控制平面铸造per-run token，基于run id和过期时间的HMAC签名，有效期30分钟，仅限单次运行。