在Agent中安全访问钉钉

环境要求

本地测试环境需要安装Python（版本≥ 3.10）以及pip包管理器。

用户及权限要求

1. 用户要求：

   1. 钉钉开放平台管理员：用于管理钉钉开放平台的应用

   2. 脚本执行用户（RAM用户）：用于执行准备脚本及本地应用测试。

2. RAM权限要求：

   脚本执行用户需要具备以下权限：

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "agentidentity:*",
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "agentidentitydata:*",
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": ["agentidentity.aliyuncs.com"]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "ram:CreateApplication",
           "ram:CreateRole", 
           "ram:CreatePolicy",
           "ram:AttachPolicyToRole", 
           "ram:CreateAppSecret",
           "ram:DeleteApplication"
         ],
         "Resource": "*"
       }
     ]
   }

百炼API密钥

获取具有百炼模型调用权限的DashScope API密钥。如您还没有创建百炼API密钥，请参考获取API Key进行创建和配置。

创建钉钉应用

按照钉钉OAuth凭证提供商设置教程创建钉钉应用，并将钉钉配置为Agent Identity的OAuth2凭证提供商。

配置钉钉应用权限

1. 登录钉钉开发者后台。找到创建的钉钉应用，进入应用详情页。

2. 在应用详情页的左侧导航栏，单击权限管理。在权限搜索框中输入Document.Document.Write，单击返回结果操作列的立即开通。该权限授予钉钉应用以委托方式覆写使用者本人的钉钉文档。

   

获取并准备示例代码

1. 克隆代码仓库。在本地打开终端，执行以下命令克隆示例代码。

   git clone https://github.com/aliyun/agent-identity-dev-kit.git
   cd agent-identity-dev-kit/agent_identity_python_samples/end-to-end_sample

2. 安装依赖。建议创建并激活一个 Python 虚拟环境，然后安装项目所需的依赖。

   pip install -r requirements.txt

3. 配置环境变量。

   export AGENT_IDENTITY_REGION_ID=cn-beijing # 当前Agent Identity仅开放北京地域
   export DASHSCOPE_API_KEY=<your-api-key> # DashScope API

准备RAM用户凭证

在本地使用用户及权限要求提到的脚本执行用户配置凭证。

export ALIBABA_CLOUD_ACCESS_KEY_ID=<your-access-key-id>
export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<your-access-key-secret>

执行准备脚本

在本地项目根目录下运行准备脚本prepare.py来自动创建所需的云资源：

python -m deploy_starter.prepare

此脚本执行以下操作：

1. 创建身份提供者

2. 创建阿里云OAuth 2.1入站应用

3. 创建阿里云MCP服务所需的OAuth 2.1 Native应用（在本教程中不会使用）

4. 创建工作负载身份和角色

5. 配置凭证提供者

脚本会输出创建的资源信息到根目录下的.config.json文件中。

如果执行过程中出现异常失败（如网络问题、资源超过quota等）需要清除创建的资源后再重新运行准备脚本，清除创建的资源请运行：

python -m deploy_starter.clear

在代码中配置钉钉凭证提供商

1. 在Agent Identity凭证提供商页面，找到您在步骤一中创建的钉钉凭证提供商，复制凭证提供商名称。

2. 在项目下的deploy_starter/tools/ding_talk_tool.py文件中，找到以下代码：

   @requires_access_token(
       credential_provider_name="test-provider-for-dingtalk",
       scopes=["openid", "corpid"],
       auth_flow="USER_FEDERATION",
       on_auth_url= on_auth,
       # force_authentication=True,
       callback_url= f"{get_config_with_default('APP_REDIRECT_URI', 'http://localhost:8090')}/callback",
       inject_param_name="access_token",
   )

   将其替换为如下内容，其中credential_provider_name的值需要更新为您实际的钉钉凭证提供商名称：

   @requires_access_token(
       credential_provider_name="your-dingtalk-credential-provider-name",
       scopes=["openid", "corpid"],
       auth_flow="USER_FEDERATION",
       on_auth_url= on_auth,
       # force_authentication=True,
       callback_url= f"{get_config_with_default('APP_REDIRECT_URI', 'http://localhost:8090')}/callback",
       inject_param_name="access_token",
       custom_parameters={"prompt": "consent"},
   )