【Agent 身份与安全】Agent 身份谱系：从 API Key 到委托 Token
四代 Agent 身份模型：API Key、OAuth 用户 token、Service Account、RFC 8693 Token Exchange 委托链。拆解 subject_token、actor_token、act claim，以及与 JWT/JWKS 系列的交叉引用。
iam 标签归档
共 6 篇文章 · 返回首页
【Agent 身份与安全】AI Agent 的身份、委托与审计
IAM 系列（人）与零信任系列（边界）的自然延伸：当 LLM Agent 代表用户调用 API、执行 SQL、读写邮件时，传统 OAuth 模型如何扩展？拆解 Token Exchange、MCP 安全模型、工具级授权、持续验证与审计归因。
身份与访问控制工程
从 OIDC、OAuth 2.1、SAML、SCIM 到多租户权限、CIAM、PAM 与身份平台选型——系统拆解现代身份与访问控制的协议、架构与工程实践。
【身份与访问控制工程】IAM 全景：为什么这是高价值赛道
从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。
【身份与访问控制工程】Keycloak 工程拆解：Realm、Client、Flow 与扩展机制
Keycloak 是 CNCF Incubating 项目中最成熟的 IAM 平台，也是自建身份系统的首选开源方案。但它不是'下个 JAR 跑起来就行'的简单软件——Realm 的隔离模型、Authentication Flow 的执行引擎、Client Scope 和 Protocol Mapper 的职责分离、自定义 SPI 扩展点——理解这些内部架构才能做好生产部署。本文从 Keycloak 的核心概念模型出发，拆解其内部执行路径和扩展机制。
【身份与访问控制工程】自建还是采购：Keycloak、Auth0、Entra、Okta 对比
自建 Keycloak 省下的 license 费用，会在运维、高可用、多活、定制开发和知识积累上还回去。采购 Auth0/Okta/Entra 省下的运维成本，会在 license 账单、供应商锁定和功能黑盒上付出代价。本文不是产品推荐，而是一个工程决策框架——在什么规模、什么场景下，哪种选择的总成本（TCO）合理。