核心功能
identity 是面向企业级多智能体场景的身份与权限管理中枢，提供完整的身份生命周期管理能力：
1. 入站授权（Identity）
- OIDC 登录：基于 UserPool 的标准化身份认证，支持企业 SSO
- TIP 工作负载令牌：为智能体工作负载颁发的短期访问令牌，实现安全的服务间调用
- 会话管理：完整的登录状态追踪、令牌续期与登出能力
2. 出站授权（Credential）
- 多模式凭据获取：支持 OAuth2 三 legged（用户授权）、OAuth2 M2M（机器对机器）、API Key 三种凭证模式
- 凭据托管：安全存储第三方平台凭证（Google、OpenAI、GitHub 等）
- 动态绑定：将凭据注入环境变量，供工具链运行时无缝使用
3. 权限管控（AuthZ）
- 双层风险评估：规则引擎（rm -rf、sudo、敏感路径）+ LLM 语义分析
- 人工审批流：高风险操作（exec、write、apply_patch）强制阻塞，等待用户显式批准
- 风险可观测：内置风险模式库，支持命令预检与风险诊断
显著优点
| 维度 | 优势 |
|------|------|
| **安全性** | TIP 令牌机制替代长期 API Key，凭据不落盘；审批流防止误操作 |
| **合规性** | 完整审计链（whoami/status 记录登录时间、令牌签发链） |
| **集成性** | 火山引擎生态原生（UserPool、WorkloadIdentity），支持 AssumeRole |
| **灵活性** | 凭证与工具解耦，同一凭证可绑定多环境变量，动态切换 |
| **可观测** | risk_check 前置诊断，risk_patterns 透明化风控规则 |
潜在局限
- 依赖外部身份源：需预先配置 UserPool OIDC 或火山引擎 IAM
- OAuth2 用户授权需浏览器交互：无法纯自动化完成三 legged 流程
- 审批流阻断体验：高频高风险场景可能产生审批疲劳
- 插件前置依赖：需显式启用
plugins.entries.agent-identity.enabled
适合人群
- 企业平台团队：需要为内部智能体平台构建统一身份体系
- 多租户 SaaS 开发者：需隔离不同客户的第三方 API 凭证
- 安全合规敏感型组织：要求操作可审计、高风险需审批的场景
- 火山引擎用户：已使用 Volcengine UserPool/TIP/WorkloadIdentity 生态
常规风险
| 风险类型 | 说明 | 缓解措施 |
|----------|------|----------|
| 会话劫持 | TIP 令牌在有效期内被盗用 | 短 TTL + 定期 refresh + logout 清理 |
| 凭证泄露 | 绑定到 env 后被子进程读取 | 最小权限 scope + 敏感凭证避免 returnValue |
| 审批绕过 | 用户通过多轮对话诱导 agent 自批准 | 工具层禁止 agent 调用 identity_approve_tool |
| 权限扩散 | 过度宽松的 OAuth scope | fetch 时显式指定 scopes 参数 |
| 配置泄露 | config 接口返回敏感信息 | 自动 redact 敏感字段 |