文档中心

AgentKit

请输入

凭据管理

凭据概述

当 Agent 需要以客户端身份调用外部服务或下游 API 时，通常需要携带对应的身份凭据，例如 API Key、OAuth Client 信息或云资源访问角色。为避免在代码、镜像、配置文件或运行参数中硬编码敏感信息，AgentKit 提供身份凭据托管能力，用于统一保存和管理 Agent 出站访问所需的凭据。

通过身份凭据托管功能，您可以将 Agent 调用外部系统时使用的出站（Outbound）凭据安全托管在平台。Agent 运行时可按需引用并获取对应凭据，由平台完成凭据读取、注入和权限边界控制，从而降低密钥泄露、误用和分散维护的风险。

支持的凭据类型

当前支持托管以下 3 类凭据：

API Key

适用于第三方服务提供的固定密钥。Agent 可通过凭据名称引用该密钥，并在出站请求中按需注入。了解更多

OAuth Client

适用于需要通过 OAuth2 授权访问外部服务的场景，例如代表用户或 Agent 获取短期访问令牌。了解更多

火山云角色

适用于 Agent 访问 TOS、方舟等火山引擎云资源的场景。平台可基于 Agent 身份换取 STS 临时凭证，避免使用长期固定密钥。了解更多

凭据敏感信息存储与使用方式

存储方式

为保障凭据安全，API Key、Client Secret 等敏感信息将根据所选方式保存。

KMS 加密（平台存储）

选择“KMS 加密（平台存储）”时，平台使用所选 KMS 主密钥加密凭据，并保存加密后的密文。

凭据托管（托管存储）

选择“凭据托管（托管存储）”时，凭据由凭据托管服务保存和管理，平台仅保留凭据引用及管理所需的元数据。

使用方式

凭据托管模式下，Agent 可依托凭据配置调用对应的出站凭据，无需将 API Key、Client Secret 硬编码写入代码、镜像或配置文件。凭据托管存在两种凭据取用链路：

出站代理场景

由独立的代理组件向凭据托管服务获取凭据，在代理层完成请求头 / 参数注入。凭据明文仅在代理进程内可见，不会透传到 Agent 业务执行环境。该方式适用于通过 MCP 服务、网关或统一代理访问下游 API 的场景，详情请参见创建 MCP 服务并配置入站认证和出站认证。

SDK 接入场景

在 SDK 接入场景中，Agent 业务进程通过集成 SDK 或调用凭据取用接口，从凭据托管服务获取所需凭据。取用时，凭据明文会进入 Agent 业务进程内存，应用需避免将其写入日志、异常信息、监控数据或其他持久化存储。凭据取用接口及完整流程请参见凭据托管服务用户指南。

使用凭据托管能力前，需完成对应 SDK 或接口接入，并配置凭据取用授权。Agent 可依托凭据配置调用出站凭据，无需直接把 API Key、Client Secret 硬编码写入代码、镜像或配置文件。了解更多

最近更新时间：2026.10.23 16:53:59

这个页面对您有帮助吗？

有用

无用