事件经过
在 Google Cloud 安全峰会（2026年11月5日）上，Google 宣布 Auth Manager 的代理身份现已正式发布（GA）——在 Google 管理的 IAM 治理保险库中集中管理凭据，自动化 OAuth 2.0/PKCE 流程并刷新用户委派令牌。同时，还预览了代理身份 JWT 支持，该支持签发标准 OIDC 令牌，使代理能够向 AWS、Azure、本地后端和 MCP 服务器进行认证，而无需静态的长期 API 密钥。Google 还将基于身份的 VPC Service Controls（IAM 角色）正式发布（GA），并预览了 GKE 的工作负载身份联合。
影响分析
代理凭据处理是首要的攻击面：静态 API 密钥和过度授权的 OAuth 授权可能使被攻陷的代理成为横向移动路径。正式发布（GA）的 IAM 治理凭据保险库加上短时跨云 OIDC 令牌，能直接减少自主代理的凭据窃取和授权疲劳。
适用范围
在 Gemini/Google Cloud 上运行代理或协调 AWS/Azure/MCP 跨云代理身份的安全和平台团队，应立即评估 Auth Manager 和 JWT 预览版。