Pour les équipes IA & plateforme

Mettez des agents en production sans identités empruntées.

Vos premiers agents et serveurs d'outils MCP arrivent en production. HelixIAM donne à chacun un propriétaire, un cycle de vie et des droits délégués qui ne font que se réduire — sur votre Kubernetes, à côté de votre IdP actuel.

Réserver une démo technique Demander un environnement d'essai

token exchange · RFC 8693200 OK

Requête · agent agissant pour alice

POST /realms/acme/oauth2/token
grant_type=urn:ietf:params:oauth:grant-type:token-exchange
subject_token=eyJ…  # alice
actor_token=eyJ…  # agent: invoice-assistant
scope=invoices:read

Jeton d'accès émis · décodé

{
  "sub": "alice",
  "act": { "sub": "agent:invoice-assistant" },
  "scope": "invoices:read",
  "aud": "https://api.acme.example/invoices",
  "iss": "https://id.acme.example/realms/acme"
}

actL'agent est nommé dans chaque jeton ; l'utilisateur reste le sujet.
scopeLes droits se réduisent à ce dont l'agent a besoin. Ils ne s'élargissent jamais.
ownerSuspendez l'agent : il n'obtient plus de nouveaux jetons.

Valeurs d'illustration · échange de jetons RFC 8693

Ce qui bloque aujourd'hui les projets d'agents

Clés partagées et jetons copiés

Les agents utilisent des clés d'API partagées ou des jetons humains : personne ne peut dire qui a fait quoi, ni pour qui.

Impossible d'en arrêter un seul

Arrêter un agent impose de faire tourner une clé dont d'autres systèmes dépendent.

Des secrets dans les pipelines et les pods

Les identifiants durables en CI et dans Kubernetes finissent en constat d'audit.

Ce que vous obtenez

Des agents responsables

Chaque agent a un propriétaire et un cycle de vie ; les agents dont le propriétaire est parti sont signalés.

Les jetons délégués enregistrent l'utilisateur et l'agent
Les droits ne font que se réduire
Suspendez un agent : il n'obtient plus de nouveaux jetons

Des workloads sans secret

Les workloads Kubernetes et CI échangent le jeton de leur plateforme contre un jeton HelixIAM de courte durée.

Aucun secret durable
Liés aux rôles d'une application
Jetons liés à l'expéditeur (DPoP)

Une piste d'audit par agent

Chaque jeton d'agent émis ou refusé, direct ou délégué, ainsi que les changements de cycle de vie et les actions d'administration, dans un journal d'audit consultable ; l'émission des jetons de workloads est aussi auditée.

Transmission à votre SIEM en HTTPS
Webhooks signés HMAC
Prêt pour MCP (RFC 9728)

Questions

Devons-nous remplacer notre fournisseur d'identité ?

Non. Les personnes continuent de se connecter via votre IdP actuel et sont fédérées vers HelixIAM via OpenID Connect ou SAML ; HelixIAM gouverne les agents et les workloads.

Comment se déroule un pilote ?

Un pilote payant s'exécute sur votre propre Kubernetes, avec des critères de réussite convenus au départ et un plan de mise en production à la fin.

Accès anticipé/ouvert aux partenaires de lancement

Voyez-le sur un système en fonctionnement.

Commencez par une démo technique et un pilote payant sur votre propre cas d'usage, en travaillant directement avec les ingénieurs qui construisent HelixIAM.

Réserver une démo technique Consulter la documentation développeur