阿里云智能体身份服务用户池概述，提供面向AI Agent应用用户的身份管理能力，支持 SAML 2.0、OIDC、应用身份服务 IDaaS、通用 SCIM 等多种身份源接入，并提供用户管理、角色管理和客户端应用集成。-智能体身份 Agent Identity(AgentIdentity)-阿里云帮助中心

用户池（UserPool）是阿里云智能体身份服务（Agent Identity）中面向 AI Agent 应用用户的身份管理单元。您可以通过用户池对接外部身份源实现企业 SSO 登录，并为用户分配角色，最终由客户端应用颁发 ID Token 用于 Agent 入站身份认证。本文介绍用户池的核心概念和入站身份认证工作流。

什么是用户池

用户池是入站身份认证链路的起始环节。当您的 AI Agent 应用需要识别终端用户的身份时，可以创建用户池来统一管理用户的登录认证和身份信息。

用户池提供以下核心能力：

身份源接入：身份源分为外部身份提供商（钉钉、飞书、企业微信）、通用协议身份提供商（SAML 2.0、OIDC、通用 SCIM 用户同步）和阿里云身份（应用身份服务 IDaaS）三组，分别提供 SSO 登录、JIT 同步和用户同步能力。使用 IDaaS 认证企业员工时，请参见配置 IDaaS 作为 Agent Identity 的入站身份源。
SAML/OIDC 联合登录：通过标准 SAML 2.0 或 OIDC 协议对接通用企业身份提供商，支持员工通过企业 SSO 单点登录访问 AI Agent 应用，登录时自动创建和更新用户信息（JIT Provisioning）。
用户管理：集中管理用户池中的用户及其属性信息。用户可通过身份源的 JIT（Just-In-Time）方式自动创建，也可以通过用户同步导入，每个用户池中的用户相互隔离。
角色管理：定义应用级别的角色并分配给用户。角色信息会写入 ID Token，结合 Agent Identity 策略可实现基于角色的访问控制（RBAC）。
客户端应用：注册 OAuth/OIDC 客户端应用，与用户池集成后可为经过认证的用户颁发 ID Token。客户端使用 ID Token 向 Agent Identity 交换 Workload Access Token，完成入站身份认证。

核心概念

用户池身份源

身份源是用户池对接的外部身份来源，分为两类：

SSO 身份源：为终端用户提供登录入口，支持 SAML 2.0、OIDC、应用身份服务 IDaaS、钉钉、飞书、企业微信等类型。
用户同步源：将外部用户批量同步到用户池，支持应用身份服务 IDaaS、通用 SCIM 用户同步、钉钉、飞书、企业微信等类型；SAML 2.0 和 OIDC 身份源还可通过 JIT 同步创建和更新用户。

说明

同一用户池只能启用一个 SSO 身份源，启用新的 SSO 身份源时可能自动停用原来源；用户同步源可以同时启用多个，SSO 身份源与用户同步源可以是不同类型。

用户池 SAML 身份提供商

用户池中的 SAML 身份提供商是指您对接到用户池的外部企业身份源（如 Microsoft Entra ID、Okta 等）。它的作用是：

为用户池提供 SSO 登录入口，终端用户通过企业 IdP 的凭据登录。
通过 SAML 断言中的属性自动创建和更新用户池中的用户（JIT Provisioning）。

入站身份提供商

入站身份提供商是 Agent Identity 中的核心概念，表示一个受信任的身份颁发源。创建用户池时，可以选择自动创建一个与之关联的入站身份提供商。

身份提供商可以作为身份源通过 OIDC 直接访问 Agent。而通过用户池 SSO 访问 Agent 时额外提供 RBAC 以及身份感知的权限管理能力。

客户端应用

客户端应用是注册在用户池中的 OAuth/OIDC 应用。用户通过用户池的 SSO 身份源完成认证后，客户端应用为该用户颁发包含身份和角色信息的 ID Token。AI Agent 应用通过此 ID Token 向 Agent Identity 申请 Workload Access Token，从而完成入站身份认证。

入站身份认证工作流

以下是基于用户池的入站身份认证完整流程：

用户 SSO 登录：终端用户访问 AI Agent 应用，通过用户池启用的 SSO 身份源完成认证。
用户创建与同步：用户池根据身份源自动创建或同步用户，例如首次 SSO 登录时通过 JIT（Just-In-Time）Provisioning 自动创建，或通过用户同步源导入。
颁发 ID Token：登录成功后，用户池中的客户端应用为该用户颁发 ID Token，其中包含用户身份、所属角色等声明。
交换 Workload Access Token：AI Agent 应用使用 ID Token 向 Agent Identity 的入站身份提供商请求交换 Workload Access Token。
执行访问控制：Agent 使用 Workload Access Token 通过 AI 网关调用外部资源时，策略引擎根据 Token 中的身份和角色信息评估策略集，做出允许或拒绝的决策。

用户池功能导航

您可以通过以下文档了解用户池各功能模块的详细操作：

用户池管理：创建、配置和删除用户池。
SAML身份提供商管理：导入 SAML Federation Metadata，配置 SSO 登录。
用户管理：查看和管理用户池中的用户。
角色管理：定义角色并分配给用户，实现 RBAC。
客户端管理：注册和管理 OAuth/OIDC 客户端应用。
Microsoft Entra ID：端到端配置教程。
配置 IDaaS 作为 Agent Identity 的入站身份源：使用应用身份服务 IDaaS 认证企业员工并接入用户池。