文档中心

AgentKit

策略管理

进行模拟判定

模拟判定用于在不发起真实 Agent 请求、也不实际调用 MCP 工具的情况下，预先验证指定用户访问目标资源时的权限结果。系统会基于当前已生效的访问规则执行一次权限计算，并返回本次访问结果。

通过模拟判定，可以快速验证权限边界是否符合预期，也可以在无法访问 Agent 或无法调用 MCP 工具时，辅助定位问题原因。

说明

模拟判定只计算权限结果，不会真正运行 Agent，也不会实际调用 MCP 工具。即使模拟判定结果为“权限通过”，也仅表示权限校验通过，不代表目标 Agent 或工具一定可以正常执行。实际调用仍可能因请求参数错误、服务异常、工具不可用或下游凭据失效等原因失败。

推荐场景

新建、修改或删除访问规则后，可使用模拟判定验证权限变化是否符合预期。例如，确认新增规则是否已允许目标用户访问指定 Agent 或 MCP 工具，或确认删除规则后相关用户是否已失去对应访问权限。

当用户反馈无法访问某个 Agent，或无法调用指定 MCP 工具时，可通过模拟判定复现该用户的访问请求，检查最终判定结果，并定位问题是否来自授权对象、人员范围、资源选择、规则条件或拒绝规则命中。

当同一用户、资源和操作可能同时命中多条允许规则或拒绝规则时，可使用模拟判定查看最终判定结果，确认系统实际生效的权限结果是否符合预期，避免因规则叠加导致误授权或误拒绝。

当 Agent 通过调用链访问下游 Agent 或 MCP 工具时，可在模拟判定中补充完整调用链，验证从用户到 Agent、再到下游 Agent 的整条链路是否具备访问权限。

在 Agent、MCP 工具或相关能力上线前，建议使用模拟判定对典型用户、部门、用户组及边界用户进行权限验收，确认应授权用户可以访问、非授权用户无法访问，降低上线后出现越权访问或误拒绝的风险。

当出现非预期可访问、非预期拒绝，或需要治理历史规则时，可结合访问规则列表和模拟判定结果进行排查。通过对比授权对象、人员范围、规则条件、调用链路和最终判定结果，判断问题来自规则配置错误、人员范围变化、还是资源选择不准确等导致的结果偏差。

前提条件

操作步骤

参数	说明
谁	选择用户池，以及本次模拟判定的具体用户。该用户将作为本次权限计算的访问主体。
做什么	选择本次模拟的操作类型。支持调用或创建内部工单。调用：验证用户能否访问 Agent 或调用 MCP 工具。创建内部工单：验证用户能否执行创建内部工单操作。
对什么	选择本次模拟访问的目标资源类型和具体资源，支持 Agent 或 MCP 服务。目标资源为 Agent：系统会模拟请求进入 Agent Runtime 时的入站判定。判定通过后，请求才可以进入 Agent 执行。操作如下：选择 Agent。选择需要验证的具体 Agent。目标资源为 MCP 工具：系统会模拟工具调用实际发起前的权限判定。判定通过后，才允许发起目标工具调用。操作如下：选择 MCP 服务。选择目标 MCP 服务。选择该服务下的具体工具。
经过哪些 Agent	如果请求在到达目标资源前经过一个或多个 Agent，请单击“+ 添加 Agent”按钮，并按照实际调用顺序添加经过的 Agent。说明最多可添加 5 个 Agent。若实际请求存在调用链，建议在模拟时保持链路配置一致。

说明

模拟判定只验证权限，不代表目标 Agent 或工具一定可以正常运行。建议在权限通过后，再使用真实业务请求或测试环境进行一次端到端验证，确认目标 Agent 或工具可以正常执行。

说明

如果请求没有命中任何允许规则，系统会按照默认拒绝处理。也就是说，只有明确命中允许规则的请求才会被放行；未被授权的请求默认不允许访问。

最近更新时间：2026.10.12 17:21:40

这个页面对您有帮助吗？

有用

无用