用身份代理统一管理智能体的 OAuth 授权
Zalando 把 OAuth2 委托、同意界面、令牌保管与转换集中到 Agentic Identity Broker，让多个 Agent 和 MCP 服务不必各自维护完整授权服务器。
- 具体怎么做
- 身份代理部署在 Agentgateway 等网关的调用路径中，负责 Agent 注册、用户认证、OAuth2 scope 与同意、令牌保管和跨 OAuth 基础设施的令牌转换。MCP 服务只实现业务工具；网关集中交换令牌，并可在发邮件、共享文档等工具调用前强制审批，把授权结果写入审计日志。
- 做到了什么
- Zalando 工程团队表示，这个开源项目已在内部生产环境用于多个 MCP 服务，并看到继续推广的潜力。项目没有公开服务数量、请求量或故障率；Agent 到 Agent 的令牌交换、意图授权和面向用户的活动日志仍在路线图中。
- 上手要点
- 适合已有多套 MCP 服务、需要集中撤销授权和审计的团队。上线前要验证 fail-closed、令牌保险库、scope 最小化、敏感值脱敏以及网关不可用时的行为。
你可以这样试
使用 Claude Code为【组织】设计一套使用 Agentic Identity Broker 的 MCP 授权试点。现有 Agent 是【列表】，MCP 服务是【列表】，身份提供方是【Google/GitHub/企业 IdP】。请画出 Agent→网关→身份代理→MCP 的令牌流，列出每项工具所需最小 scope、用户同意与撤销流程、强制审批点、审计字段和 fail-closed 测试。最后给出本地演示步骤、攻击/失效测试清单和是否进入生产的验收标准。