Agent 身份的三个平面¶
English | 中文
Agent 身份常被简化为“一个 API key”。这把三个不同问题压成一个弱机制。有用的模型把它们 分开。
平面 1：签发¶
这个工作负载是谁，它能证明吗？
身份提供者在验证工作负载后签发凭据。凭据应短期，并绑定持有证明，使被盗令牌不够用。 工作负载证明可以使用 Kubernetes、SPIFFE 或 mTLS。
项目：EIDOVELA。
平面 2：注册与命名空间¶
这是哪个 Agent，谁拥有它，生命周期状态是什么？
身份签发不是注册中心。企业需要 Agent、命名空间、权限绑定与生命周期纪元的记录系统。 没有它，身份只是一串没有清单的凭据。
项目：NOMIVELA。
平面 3：授权与委托¶
这个 Agent 可以做什么，代表谁，带什么证据？
授权评估策略、衰减委托权限、路由审批、支持撤销并产生证据。它消费身份与注册上下文， 但本身是独立决定。
项目：AEGIVELA。
为什么分开¶
- 失败模式不同。 有效凭据不蕴含有效授权；已注册 Agent 不蕴含可信工作负载。
- 生命周期不同。 凭据快速轮换；注册记录活得更久；策略按业务节奏变化。
- 受众不同。 安全团队拥有签发，平台团队拥有注册，应用团队拥有策略。
常见错误¶
用一个长期令牌服务多个 Agent，然后试图从日志恢复归因。身份平面不是日志问题。它必须在 Agent 行动前设计。