ID-JAG
ID-JAG（Identity JWT Authorization Grant）是一种基于JWT的令牌机制，在OAuth 2.0授权流程中作为授权许可凭证使用，可同时用于企业访问控制（传递经过验证的身份声明）和AI Agent注册（处理动态实体的委托授权），支持嵌入act/may_act等声明以实现授权链可追溯
时间轴 (近 90 天)
设计身份系统时应先确认要解决的是人的访问还是Agent的行事，再决定令牌使用方式和配套基础设施
ID-JAG是一种可以直接用于OAuth 2.0授权流程的许可凭证（Grant），使资源服务器无需每次回溯到IdP重新验证
在企业访问场景中，ID-JAG承载的是一个明确、静态的主体身份，通常对应员工、服务账户或已知应用
ID-JAG可以在令牌载荷中嵌入act（actor）或may_act等声明，以标识Agent由哪个主体授权、代表哪个用户行事
企业访问场景与Agent注册场景在信任模型、生命周期管理和授权语义上存在根本差异
将静态权限模型与动态Agent策略引擎混用，极易产生权限过度授予（Over-privileged Grant）问题
ID-JAG（Identity JWT Authorization Grant，身份JWT授权许可）是一种令牌机制，同时应用于企业访问控制和AI Agent注册两个领域
ID-JAG通常建立在OAuth 2.0令牌交换（Token Exchange, RFC 8693）的基础之上
ID-JAG的流程是应用先从身份提供商获得一个身份断言，然后用该断言换取针对特定资源服务器的访问令牌，交换过程中强制执行企业授权策略
在ID-JAG模型中，企业管理员预先配置哪些应用可以访问哪些资源、在什么条件下访问以及访问范围，身份提供商基于这些预设策略签发包含授权断言的令牌
还有 2 条时间轴事件
全部知识事实 (12)
设计身份系统时应先确认要解决的是人的访问还是Agent的行事，再决定令牌使用方式和配套基础设施
50%待验证ID-JAG是一种可以直接用于OAuth 2.0授权流程的许可凭证（Grant），使资源服务器无需每次回溯到IdP重新验证
50%待验证在企业访问场景中，ID-JAG承载的是一个明确、静态的主体身份，通常对应员工、服务账户或已知应用
50%待验证ID-JAG可以在令牌载荷中嵌入act（actor）或may_act等声明，以标识Agent由哪个主体授权、代表哪个用户行事
50%待验证企业访问场景与Agent注册场景在信任模型、生命周期管理和授权语义上存在根本差异
50%待验证将静态权限模型与动态Agent策略引擎混用，极易产生权限过度授予（Over-privileged Grant）问题
50%待验证ID-JAG（Identity JWT Authorization Grant，身份JWT授权许可）是一种令牌机制，同时应用于企业访问控制和AI Agent注册两个领域
50%待验证ID-JAG通常建立在OAuth 2.0令牌交换（Token Exchange, RFC 8693）的基础之上
50%待验证ID-JAG的流程是应用先从身份提供商获得一个身份断言，然后用该断言换取针对特定资源服务器的访问令牌，交换过程中强制执行企业授权策略
50%待验证在ID-JAG模型中，企业管理员预先配置哪些应用可以访问哪些资源、在什么条件下访问以及访问范围，身份提供商基于这些预设策略签发包含授权断言的令牌
50%待验证MCP服务器在ID-JAG模型下需从被动接受访问令牌的资源端转变为企业授权体系中主动的、有验证能力的参与者
50%待验证ID-JAG是Identity Assertion Authorization Grant（身份断言授权许可）的缩写，代表将授权决策从终端用户同意行为转移到企业身份提供商集中管控之下的授权范式
50%