Agent 的 Token 也要按身份安全管

NIST IR 8587：保护 Token 与断言免遭伪造、窃取与滥用

一、报告解决什么问题

本报告提供实施指南，帮助联邦机构与云服务提供商（CSP）保护身份令牌（identity tokens）、访问令牌（access tokens）与断言（assertions），使其免遭伪造、窃取与滥用。报告以 NIST SP 800-53（5.1.1 版）的更新为基础，为 CSP 与使用方机构阐明原则，详述身份提供方（IdP）与授权服务器的架构考量，并就密钥管理、令牌验证与生命周期控制提出增强建议。报告针对近期高知名度攻击中所暴露的威胁，强调 secure by design（安全内建）实践、可配置性、互操作性与持续监控的重要性，并给出具体技术建议，用以保护单点登录（SSO）、联邦身份（federation）与应用编程接口（API）访问场景。

核心逻辑：签名密钥一旦被窃、或验证做得不对，令牌就能被伪造并迅速攻陷多个受保护资源。因此报告把「密钥保护 ＋ 令牌验证 ＋ 令牌生命周期管理」拆成可落地的 MUST/SHOULD 条款。

二、适用范围、读者与用词约定

范围（§1.1）：依据 15 U.S.C. §278g–3 制定，面向联邦环境，扩展 SP 800-53 新增控制项 IA-13（Identity Providers and Authorization Servers）。在范围内：依赖基于非对称密码学的数字签名断言与令牌做访问决策的 IAM 系统，常见于 SSO、联邦身份、API 访问与工作负载（workload）访问。在范围外：不依赖非对称签名的系统（有状态会话管理、对称密码方案、静态 API Key），相关处提及但不属控制项覆盖范围。SP 800-53 的 5.2.0 版已于 2025 年 8 月发布。

读者与效力：面向 CSP 安全与身份团队、联邦机构 IAM 负责人、风险评估与合规人员、架构师。控制项对 CSP 与联邦机构为自愿性（voluntary），除非经政策（含 OMB 政策）或合同、资助等具约束力协议另行规定。IA-13 及其增强项当时尚未纳入 SP 800-53 控制基线，未来可能纳入。

用词约定（§1.2）：大写词表示规范性要求，同词非大写时不构成规范性要求。MUST / MUST NOT＝必须遵守；SHOULD / SHOULD NOT＝推荐但非强制，否定形式表示不鼓励但不禁止。机构可基于风险管理需要全部或部分采纳。

责任共担（§1.3）：CSP 职责——保护底层基础设施、维护核心 IAM 服务（认证/联邦/授权）、管理令牌签发与签名、提供安全机密存储、保障基础设施级日志与监控、维持监管合规、提供可配置安全控制与工具。使用方职责——安全配置 IAM 策略、管理应用级机密与凭证、强制强认证与访问控制、开展运营安全活动（DevSecOps 部署、访问评审、红队演练）、响应事件、教育用户与团队、启用日志（默认未开时）并配置保留存储与告警通知。双方需就日志、监控、事件响应与合规报告协调，协调在很大程度上是程序化/自动化的，但也需一定人工协调。表 1 职责领域（SaaS）——CSP 独有：物理安全、基础设施、核心 IAM 服务、令牌签发/签名、机密保管库/HSM、基础设施日志监控；使用方独有：IAM 策略配置、应用/用户访问控制、应用机密管理、MFA 与用户认证设置、会话管理、应用日志监控；双方共担：用户教育、事件响应、持续监控、令牌吊销。实际边界因服务模型、合同条款与 CSP 暴露的技术能力而异。

面向 CSP 的四项原则（§1.4）：① 安全开发与安全设计——安全必须内建于 CSP 管理的系统与产品，实践应与 CISA Secure by Design [3]、NIST SSDF [4]、NIST《Engineering Trustworthy Secure Systems》[5] 一致；系统还必须在设计中考虑韧性（业务连续性、快速恢复、冗余）。② 透明性——CSP 需对部署技术、支撑架构、系统生成数据透明，尤其要能传达与安全要求的对齐情况并建立沟通渠道支持记录与分析令牌/断言事件；目的是让使用方做出知情的风险与配置决策，并非增加合规、审计或评估负担。③ 可配置性——安全特性需尽可能可由使用方配置优化；CSP 还应当默认提供关键的共识性与联邦风险管理缓解措施并为高级需求提供额外选项，配置必须配套培训、文档与支持能力。④ 互操作性——支持基于标准的架构（OIDC、OAuth、SAML）以促进混合云与多云集成，在不强制单一令牌管理方式下实现互联组件互操作。

面向使用方机构的三项原则（§1.5）：① 风险评估与控制选择——机构负责依 NIST RMF [7] 完成全面风险评估 [6]，并开展 SP 800-63-4 [8] 定义的数字身份风险评估（DIRA）；这些框架未全面覆盖令牌与断言使用的所有方面，机构应当用本文档补充。② 裁剪——控制基线只是起点，机构需按自身风险策略与容忍度进一步裁剪并传达给 CSP。③ 安全集成与配置——机构需与 CSP 协调，配置云环境使其与安全分级、控制选择、裁剪结果与既定保障级别对齐。

持续监控与评估（§1.6）：任何安全控制——尤其身份管理控制——都不应「设置后即遗忘」。持续监控应当延伸到签发、消费、验证令牌/断言或由其代表的账户、客户端与实体；使用机构需定期评审访问策略、权限（entitlements）、访问授权与账户状态。CSP 必须在识别、怀疑或有合理理由认为安全事件可能导致机构数据被未授权访问、披露、篡改或丢失时及时通知机构，并依法律、监管与合同要求提供足够细节，使机构能评估影响、启动响应、履行下游报告义务。

三、断言与令牌概述（第 2 章）

在联邦与 SSO 环境中，身份信息通常通过身份断言或身份令牌传递，含认证信息与属性，供受保护资源（依赖方 RP）判断用户或软件是否已被适当认证与授权。这些对象由签发方（IdP）用非对称密码学数字签名，向 RP 保证来源可信、数据未被篡改；正确使用时企业无需每次访问前反复认证用户即可授予访问，并支持集中管理访问控制与认证策略。但安全性依赖两点：保护用于签名断言与签发令牌的密钥；在用其访问 RP 应用时正确验证。密钥被攻破（外泄、复制）或验证未正确执行时，断言与令牌可被用于未授权访问，并迅速攻陷多个受保护资源。

3.1 两起作为动机的真实事件

• SolarWinds 供应链入侵（2020 年 12 月发现）：攻击者经供应链投递恶意软件后生成伪造 SAML 断言绕过 MFA 与应用级防护；攻陷对 Active Directory Federation Services 有特权访问的管理员账户、暴露签名证书、铸造有效但伪造的断言，对高价值邮件开展协同间谍行动 [10]（CISA 通告 AA20-352A）。
• Storm-0558（Microsoft 2023-07-14 分析）：外国行为者使用被无意暴露的消费方签名密钥（本应只对受影响供应商商业环境的令牌有效），因令牌验证失败，被窃密钥生成的签名令牌被用于访问邮件服务器与企业及联邦高级官员个人邮件账户，单一机构超过 60,000 封邮件被外泄 [11]。

这两起事件直接催生 SP 800-53 的 5.1.1 补丁与 IA-13 控制项。

3.2 术语、令牌类型与典型流程（§2.1—§2.3）

核心元素：终端用户（寻求访问的个人或实体，可为人类或非人类）；客户端（代表终端用户请求访问的应用、浏览器或软件）；受保护资源与资源服务器（资源服务器托管受保护资源并验证授权服务器签发的令牌，二者在联邦/SSO 中合称 RP；OAuth 称「client」，SAML 称「service provider」）；授权服务器（管理终端用户认证并签发带认证数据与属性的令牌，在 SSO 与联邦中称 IdP，OIDC 称「OpenID Provider」）。本文档不定义具体实现模式，而聚焦所有实现都必须（MUST）达成的控制与结果。

三类令牌：① 身份令牌与断言——提供与用户相关的认证与身份属性，受保护资源据此做访问决策，授权服务器可用其签发针对特定资源的访问令牌，通常用于联邦与 SSO；② 访问令牌——含认证信息与一组属性（如唯一用户 ID），用于访问特定受保护资源、应用或服务，可单独或与身份令牌配合，常用于非人类访问（服务器间通信、受保护 API）；③ 刷新令牌——与身份或访问令牌配合以延长会话，由客户端交换以在有效期结束时获取新令牌。

图 1「代表性架构」六步流程：① 终端用户（经客户端）通过资源服务器请求访问受保护资源；② 资源服务器将请求重定向到企业 IdP 或令牌服务以认证；③ IdP/令牌服务评估该资源的认证策略并请求认证；④ 终端用户完成认证，IdP/令牌服务向其或客户端签发身份令牌、断言或访问令牌；⑤ 客户端把令牌/断言传给资源服务器，后者验证令牌并评估访问策略；⑥ 资源服务器授予访问。非人类场景中认证可能不与终端用户交互，而采用设备或机器认证机制（如客户端证书）。

3.3 有状态 vs 无状态（§2.3.1，表 2）

有状态：IdP 维护服务器供应用查询各订阅者/系统的当前状态；服务器维护全部会话信息（会话状态、认证时间、吊销信息），经会话头、Cookie 或未签名令牌（如 JWT）传递 [47][50]。会话信息集中主动维护、可按需吊销；但因集中式会话管理的性能与韧性问题，历史上被认为不太适合大型分布式系统，需更多基础设施复杂性；在 API 访问场景中挑战更多；通常不适用于跨域访问或联邦场景。无状态：所有必要信息提供给 RP 以做访问决策与身份判定，无需「回呼」中央服务器，一切封装在断言或令牌中（通常为签名 SAML 断言或 OIDC JWT），会话通过有效时长与刷新令牌管理。通常对高扩展、高可用服务更有效（尤其大量已认证 API 调用），并提供跨域与联邦能力（因自包含且含 RP 认证所需全部信息）。本文档控制项主要聚焦非对称签名令牌（在无状态模型中更普遍）。

3.4 SSO/联邦组件与 API 访问场景（§2.3.2—§2.3.3）

SSO/联邦组件：订阅者与订阅者账户（代表试图获得访问的用户或服务，由企业或受信 IdP 维护，存储访问决策所需的属性、权限与授权）；身份提供方＝授权服务器（认证用户/服务，签发断言或令牌传递认证事件、属性及决策信息）；令牌服务（当身份令牌/断言需换取访问令牌或需刷新时充当中介，可为 IdP 组成部分或独立运行）；依赖方＝受保护资源与资源服务器（用 IdP 提供的信息做访问决策，多数环境与其他能力集成以支持细粒度与条件访问）。API 访问场景组件基本同上，其中客户端某些场景也是代表组织或非人类实体的服务器、工作负载或软件。

许多 API 场景完全不涉及人类用户或交互式认证（如某服务账户获得访问令牌调用云托管 API 下载数据）；此时传统「重新认证」并不总是可行，令牌有效性需基于其他上下文判定：设备注册（发起请求的服务器是否注册为可信组件）、网络地址约束（是否来自经批准网络）、交易数据（请求是否表现预期行为）、持有证明技术（设备专属证书、消息认证技术）。API 访问通常位于资源服务器之后，后者充当策略执行点。

四、IA-13 控制项与实施建议（第 3—4 章）

文档方法（第 3 章）：本文档围绕 IA-13 构建，该控制项在 SP 800-53r5 的 5.1.1 补丁中新增，以回应一系列利用签名断言与令牌脆弱性的高知名度事件。每节先重述 IA-13 初始文本，再就达成其结果给出更详细要求。表 3 文档结构：第 4 节＝基线控制项 IA-13；第 5 节＝控制增强项；§5.1＝增强项 1（密码密钥保护）；§5.2＝增强项 2（身份断言与访问令牌验证）；§5.3＝增强项 3（令牌管理）。

IA-13 控制项文本：

控制项陈述：依据 [赋值：组织定义的识别与认证策略]，使用 [赋值：组织定义的机制]，部署 IdP 与授权服务器，以管理用户、设备与非个人实体（NPE）的身份、属性与访问权限，支撑认证与授权决策。 讨论：IdP（组织内部与外部）管理用户、设备与 NPE 的认证器（authenticators），并签发声明——通常称为身份断言——以证明其他系统或系统组件的身份。授权服务器为已识别并认证的用户与设备创建并签发访问令牌，可用于获得对系统或信息资源的访问。例如 SSO 提供 IdP 与授权服务器功能。认证器管理（含凭证管理）由 IA-05 覆盖。

4.1 架构与设计（§4.1.1）

组织必须（MUST）评估、设计并记录满足其需求与要求的架构。关键决策：有状态还是无状态；断言与令牌协议（SAML 对 OIDC）；企业内身份与访问令牌的机制与层级。没有「一刀切」答案，机构常需应对遗留系统与云环境；某些系统无法消费断言或令牌，需依赖代理或转换服务，引入复杂性与潜在脆弱性。

表 4 设计与架构考量（七项）：① 有状态 vs 无状态——需评估并实施支撑客户与任务的技术；本文档聚焦签名令牌与断言系统，但只要用非对称签名指南均可适用。② 签名方式（对称 vs 非对称）——多数 SSO 与令牌管理系统用非对称密钥签名，优势是轮换更容易、复杂度更低、扩展性更好；某些系统用对称密钥（如 HMAC 配合 JWT 与 SAML），但通常不推荐对称签名（使轮换复杂化、妨碍扩展性、提高密钥保护要求），不过可用限制「爆炸半径」的方式部署，因正确密钥管理要求每对授权服务器与资源服务器用唯一密钥，故对称签名密钥丢失不会危及这些特定交互范围外的交互；实施非对称签名时信任管理是关键，机构需理解其（或 CSP）所用的信任锚、证书管理实践与密钥层级。③ 协议选择——与 CISA《Hybrid Identity Solutions Guidance》一致优先采用现代开放标准 [12]；OIDC [13] 配合 OAuth [14]（特别是 iGov Profile [15]）提供灵活、基于标准的协议集，支撑 API 与移动服务并支持传统以人为中心的身份系统；SAML 安全成熟但用途更受限、最适合 Web 应用；遗留考量可能使机构与 CSP 需部署协议组合。④ 环境（云、本地、混合）——本地环境可能采用更长密钥轮换周期、需人工轮换、本地存储较弱，但对密钥隔离与密码操作有完全控制；云环境带来机会也引入复杂性与可见性挑战；多数用户（人类与机器）在多环境访问受保护资源，机构需部署能与众多外部环境集成的 IAM/SSO/联邦系统，必然影响令牌与断言服务决策，尤其支撑跨边界访问时。⑤ 非人类身份与工作负载——工作负载需被唯一标识与管理；许多现代协议（如 SPIFFE）利用签名令牌认证工作负载 [44]，其 SPIFFE Verifiable Identity Documents（SVID） 与本文其他访问令牌一致使用，需类似能力与保护 [45]；短生命周期令牌比依赖静态机密提供更强保护；与用户身份不同，工作负载身份信息与配置的权威来源更可能是 CSP，故 CSP 与消费者之间的沟通与文档更为重要。⑥ 移动应用——移动架构常偏好无状态（设备间歇连接性、低连接场景可用性、RP 无需回呼即可本地验证令牌）；OIDC 与 OAuth 为原生移动应用设计，SAML 围绕 Web 应用工作流构建。⑦ 遗留应用——多数机构有数十年遗留系统，为 IAM 部署引入限制与约束，需评估其状态，解决时可能需引入额外系统组件处理转换、代理或授权决策。

4.2 风险管理、安全策略与零信任（§4.1.2—§4.1.4）

风险管理与评估（§4.1.2）：RMF 与 FIPS 199/200 指导影响分级（Low/Moderate/High）并为控制选择提供依据 [23][24]；SP 800-63 定义身份证明（IAL）、认证（AAL）与联邦保障级别及数字身份风险管理（DIRM）模型 [8]；DIRM（含 DIRA）帮助组织识别基线保障级别并基于任务、威胁环境与数据敏感度裁剪 xAL 序列（如 IAL2/AAL2/FAL1）；FAL 要求确立了在规定级别生成、传递与处理身份断言的必要条件。FISMA 为联邦机构、FedRAMP 为 CSP 设定要求。

安全策略与技术文档（§4.1.3）：机构必须定义并记录令牌与断言管理的安全策略与技术要求（含身份与访问令牌），应当涵盖应用访问策略、令牌与断言生命周期、验证过程、密钥管理实践、审计/日志、吊销实践、会话管理、事件响应流程；CSP 与机构还必须记录令牌与断言的具体协议与内容。部署协议时应当参考已发布最佳实践：IETF《Best Current Practice for OAuth 2.0 Security》[43]、OASIS《SAML V2.0 Security and Privacy Considerations》[21]、《JWT Best Current Practice》[20]。

授权系统与零信任（§4.1.4）：授权系统（策略执行、策略决策点）消费断言与令牌做访问控制决策，处于企业安全核心，是零信任架构基础。与 OMB M-22-09 [31] 一致，机构必须以实现更细粒度、动态定义权限（如基于属性的访问控制）的方式实施断言与令牌，对保护断言的签名强制有效验证过程，并与额外授权数据源集成；授权系统应当不仅基于令牌有效性做访问决策，还应基于其呈现上下文。基于令牌与断言的系统必须集成到完整安全身份管理生命周期，确保令牌有效性与核心人类及非人类身份的配置、注销、权限一致；身份治理工具还应当用于围绕令牌所代表核心身份集成组织控制，并按所访问数据或服务敏感度强制实施最小权限、零常驻权限、即时审批与职责分离。

五、控制增强项与规范性条款（第 5 章）

5.1 增强项 1：密码密钥保护

增强项（引自 SP 800-53）：保护访问令牌的密码密钥被生成、管理，并受到保护以免被披露与滥用。 讨论：身份断言与访问令牌通常被数字签名。用于签名这些断言与令牌的私钥，其保护程度应与系统及可访问信息资源的影响相称。

签名密钥一旦被攻破，攻击者就能伪造数字签名的令牌与断言，获得对互联系统的未授权访问。

#### 5.1.1.1 生成

• 【必须】用于签名/加密断言或令牌、认证软件客户端与应用、建立安全信道的密钥，依 SP 800-57p1r5 [32] 生成。
• 【必须】密钥生成是生命周期第一阶段，须用密码学安全过程执行，确保足够熵、算法强度与应用适配性。
• 【必须】密钥在经 FIPS 140 [33] 验证的密码模块内生成，符合 NIST 批准的算法、密钥长度与生成方法。批准技术随新算法与威胁演进而更新；SP 800-131Ar2 [34] 汇总当前批准技术并给出迁移时间表。
• 【必须】将每个密钥与其预期用途、系统与设备关联。
• 【应当】维护密钥清单，标识每密钥的类型与用途、使用与存储位置、被替换前的预期生命周期。

#### 5.1.1.2 分发

• 密钥需安全交付给获授权系统与设备。某些密钥在 IdP 与授权服务器内部生成；某些集中生成后分发到运营系统（如需配置到多系统以支撑负载均衡或故障转移、或备份以支撑事件响应与恢复）。
• 【应当】用经认证的受保护信道分发，确保机密性与完整性。
• 【应当不】机密或私密密钥绝不以明文通信或导出。
• 密钥生成与分发的自动化有助于一致应用这些控制。
• 【应当】使用人工流程时采用双人或多人控制，缓解对密钥材料的意外或恶意破坏，尤其针对长期或高价值密钥。
• 【必须】备份或归档时，分发程序维持与运营使用期间同等的机密性与完整性保护。
• 【应当】私钥/机密密钥备份副本用存储于硬件密码模块或其他硬件保护、隔离的密钥管理机制（与系统影响级别相适配）上的密钥加密密钥（key-encryption key）加密。
• 【必须】归档密钥分发（如验证历史断言或令牌记录）被严格控制且可审计，有明确的授权、恢复与最终销毁程序。
• 【必须】IdP 与授权服务器记录并定期评审获授权接收备份或归档密钥的系统与人员，含存储于异地或云端灾难恢复环境者。
• 【必须】公钥（如令牌签名密钥的公开部分）可广泛分发，但仍须以确保真实性与完整性的方式发布与传输——当用于验证认证或授权决策时。适用于公钥分发信道、元数据、信任存储、发现端点及接收方赖以验证的其他机制。不要求公钥的每次复制或附带副本（日志、遥测、归档记录）提供同等保证。
• 【必须】元数据文档或 JWKS 端点通过 HTTPS 提供；可行时额外用受信证书路径或外部签名进行签名或完整性保护。（IdP 可在 SAML 元数据 [9]、OAuth 元数据 [49]、或引用 JWKS 端点 [48] 的 OIDC 发现文档 [13] 中发布签名密钥。）
• 【必须】用于验证已发布公钥的信任锚与信任约束被明确定义、控制与评审。
• 【必须不】不依赖宽泛默认平台、域或企业信任存储，除非受信签发者、证书策略、名称约束、路径约束、密钥用途与获授权用途适合该身份系统且已记录。
• 【必须】信任关系被限定到密钥预期使用的 RP、联邦、租户或应用上下文范围。
• 【必须】接收方验证公钥真实性，核实其算法与密钥长度与预期用途一致。
• 【应当】元数据包含密钥用途、算法与唯一密钥标识符，以便轮换期正确匹配。
• 【必须】用证书表示或绑定签名、加密或验证密钥时，IdP、授权服务器与 RP 记录证书是自签名、由企业 PKI 签发、由云或外部密钥管理服务提供、还是由另一受信机构签发。
• 【必须】接收方验证证书字段（密钥用途、签发者、有效期、适用策略约束）与预期用途及应用一致。
• 证书与 PKI 信任模型在密钥被大规模生成/分发/轮换、且 RP 通过共同信任锚与证书路径验证公钥时最有用。若接收方转而维护获授权公钥的显式信任列表、或用协议专属发现机制，则集中式 PKI 可能非必需。但分发信任列表或发现新公钥的机制对系统安全至关重要：
• 【必须】记录受信公钥如何被添加、更新、吊销、移除与审计；保护这些信任列表的真实性、完整性、及时性与治理。

#### 5.1.1.3 存储与隔离 密钥外泄与密码功能暴露是重大威胁：攻击者获得签名密钥或未授权访问签名功能，就能铸造看似合法的断言或令牌访问受保护系统。

• 【必须】保护用于签名断言与令牌的密钥，无论存储期间还是密码使用期间。保护机制取决于系统影响级别、受保护资源敏感度与运营环境。

中等影响（moderate）及以上系统：

• 【必须】用基于硬件、硬件支撑或其他隔离的密钥存储机制存储签名密钥，以降低密钥因应用、宿主操作系统或相邻工作负载被攻破而被提取、复制或暴露的风险。
• 【必须不】签名密钥与密钥材料不持久存储在应用、服务器、虚拟机或使用它们的容器系统上。
• 【必须】当密钥材料必须对这些系统可用时，仅在系统启动、拉起或运行时按需检索，并在存在期间防止未授权访问或披露。

受保护密钥存储机制包括但不限于：

• HSM 硬件隔离：物理或云可访问设备/服务，保护密钥生成、存储、管理与密码操作；提供防篡改证据或防篡改特性，设计为防止导出受保护私钥。
• 嵌入式处理器硬件隔离：嵌入式硬件组件、安全飞地（secure enclaves）、TPM 及其他密码处理器，保护密钥免于直接暴露给宿主 OS 或应用环境；可提供硬件支撑的密钥存储与受限密钥使用，但安全属性因实现而异。
• 隔离的密钥与机密管理系统：云端密钥管理服务、云 HSM 服务、托管密钥管理系统、集中式机密管理系统，可在与应用/服务器/虚拟机/容器环境提供适当隔离的前提下使用；提供强访问控制、管理分离、审计、生命周期管理与防未授权披露或导出。

高影响（high）系统：

• 【必须】额外在隔离执行环境中保护签名密钥使用及相关密码功能，以降低被攻破的宿主、应用、管理员账户或相邻工作负载直接观察、提取或滥用签名密钥或密码操作的风险。机制包括：HSM 硬件隔离（在内部执行签名，不向调用应用或宿主 OS 暴露私钥）；嵌入式安全协处理器（在硬件保护环境内执行密码操作）；隔离执行环境（TEE、机密计算环境、基于虚拟化的安全环境、隔离服务分区或类似机制，在使用期间保护密钥材料、限制对签名功能的访问、防止未授权观察/提取/滥用）；远程密码签名服务（云 HSM、托管签名服务、分布式密码服务，在受保护服务边界内存储密钥并执行签名，防止未授权导出、限制签名于获授权实体、保护存储与使用中的密钥、提供审计日志）。

低影响（low）系统：

• 【可以】实施上述任一技术，或使用基于软件的隔离。软件隔离应用适当机制限制对签名密钥与密码功能的访问、保护密钥材料免于未授权披露或导出、将密钥使用限制于获授权进程或服务、记录密钥管理与签名操作。基于软件的控制对某些较低风险场景可能可接受，但比硬件方式更易受外泄、复制与意外泄漏影响。

#### 5.1.1.4 使用期限与轮换 密钥使用期限定义一个密钥可被主动用于签名、解密或加密的最长时长。

• 【必须】IdP 与授权服务器建立并记录密钥使用期限。
• 【必须】期限长度基于知情的风险评估，考虑：该密钥所保护数据与功能的敏感度、所保护资源的范围、存储与使用期间的保护机制、跨 RP/客户端/基础设施/部署环境安全轮换的运营复杂度。更短密码周期可促进韧性（要求自动化轮换、减少对手工流程依赖、定期演练切换程序）。
• 【必须】记录批准的密码周期（以强制一致应用并降低人为错误）。
• 【应当】采用自动化密钥轮换机制。
• 【应当】机制在到期前提前调度并执行切换，提供新旧密钥重叠接受，支撑跨 RP 与客户端互操作。
• 【应当】维护版本元数据（密钥标识符、not-before/到期时间戳、密钥用途信息），使接收方能无中断验证。
• 【应当】对不提供自动密钥发现或切换机制的联邦协议与集成（含某些 SAML 部署），考虑 IdP、RP 及其他应用的额外协调负担。
• 【应当】可行时优先选择支持签名密钥自动发布、发现、验证与退役的架构与协议。
• 【应当】断言与令牌签名密钥频繁轮换（因被攻破风险）。
• 【应当】轮换时间表平衡更短使用期限的安全收益与：安全部署实践、需分发到的系统规模、验证暂停与回滚能力需要、密钥保护机制强度。
• 大规模托管系统的轮换通常需：创建新密钥与元数据、向所有相关系统暴露新密钥、选择新密钥用于签名、继续接受先前密钥直至此前签发令牌到期、从信任存储或发现机制移除先前密钥、删除或停用先前密钥；可能需跨多部署环境执行并留适当缓冲以支撑安全部署与事件检测。
• 最大使用期限取决于系统风险与影响、密钥被攻破事件的潜在规模。组织应考虑影响级别、可能受影响的用户与系统规模、以及不中断服务安全轮换的运营能力。
• 【应当｜高影响】签名密钥最大主动使用期限不超过 90 天。
• 【可以/应当｜中等与低影响】更长使用期限可以适当，但应当少于一年。
• 【应当】所有情况下，若密钥保护机制较弱、或快速检测与恢复能力有限，使用更短期限。
• 上述建议适用于密钥被主动用于签名时的最大使用期限，不覆盖发现、发布或接受期。
• 【可以】系统可在新验证密钥被主动用于签名前发布它；可在停止用某密钥签名后有限期内继续发布或接受先前验证密钥，以允许此前签发令牌/断言到期并防止服务中断。
• 【必须】记录切换过程：密钥创建、发布或暴露、激活用于签名、重叠、停用、从发现或信任存储移除、需要时吊销、销毁。
• 身份断言与访问令牌的安全依赖 TLS 与 Web PKI 证书。
• 【应当】HTTPS 端点的 TLS 证书（遵循单独 CA 策略）通过自动化证书管理系统管理。跨所有密钥类型，密码周期强制与自动化轮换工作流有助于维持强健态势并促进快速响应。

#### 5.1.1.5 吊销与销毁

• 【应当】采用技术与程序机制标示某密钥不应再被信任（过时、不再使用、疑似被攻破）；通常通过从已发布元数据（OIDC 的 JWKS 端点、SAML 元数据文档）移除，使 RP 与客户端不再识别为有效。
• 【必须】从分发移除后，退役私钥/机密密钥的所有实例被适当清除或擦除，防止未授权恢复或重用，含运营、备份与归档副本。
• 【应当】此过程尽可能自动化、为问责记录、集成到更广泛密钥生命周期流程。对临时环境，终止环境可视为密钥擦除。
• 【应当】监控对退役密钥标识符的引用，作为配置错误或试图滥用的信号。

5.2 增强项 2：身份断言与访问令牌的验证

增强项（引自 SP 800-53）：在授予对系统与信息资源的访问之前，验证身份断言与访问令牌的来源与完整性。 讨论：包括验证保护身份断言与访问令牌的数字签名，以及所包含的元数据。元数据包括关于访问请求的信息，如用户、被访问系统或信息资源、或交易本身（如时间）的唯一信息。受保护的系统与信息资源可包括互联网络、应用与 API。

签发方必须正确格式化、构造并签名断言，使 RP 能验证信息并做出知情访问决策。RP 必须在最低使用层级（域、应用、数据）评估每个令牌，确保断言或令牌代表的用户或软件具备访问其试图访问服务的适当权限。尤其重要的是验证保护断言的数字签名由正确密钥签署，并确保满足目标资源策略。

#### 5.2.1.1 断言与令牌的内容 内容因协议与机构访问需求而异，也因身份令牌（通常携带更多属性与数据）与访问令牌而异。

• 【必须】机构与 CSP 记录提供给使用机构的每种令牌与断言类型，以及其中的强制数据元素。至少包括：用于在 CSP 与使用机构系统间传递身份数据的身份令牌与断言（如联邦或 SSO）、用于连接联邦机构控制端点或服务的任何令牌、以及任何可由使用机构配置的令牌。
• 【必须】与 SP 800-63C [28] 一致，断言与令牌至少包含以下 8 项：

1. 签发者标识符（Issuer identifier）：断言或身份令牌签发者的标识符（如企业 IdP）。
2. 主体标识符或客户端标识符：断言所适用用户的标识符。
3. 受众标识符（Audience identifier）：预期消费该断言或身份令牌的一方（RP 或应用）的标识符。
4. 签发时间（Issuance time）：标示断言或令牌何时被签发的时间戳。
5. 有效时间窗（Validity time window）：此窗之外断言不能被接受为有效——用于认证用户并启动已认证会话。会话时间可通过刷新令牌与后续访问令牌延长到初始访问令牌有效期之外（见 §5.3.1.1）。
6. 断言或令牌标识符或 nonce：唯一标识该断言的值，用于防止攻击者重放先前断言。
7. 认证时间（Authentication time）：标示最后一次主认证事件发生时间的时间戳（如在企业或外部 IdP）。
8. 签名（Signature）：覆盖整个断言的数字签名或消息认证码（MAC），包含验证密钥标识符。

• 【应当】基于 OAuth 的授权令牌包含 scopes，提供应用或用户可就受保护资源采取的行动信息。可部署以支撑「同意」（向用户清晰说明某服务代表其访问什么）并实现最小权限（为令牌主体提供有限行动或授权集）。可通过丰富授权请求（rich authorization requests）[26] 进一步增强，以请求与中继细粒度授权数据。

#### 5.2.1.2 密钥作用域与用途 并非所有密钥受同等保护（如 CSP 的商业签名密钥可能与政府客户所用保护方式不同）。较低风险系统的密钥安全要求较低，因而更可能被攻破。为防止被攻破密钥在预期环境外使用，断言与身份令牌上的数字签名必须被验证为正确、且适合在目标环境使用——既防意外访问，也防蓄意或恶意行为。除隔离存储密钥与执行敏感密钥管理功能的组件外，还需考虑密钥在不同域或云租户间使用的有效性影响：未能管理密钥作用域，可能使通过某租户收集的被攻破签名密钥危及另一租户的断言与令牌。CSP 及联邦客户需确定、记录并限制密钥作用域；若预期联邦（在不同安全域间共享认证或身份数据），需在信任协议中适当捕获，以定义不同域间断言与令牌使用的预期与安全控制。

• 【必须】签名密钥被限定在合理的最低层级（单一租户、客户、客户集合），以降低密钥被攻破事件的影响。
• 【必须】签名密钥被限定到特定环境（开发、测试、生产）。
• 【必须不】用于非 FedRAMP 或非联邦授权环境签名身份令牌/断言的密钥，对 FedRAMP 或联邦授权环境中的身份令牌与断言签名无效——除非在有适当信任协议的联邦情形下。
• 【必须】密钥在其定义作用域之外不可用。
• 【必须不】令牌与断言签名密钥不用于任何其他目的。
• 【必须】所有身份断言与令牌的作用域、有效性、来源与完整性，在授予访问前由 RP/资源服务器确认。
• 【必须】所有联邦场景关联一份信任协议，该协议与由 DIRA 评估、并依 SP 800-63-4 与 SP 800-63-4C 定义的 FAL 一致。
• 【必须】所有联邦请求经获批 IdP，并通过与 SP 800-63C-4 一致、基于在线服务或交易已评估 FAL 的可允许机制管理。
• 【必须】依赖访问令牌与身份断言的策略执行点（如应用层），在授予访问前确认访问令牌的有效性、作用域、来源与完整性。

5.3 增强项 3：令牌管理

增强项（引自 SP 800-53）：依据 [赋值：组织定义的识别与认证策略]，断言与访问令牌被：生成、签发、刷新、吊销、时间受限、受众受限。 讨论：访问令牌是一段数据，代表授予用户或 NPE 访问特定系统或信息资源的授权，实现对服务与资源的受控访问。妥善管理访问令牌生命周期（签发、验证、吊销）对维持数据与系统机密性至关重要。将令牌有效性限制到特定受众（如应用或安全域）、并限制有效生命周期，是重要实践。访问令牌在被攻破、丢失或不再需要时被吊销或失效，以缓解与被窃或滥用令牌相关的风险。

管理与生成实际断言与令牌的系统必须能提供额外安全能力，以改进保护。

#### 5.3.1.1 令牌刷新与有效时长

• 令牌需有时间界限、有效期短，以在被攻破时最小化暴露。
• 【应当】实施自动刷新机制，配有按令牌类型、访问作用域与使用上下文定制的到期策略。受保护资源相关风险越高，有效期应越短。
• 【必须】访问令牌与身份令牌有定义的、短的生命周期。
• 【必须】过期令牌被授权服务与策略执行点拒绝。
• 【应当】虽因不同安全特性可用性难以定出单一最低阈值，但建议访问令牌与身份令牌有效期不超过一小时。
• 【应当】鉴于使用机构用例与风险容忍度差异，CSP 使令牌有效时长可由消费者配置，并基于应用的 FISMA 系统分级与认证保障级别提供基线有效期。

表 5 风险缓解能力：

• 【必须】这些特性的可用性与有效性由 CSP 记录并呈现给消费者，以便就有效期做出有效决策。
• 无论有效期如何，实施这些能力都改进访问决策安全。【应当】CSP 提供它们，消费者在可能时实施。
• 刷新令牌实现允许服务提供者中断令牌生成，而无需承担使每个访问令牌可吊销的成本。若身份令牌与访问令牌配合刷新令牌使用，刷新令牌有效期可能更长，取决于使用上下文（移动 vs Web 应用）、用户类型（人类 vs 非人类）、被访问资源敏感度。
• 【应当】CSP 使刷新令牌有效期可由使用机构配置。
• 【应当不】用于交互式会话中人类终端用户时，刷新令牌生命周期不超过 SP 800-63B-4 [27] 定义的重新认证时间框架。与 SP 800-63B-4 裁剪实践一致，重新认证时间框架可基于会话管理补偿控制（发送方约束、持有证明、健全会话分析）而裁剪。
• 【应当】用于 API 访问、工作负载与非人类交互的刷新令牌尽可能短，并配额外控制（含攻破检测与设备注册）。
• 【应当】可能时也应用吊销与持有证明方案。
• 【应当】使用基于令牌与断言系统的 CSP 与机构实施自动令牌刷新机制，确保刷新令牌本身被安全管理、并受到期与吊销策略约束。
• 【必须】授权服务器保护刷新令牌免于被重放（如通过发送方约束或轮换）。
• 对更高保障流程，CSP 与机构可选择不实施刷新机制，而在令牌到达有效期结束时、或在某些条件下（不活动、会话时长限制）要求重新认证并重新签发。

#### 5.3.1.2 令牌吊销 无状态实现中，在有效期到期前即时且全局的令牌吊销并不总是可能。但当短生命周期访问令牌配合刷新令牌或重新认证要求时，CSP 与机构能大幅限制被攻破令牌的有效时间。

• 【必须不】IdP 与令牌服务不接受与疑似被攻破的身份令牌或断言关联的刷新令牌，除非先重新认证用户。
• 代表终端用户的被攻破身份令牌或断言，往往有许多关联的有效访问令牌；因无状态架构的分布式性质，切断给定用户所有关联访问令牌极其复杂、甚至技术上不可能。
• 【应当】在可能范围内，IdP 与令牌服务提供令牌与断言吊销能力。
• 【应当】IdP 与令牌服务提供向任何关联 RP 传播吊销状态的手段（令牌内省端点、令牌状态列表、共享信号）。
• 【必须】若此能力可用，互联 RP 拒绝已被吊销的令牌，并终止与被吊销令牌关联的活动会话。
• OpenID Foundation 的共享信号框架（SSF）[38] 与持续访问评估配置文件（CAEP）[22] 提供标准化机制，在联邦伙伴及互联 IdP 与 RP 间传递安全风险信号，含会话吊销信号。SSF 已获显著采用。
• 【应当】CSP 与使用机构实施会话吊销信号，以提供更强的会话终止能力。
• IETF Token Status List 规范（OAuth 工作组已采纳的活跃 Internet-Draft）[29] 与 Global Token Revocation 规范（开发中的个人 Internet-Draft）[30] 提供更快速吊销访问令牌并向互联 RP 传播当前令牌状态的额外能力。CSP 与消费者应跟踪这些演进中的标准。
• 【必须】吊销的范围与方法由 CSP 传达给使用机构，使其理解并评估与吊销事件相关的风险。
• 【必须】使用机构在与 CSP 集成时评估吊销场景的风险与影响。

#### 5.3.1.3 受众限制 确保令牌与断言仅对其关联受众有效，对保护任何间接认证系统都至关重要。

• 【必须】所有令牌与断言包含显式受众字段。
• 【必须】所有访问控制机制拒绝受众限制不正确或缺失的令牌。
• 【应当】接收到受众字段缺失或不正确的令牌/断言时，访问控制机制立即生成安全告警。
• 【必须】IdP 与令牌服务将令牌与断言作用域限制到预期操作所需的最小范围。

#### 5.3.1.4 会话监控与分析 对令牌使用的持续监控与分析，对检测攻破、强制实施上下文访问控制、支撑取证调查至关重要。

• 【必须】CSP 与消费者实施监控令牌与断言使用模式的能力，可包括评估地理位置、设备数据与速度异常。
• 【应当】这些能力支持将令牌与断言（或其底层身份）关联到跨企业或 CSP 服务所采取的行动。
• IdP、令牌服务与访问管理工具应实施提供共享信号的手段，以丰富会话管理与访问决策终止。OpenID CAEP 支持众多信号用于在互联 IdP 与 RP 间、跨多云环境传递安全事件数据，应予实施以改进整体会话风险管理能力。
• 将此信息与其他安全机制集成也至关重要，使其能与不同层级的事件与威胁数据关联。
• 【必须】令牌与断言使用数据以可被 SIEM 软件消费的格式提供，并在适当时供 UEBA、CNAPP 及其他安全机制使用。

#### 5.3.1.5 令牌保护（防泄露）

• 【必须】所有令牌被严格保护，免于在系统日志、CI/CD 流水线及相关构建或部署产物中暴露。
• 【必须】令牌专门存储在满足或超过其适用影响级别所定义要求的获批安全存储机制中。
• 任何存储或传输构建输出、执行追踪或调试信息的位置本质上高风险，且常对开发者、自动化系统或第三方集成广泛可访问。令牌出现在日志或流水线产物中时，可能被无意捕获、转发、或保留远超预期时间，创造未授权重用机会。
• 【必须】流水线仅通过机密管理系统检索机密、在运行时临时注入、并确保绝不被写入日志、控制台输出、缓存目录或产物存储。
• 任何检测到的令牌暴露都应被视为安全事件，并按企业事件响应程序修复。

#### 5.3.1.6 工作负载保护

• 【必须】工作负载身份（含非个人实体、自动化服务、机器对机器流程）使用紧密限定作用域、短生命周期的令牌，且仅通过获批的企业身份平台签发。
• 【应当】可行时使用发送方约束机制（mTLS、DPoP [16][17]）。
• 纳入基于 SPIFFE 的工作负载身份可强化此模型，方法是完全消除长期静态凭证：工作负载从受信控制平面动态获取 SPIFFE Verifiable Identity Documents（SVID，如 SVID JWT）[44][45]。此方式更好对齐工作负载身份要求与本指南，促进自动轮换、密码学可验证、绑定到特定工作负载的令牌与凭证，降低冒充或被窃令牌被重放的风险。

#### 5.3.1.7 日志

• 【必须】所有组件维护令牌与断言相关事件的防篡改日志，并构造以满足 SP 800-92 [35] 与 OMB M-26-14 [36] 要求。
• 【必须】向联邦机构提供服务的 CSP 使机构能配置其服务以满足 SP 800-92 与 OMB M-26-14，包括提供关于哪些日志可用、记录了哪些数据、哪些日志与特性默认启用 vs 必须由消费者启用的信息。
• 【必须】联邦使用机构评估其可用日志能力，并应启用「非默认开启」的日志，以提供尽可能最新与详细的信息。
• 【必须不】令牌与断言本身不被存储在日志中。
• 【必须不】令牌中包含的 PII 或个人数据不被存储在日志中。

表 6 建议记录的日志数据元素：

• 【必须】CSP 记录与联邦消费者可用的令牌与断言相关数据。
• 【应当】CSP 通过程序化机制提供此信息。
• 【应当】CSP 与使用机构考虑实施开源日志模式与框架（Open Cybersecurity Schema Framework、OpenTelemetry、Elastic Common Schema），以支撑更一致、可互操作的日志数据。

六、威胁与攻击（第 6 章，表 7）

基于令牌与断言的系统（SSO、联邦、API 访问）虽支撑规模化现代基础设施，但要求多种基础设施技术间复杂协调，并依赖保护支撑这些技术间信任的组件——包括支撑令牌与断言完整性与有效性的底层密码能力，以及这些结构的内容。下表汇总五类威胁及其缓解措施（括号为报告章节交叉引用，沿用报告写法）。它不是对某一特定事件的分析，也不是针对所涉众多设备与端点威胁（恶意软件、被攻破端点、内部威胁）的全面保护集。

七、其他考量（第 7 章）

7.1 CSP 与消费者之间的安全集成与配置：消费者应利用安全的预定义配置增强 IAM 与机密管理态势，共七项——模板与设计模式（用 CSP 预定义模板或经验证的 IAM 策略模式简化复杂性、消除配置错误）；互操作性配置文件（用社区维护的 IAM 互操作性与安全技术配置文件及用户配置与访问评审能力简化跨多 CSP 互操作）；定制化缓解（按安全、可用性与互操作性需求配置云服务）；端点限制（将 API 端点限制到已知受信来源如 VPN、IP 允许列表，以保护非人类身份）；常规测试（定期访问评审与红队演练）；持续教育（为开发与平台团队提供持续教育）；自动化合规（用 CSP 工具持续评估策略，发现配置错误或作用域不当）。

7.2 令牌与断言的传递方式：前信道——断言或令牌经用户代理（如浏览器）或客户端从 IdP 传递到 RP，暴露于终端用户环境，增加泄漏、拦截或篡改风险；令牌加密或发送方约束可缓解部分风险，但前信道传递不推荐用于高风险用例；OAuth [43] 部署应遵循最佳实践实施 PKCE、精确重定向 URI 匹配、签发者验证。后信道——资源服务器直接从授权服务器获取令牌而非通过客户端：授权服务器先铸造令牌，再向客户端提供临时引用，客户端将引用交给资源服务器以检索令牌；此方式显著降低令牌暴露于泄漏、拦截与注入的风险，并提供检测伪造令牌的机会；类似方式可用于从 IdP 向 RP 传递断言。

7.3 令牌与断言加密：在传输层保护（如 TLS）之外是否需要加密载荷，取决于所含声明的敏感度及传输与存储中的暴露风险。【应当】包含个人信息或特权访问指示符（角色、组成员、管理员标志）的令牌与断言，在签发方与受保护资源（或 RP）之间进行载荷级加密，尤其当通过潜在不受信环境（浏览器重定向、移动客户端）传递时。即使个人信息未显式存在，未加密令牌仍可能暴露元数据（用户名、邮箱地址、签发者标识符、作用域）使对手能侦察——例如含邮箱地址或角色声明的未加密访问令牌，可能帮助攻击者识别值得钓鱼或冒充的管理员账户。【应当】机构评估载荷敏感度及其经日志、浏览器或客户端存储、重定向而泄漏或被拦截的暴露情况；在暴露可能促进权限提升、用户定向或跨租户泄漏的上下文中，应考虑 JSON Web Encryption（JWE） 或 SAML Encrypted Assertions。

7.4 FAL3 断言：某些高风险场景中，RP 可能选择不依赖联邦伙伴甚至企业 IdP 的间接认证，而是利用断言与令牌配置用户（IdP 断言的属性）同时独立认证他们。SP 800-63C 提供两种在 FAL3 实现的手段：持有者密钥（HoK）断言（含可由 RP 独立验证的认证器唯一标识符，如订阅者控制的证书公钥、智能卡认证的双向 TLS）；RP 绑定认证器（绑定到 RP 订阅者账户并由 RP 管理，可由 RP 或订阅者提供，如硬件安全密钥）。因 FAL3 呈现高摩擦体验，即使高保障场景中也预期不会为多数用例部署，但仍是特定资源在风险升高时的可行选项——或当 RP 信任外部域的用户属性准确性、却因令牌被窃或伪造风险升高而对 IdP 认证缺乏信心时。【应当】若机构风险评估表明需要增强保护，CSP 向使用联邦机构提供此能力。

7.5 设备绑定会话凭证（DBSC）：Device-Bound Session Credentials [37] 是旨在防范 Cookie 与会话劫持的新兴技术。协议用设备上的安全飞地（secure enclave）生成 JWT，配与用户设备关联的公私钥对，随后与浏览器共享，在该特定设备与「用户同浏览器及特定 Web 应用交互的会话」之间创建强绑定，确保会话未转移到新的可能被攻破设备或已攻破会话 Cookie/访问令牌的攻击者；可用于延长浏览器工作流中访问令牌的会话时间或有效期。

7.6 风险与共享信号框架：由数据结构与协议组成，能在联邦或 SSO 方案的不同参与方间传递事件信息（如密码重置、账户被攻破），以限制安全事件影响。协议如 OpenID Foundation 的 Shared Signal Framework [38] 改进了跨域场景安全。如 SP 800-63C 所推荐，机构与 CSP 都应考虑采纳此模型或类似模型；其价值取决于信号的及时性、准确性与信息质量，需评估风险信号能在多大程度上与吊销及验证能力集成。

7.7 后量子密码（PQC）迁移：基于令牌与断言的系统依赖公钥密码学签名与验证断言、身份令牌、访问令牌、元数据、证书及相关信任管理产物。当前使用的公钥机制——RSA、ECDSA、ECDH——易受具备密码学相关能力的量子计算机攻击。PQC 迁移既影响签发与签名令牌/断言的系统，也影响验证、消费、存储、传输或路由它们的 RP、资源服务器、网关、客户端及其他组件。FIPS 203 的 ML-KEM 规定密钥封装机制以支撑抗量子加密；FIPS 204 的 ML-DSA 规定抗量子数字签名算法。与当今许多公钥机制相比，这些算法有更大的公钥、签名与密文，影响协议设计、令牌大小、证书与元数据处理、存储、传输及硬件支撑的密钥保护。迁移进度取决于协议标准、产品支持与部署基础设施的成熟度：OIDC、OAuth、JOSE、COSE、SAML、X.509 及相关元数据与发现机制仍在更新以支持 PQC；遗留联邦系统（含某些 SAML 部署）可能不会被更新；密钥在 HSM、嵌入式密码处理器、安全元件或其他隔离执行环境中受保护或使用时，硬件也可能成为限制因素（需固件、产品、验证或架构更新）。机构与 CSP 应清点公钥密码学使用情况并评估现有令牌传递模式是否仍可行。许多 PQC 公钥与签名显著大于常用的椭圆曲线与 RSA 密钥及签名，可能给无状态访问令牌（如签名 JWT）带来挑战：浏览器 Cookie 通常限制为每个约 4 kb，越来越不适合存储或传递 PQC 签名的 JWT 访问令牌；HTTP 请求头通常也受约 8 kb 限制，可能约束声明、作用域及其他授权数据的可用空间。约束显著时，组织可能需使用更紧凑的令牌格式、后信道传递、引用令牌、令牌内省、会话状态机制、或其他避免通过受限信道反复携带大型签名对象的架构。

八、与 AI Agent 身份的关系

人工智能（AI）系统——尤其是智能体化 AI 系统（AI agents）——在许多新兴的 IAM 方案中使用签名令牌或断言。当 Agent 使用签名令牌访问系统、数据、工具或 API 时，组织应当应用本指南。

本文档并非全面解决 AI 与 AI Agent 访问风险的指南。这些风险带来了额外的 IAM 挑战，需要进一步的指南，在某些情况下还需要新的或扩展的标准与协议。本文档将这些主题排除在范围之外。NIST 与 CISA 认识到这一缺口，并将在 AI 与智能体化 AI 系统获得更广泛采用之际，持续制定实用指南。

脚注 3 指向两个后续工作：NIST CAISI 的 AI Agent Standards Initiative；NCCoE 的 Software and AI Agent Identity and Authorization 项目。要点：IR 8587 对 AI Agent 的立场是「适用但不专门」——Agent 用签名令牌访问资源时，本报告的密钥/验证/生命周期条款直接适用；但 Agent 特有的身份与授权风险被明确排除在范围外，留给上述两个项目。此外 §4.1.1 表 4「非人类身份与工作负载」与 §5.3.1.6「工作负载保护」直接适用于 Agent 这类非人类工作负载：短生命周期令牌、仅经获批企业身份平台签发、可行时用发送方约束（mTLS/DPoP）、优先 SPIFFE/SVID 以消除长期静态凭证。

九、引用的标准与文件清单

NIST：SP 800-53r5（IA-13 母目录）[1]｜SP 800-218 SSDF v1.1 [4]｜SP 800-160v1r1 Engineering Trustworthy Secure Systems [5]｜SP 800-30r1 Risk Assessments [6]｜SP 800-37r2 RMF [7]｜SP 800-63-4 Digital Identity Guidelines（IAL/AAL/FAL、DIRM/DIRA）[8]｜SP 800-63A-4 Identity Proofing [25]｜SP 800-63B-4 Authentication and Authenticator Management [27]｜SP 800-63C-4 Federation and Assertions（断言必含字段、FAL、HoK、RP 绑定认证器）[28]｜SP 800-57pt1r5 Key Management [32]｜SP 800-131Ar2 Transitioning Cryptographic Algorithms [34]｜SP 800-92 Log Management [35]｜FIPS 199 [23]｜FIPS 200 [24]｜FIPS 140-3 [33]｜FIPS 203（ML-KEM）、FIPS 204（ML-DSA）（§7.7）。

CISA / OMB / 厂商：CISA Secure by Design（2023）[3]｜CISA Advisory AA20-352A（SolarWinds）[10]｜Microsoft Analysis of Storm-0558 [11]｜CISA Hybrid Identity Solutions Guidance [12]｜OMB M-22-09 Zero Trust [31]｜OMB M-26-14 Agency Logging [36]。

IETF / OAuth / OIDC / 其他：OASIS SAML V2.0 [9][21]｜OpenID Connect Core 1.0 [13]｜RFC 6749 OAuth 2.0 [14]｜iGov Profile for OAuth 2.0 [15][18]｜RFC 8705 Mutual-TLS / Certificate-Bound Tokens [16][39]｜RFC 9449 DPoP [17][40]｜JWT Best Current Practices RFC 8725 [19][41]｜OAuth 2.0 Security BCP 更新 [20][42]｜OpenID CAEP 1.0 [22]｜RFC 9396 Rich Authorization Requests [26]｜Token Status List [29]｜Global Token Revocation [30]｜W3C Device Bound Session Credentials [37]｜OpenID Shared Signals Framework 1.0 [38]｜RFC 9700 OAuth 2.0 Security BCP [43]｜SPIFFE X.509-SVID / JWT-SVID [44][45]｜Identity Assertion JWT Authorization Grant [46]｜RFC 7519 JWT [47]｜RFC 7517 JWK [48]｜RFC 8414 Authorization Server Metadata [49]｜RFC 9068 JWT Profile for OAuth 2.0 Access Tokens [50]。

注：参考文献 URL 在 PDF 抽取中有换行断裂，上表按语义补全，编号与内容以原报告为准。附录 A 为符号与缩写表，附录 B 为术语表。

原文链接：https://csrc.nist.gov/pubs/ir/8587/final PRIMARY_SOURCE: https://csrc.nist.gov/pubs/ir/8587/final