接入 AI service

CERT_DIR="$HOME/bes-certs/ai"
mkdir -p "$CERT_DIR"
SERVICE_ACCOUNT_ID=$(uuidgen | tr A-Z a-z)
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:P-256 -nodes \
  -subj "/CN=AI" \
  -addext "subjectAltName=URI:urn:bes:service:$SERVICE_ACCOUNT_ID" \
  -addext "basicConstraints=critical,CA:FALSE" \
  -addext "keyUsage=critical,digitalSignature" \
  -addext "extendedKeyUsage=clientAuth" \
  -keyout "$CERT_DIR/ai-service-key.pem" -out "$CERT_DIR/ai-service.csr"

• SERVICE_ACCOUNT_ID 每次新生成，写进证书唯一的 URI SAN urn:bes:service:<uuid>；登记平台账号后它就是账号的 service_account_id。
• 私钥 ai-service-key.pem 放进 AI 部署的密钥存储。

前提：OpenSSL 3.0 及以上，openssl version 显示 OpenSSL 3.x。Mac 自带的 /usr/bin/openssl 是 LibreSSL，不认 -copy_extensions：先执行 brew install openssl@3，再执行 export PATH="$(brew --prefix openssl@3)/bin:$PATH"。

• 账号带 Control 的 ai-runtime 角色（role），命令输出应为 role=ai-runtime；列表不返回角色码，自动检查按显示名、product_id: null 和状态判断。
• --display-name 写 AI：测试台按这个名字找 AI 的平台账号。
• 重复执行保留同一个账号。

程序里发这个请求（id 用前面步骤返回的）：

带：证书

请求：

POST https://id.test.globalbes.sg:9443/oauth/token
Content-Type: application/x-www-form-urlencoded

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Atoken-exchange&subject_token_type=urn%3Abes%3Aparams%3Aoauth%3Atoken-type%3Achannel-identity&subject_token=whatsapp%3A6591234567&tenant_id=7c0e2a5e-3b1f-4d6a-9a53-1f2f6d0c8a11&project_id=e2f7a1c4-0d35-4b8e-a6c9-7d18f4b2a903&audience=b41d9a70-6c2e-4a0f-8e7d-52a9c3f0d614&scope=document.read

返回：

HTTP/1.1 200 OK

{
  "access_token": "<delegation_token>",
  "issued_token_type": "urn:ietf:params:oauth:token-type:jwt",
  "token_type": "Bearer",
  "expires_in": 300,
  "scope": "document.read"
}

• 样例使用 Marcus Lim 的 WhatsApp 地址 6591234567 和 BIM 产品；该地址须已在 Control 验证，且人、成员、项目与业务授权均有效。
• 同一租户、项目须有闸门产品的有效授权；Control 设置 channel_exchange_gate_product_code 默认是 ai-service。
• BIM 的 active 服务账号对应 svc-<service_account_id> 客户端须登记 deployment_version 和 document.read scope；最终 scope 还受 Marcus 的当前产品权限限制。
• 每次调产品 tools 前现换，用完即弃，不缓存令牌，不传 context_id，不需要用户令牌。channel_assurance 说明身份怎么建立；是否按它限制动作由产品决定。
• 群到项目的绑定由 会话服务 判断，不推进 Control 的 binding_version。

• 将委托令牌原样放在 Authorization: Bearer <delegation_token>，交给对应目标产品的 tools 接口。
• 每次调用前都换一张新令牌，用完即弃，exp - iat 不超过 300 秒。
• 撤权在下一次换令牌时生效；Control 按当时的人、绑定、成员关系和授权状态校验。

身份上下文的显示名称来自 identity.resolve：每项包含 tenant_name 与 project_name；租户级 project_name 为 null。示例：{product_id: "<产品 UUID>", tenant_id: "<租户 UUID>", tenant_name: "Acme Construction", project_name: null}。