当前华为云IAM主要提供基础的身份认证与权限管理能力（用户/用户组/角色/策略/联邦认证等），建议参考火山引擎AgentKit中的Identity能力，将IAM升级为面向AI Agent时代的智能数字身份平台。

一、背景

随着AI Agent的快速发展，Agent需要以数字身份访问各类云服务和业务系统。当前IAM的身份模型面向人类用户和传统应用，缺乏对Agent身份的原生支持。火山引擎AgentKit的Identity能力提供了很好的参考方向。

二、建议能力

1. Agent数字身份原生支持

• 支持创建和管理Agent专属身份类型（非人类用户），与普通IAM用户区分
• Agent身份支持自动凭证签发与轮转（短期token，而非长期AK/SK）
• Agent身份支持能力声明（capability-based），而非仅基于角色的粗粒度权限

2. 智能权限编排

• 基于上下文动态授权：根据Agent运行环境、任务类型、数据敏感度自动调整权限
• 权限时效性管理：支持按需临时授权，任务结束后自动回收
• 最小权限智能推荐：分析Agent实际访问行为，推荐最小化权限策略

3. 身份联邦与互信

• 支持跨租户Agent身份联邦，使Agent能安全访问合作伙伴资源
• 支持外部身份源（如企业IdP、社交身份）与Agent身份的映射与互信
• 提供身份属性映射与转换能力，支持复杂联邦场景

4. Agent身份治理与审计

• Agent身份全生命周期管理：创建、激活、暂停、销毁、凭证轮转
• 细粒度行为审计：记录Agent身份的所有API调用、权限使用、资源访问
• 异常行为检测：基于AI的Agent身份异常访问检测与自动阻断

5. 面向开发者的Identity SDK/API

• 提供轻量级Identity SDK，Agent框架可快速集成身份能力
• 支持OAuth2/OIDC标准协议扩展，兼容现有身份生态
• 提供身份上下文传递能力，支持Agent跨服务调用时的身份透传

三、对标火山引擎AgentKit Identity的关键差异

• 火山引擎AgentKit Identity提供了Agent身份的创建、凭证管理、权限编排一体化能力，华为云IAM目前缺少Agent身份类型
• AgentKit支持基于任务的动态权限分配，华为云IAM目前仅支持静态策略绑定
• AgentKit提供Agent身份的信任评估与风险评分，华为云IAM缺少此维度

四、期望价值

• 使华为云成为AI Agent时代的首选身份基础设施
• 降低Agent接入云服务的身份管理与安全合规成本
• 为CodeArts、ModelArts等华为云AI产品提供统一的Agent身份底座

建议IAM团队能调研火山引擎AgentKit的Identity能力，在华为云IAM中原生支持Agent数字身份，打造面向AI时代的智能身份平台。