Human integration guide
需要管理身份设置时返回用户管理中心，进入对应身份域自己的管理页面。实施身份接入时，先判断谁在登录或调用、目标是什么，以及需要证明哪一种身份；门户不是通用登录或统一 Issuer。
同一个应用可以包含多种调用链。每条调用链分别选择 User Center 身份域或外部治理转交，不合并主体、令牌或会话。
| 场景 | 应接入 | 当前状态 |
|---|---|---|
| 企业成员登录内部应用 | Workforce Identity | 公网契约一致性已验收，可申请仿真联调 |
| 后台系统调用其他受保护资源 | 系统治理控制面（User Center 外） | User Center 不提供此类接入；转交外部系统治理 |
| Agent 使用自己的身份执行 | Agent Identity | 仿真身份服务可接入，目标业务端到端待验收 |
| 企业外部客户登录外部应用 | Customer Identity | 已延期，当前不可接入 |
总指南只负责选择和交接。选定 User Center 身份域或外部治理目标后，再以对应部署发布的真实接入契约为实施依据。
企业成员
适用场景：企业成员登录内部应用
只确认企业成员身份、active 状态和组织岗位资料；目标应用自行决定账号资格、权限申请、审批和业务授权。Contract 3.0 与公网 Discovery 的精确能力复验已经通过；具体应用仍须取得管理员登记的 Client 与获批 Scopes，并完成自己的真实登录和业务验收。
机器与系统调用关系
适用场景：后台系统调用其他受保护资源
机器主体、系统凭据和系统调用关系不在 User Center 提供；统一转交独立系统治理控制面，当前承接仓库、负责人和可实施契约尚未确定。
拥有自身凭证的 Agent
适用场景：Agent 使用自己的身份执行
维护 Agent、唯一父级、凭证生命周期、固定目标访问授权和每次父级调度产生的 Agent Execution。仿真实例的 HTTPS TLS、公开 Metadata/JWKS/接入指南、管理来源限制和真实 Workforce 父级登录均已验收；目标业务端到端尚未验收，接入方仍须完成真实 Agent 登记、私钥断言换证、目标验签、父级业务权限与低风险白名单交集、双端审计和业务流程验收。
企业外部客户
适用场景：企业外部客户登录外部应用
未来为多个外部应用提供稳定客户身份和客户统一登录；当前没有运行时或 Issuer。
| 业务场景 | 身份组合 |
|---|---|
| 普通内部应用 | Workforce Identity |
| 后台系统调用其他受保护资源 | 系统治理控制面（User Center 外，当前无可实施契约） |
| 后台服务调用普通受保护应用 | 系统治理控制面（User Center 外，当前无可实施契约） |
| 企业成员显式触发自己的 Agent | Workforce Identity + Agent Identity（仿真身份服务可接入；目标业务链路需单独验收） |
| 系统定时或事件驱动 Agent | 外部系统治理控制面 + 未来 Agent 契约（当前不支持） |
| 同时服务员工与外部客户 | Workforce Identity + 未来的 Customer Identity，身份保持独立 |