将作为 HTTP 请求头的一部分发送。

* **Query**：密钥将作为 URL 的查询参数发送（`https://api.example.com?key=...`），易因 URL 泄露而暴露。 | |**参数名称** |指定承载 API Key 的参数名，必须与外部服务的要求完全一致。例如，如果选择 `Header`，参数名可能是 `X-Api-Key` 或 `Authorization`。 | 5. 单击**确定**。 API Key 会被加密存储在密钥管理服务（Secret Manager）中。 ## 创建 OAuth Client 凭据托管适用于需要通过 OAuth 2.0 流程进行认证的下游服务。 1. 登录 [火山引擎智能体身份和权限管理平台](https://console.volcengine.com/identity)。 2. 在左侧导航栏，选**凭据管理**。 3. 单击**新建凭据**并选择**新建 OAuth Client**。 ![图片](https://p9-arcosite.byteimg.com/obj/tos-cn-i-goo7wpa0wc/ee2100eb6bec4998ab73a6e8a015eaa5) 4. 配置相关参数。 |配置项 |说明 | |---|---| |**提供商名称** |自定义名称，如 `downstream-service-oauth`。 | |**提供商类型** |当前支持预置提供商类型和自定义类型，预置类型包括：飞书、Coze 和 GitHub。 | |**Client ID / Client Secret** |填入你为智能体在下游 OAuth 服务注册时获得的客户端凭据。 | |**配置类型** |提供商类型为自定义时需要配置。

* 自动发现：需要配置 OIDC 配置根 URL（如 https://idp.example.com/.well\-known/openid\-configuration），系统自动拉取端点信息。

* 手动配置：需要手动填写授权服务器元数据，包括发行者根 URL、授权端点、令牌端点和响应类型。 | |**权限范围** |客户端请求的权限范围：

* 标准 Scope：openid（OIDC 必需，默认添加）、email、profile；

* 自定义 Scope：read:data、write:config（需 IdP 支持）。 | |**自定义参数** |向授权请求 / 令牌请求添加标准外的自定义参数（如 aud=https://api.example.com、tenant=123），满足 IdP 特殊要求。 | |**OAuth2 流程** |这是关键配置，决定了授权如何发生：

* **用户委托（USER_FEDERATION）** ：需要真实用户介入授权。首次调用时，用户会被重定向到下游服务的授权页面进行登录和同意。授权成功后，Agent Identity 会安全地托管获取到的 Refresh Token，用于后续代表用户静默刷新 Access Token，实现“一次授权，长期访问”。

* **机器对机器 (M2M)** ：无需用户介入。智能体直接使用 Client ID/Secret 向下游服务获取 Access Token，适用于服务间的后台调用。 | |**强制重新授权** |如果勾选，每次发起授权请求时，即使用户已有有效会话，也会被强制要求重新登录和授权。 | |**最长过期时间** |* 可以设置获取的令牌的最长有效期，以强制重新授权，增强安全性。

* 需小于 IdP 限制，过期后需重新获取令牌。 | |**Workload Pool** |账户内唯一的 Workload Pool 名称，用于隔离不同环境的 OAuth 客户端（如 prod\-pool），不填则默认 default。 | ## 查看、编辑与删除 * 你可以随时在列表中查看已创建的凭据的摘要信息，单击身份凭据名称可以查看详细信息。 * 单击**编辑**可以更新凭据的部分信息（如 API Key 的值、OAuth 客户端的 Secret 等）。更新后，系统会自动在后端的密钥管理服务中创建新版本的密钥。 * 单击**删除**将永久移除该托管凭据。正在使用此凭据的智能体将无法访问对应的外部服务。