AI-agents & niet-menselijke identiteit

Elke agent krijgt een identiteit, een eigenaar en grenzen.

Geef elke AI-agent een eigen identiteit met een eigenaar en een levenscyclus. Agents handelen namens gebruikers met bevoegdheden die alleen kleiner worden.

Plan een technische demo HelixIAM AI Identity

Wat je krijgt

Een identiteit per agent

Geen gedeeld serviceaccount: elke agent wordt geregistreerd met een verantwoordelijke eigenaar, eigen rollen en een vervaldatum.

Levenscyclus: actief, opgeschort, verlopen, ingetrokken
Agents waarvan de eigenaar is vertrokken, worden gemarkeerd voor controle
Elk agent-token, uitgegeven of geweigerd, direct of gedelegeerd, in het doorzoekbare auditlog

Delegatie namens de gebruiker

Standaard OAuth token exchange (RFC 8693): het token bevat de gebruiker als subject en de agent als actor.

Bevoegdheid is de doorsnede van gebruiker en agent
Beperkt tot de gevraagde scope en audience
Leesbaar voor elke OAuth-bewuste resource server

Opschorten en inperken

Schort een agent op en hij krijgt geen nieuwe tokens; resource servers die introspectie gebruiken, zien de intrekking direct.

Kortlevende tokens met beperkte audience
Opschorten, heractiveren of intrekken via console of API
Klaar voor MCP: protected-resource metadata (RFC 9728)

Zo ziet een gedelegeerd token eruit.

De agent ruilt het token van de gebruiker in voor een token met beide namen en een beperkte scope.

token exchange · RFC 8693200 OK

Verzoek · agent handelt namens alice

POST /realms/acme/oauth2/token
grant_type=urn:ietf:params:oauth:grant-type:token-exchange
subject_token=eyJ…  # alice
actor_token=eyJ…  # agent: invoice-assistant
scope=invoices:read

Uitgegeven access token · gedecodeerd

{
  "sub": "alice",
  "act": { "sub": "agent:invoice-assistant" },
  "scope": "invoices:read",
  "aud": "https://api.acme.example/invoices",
  "iss": "https://id.acme.example/realms/acme"
}

actDe agent staat in elk token; de gebruiker blijft het subject.
scopeDe bevoegdheid wordt beperkt tot wat de agent nodig heeft. Nooit ruimer.
ownerSchort de agent op en hij krijgt geen nieuwe tokens meer.

Illustratieve waarden · RFC 8693 token exchange

Zie een agent namens een gebruiker handelen — en stop hem.

Plan een technische demo van HelixIAM AI Identity.

Plan een technische demo HelixIAM AI Identity