Voor AI- & platformteams

Breng agents naar productie zonder geleende identiteiten.

Je eerste agents en MCP-toolservers gaan live. HelixIAM geeft elk ervan een eigenaar, een levenscyclus en gedelegeerde bevoegdheid die alleen kleiner wordt — op je Kubernetes, naast de IdP die je al hebt.

Plan een technische demo Vraag een sandbox aan

token exchange · RFC 8693200 OK

Verzoek · agent handelt namens alice

POST /realms/acme/oauth2/token
grant_type=urn:ietf:params:oauth:grant-type:token-exchange
subject_token=eyJ…  # alice
actor_token=eyJ…  # agent: invoice-assistant
scope=invoices:read

Uitgegeven access token · gedecodeerd

{
  "sub": "alice",
  "act": { "sub": "agent:invoice-assistant" },
  "scope": "invoices:read",
  "aud": "https://api.acme.example/invoices",
  "iss": "https://id.acme.example/realms/acme"
}

actDe agent staat in elk token; de gebruiker blijft het subject.
scopeDe bevoegdheid wordt beperkt tot wat de agent nodig heeft. Nooit ruimer.
ownerSchort de agent op en hij krijgt geen nieuwe tokens meer.

Illustratieve waarden · RFC 8693 token exchange

Wat agentprojecten vandaag blokkeert

Gedeelde sleutels en gekopieerde tokens

Agents draaien op gedeelde API-sleutels of tokens van mensen, dus niemand kan zeggen wie dit deed, of voor wie.

Er niet één kunnen stoppen

Eén agent stoppen betekent een sleutel roteren waar andere systemen van afhangen.

Secrets in pipelines en pods

Langlevende credentials in CI en Kubernetes zijn een auditbevinding in wording.

Wat je krijgt

Verantwoordelijke agents

Elke agent heeft een eigenaar en levenscyclus; agents waarvan de eigenaar is vertrokken, worden gemarkeerd.

Gedelegeerde tokens leggen gebruiker en agent vast
Bevoegdheid wordt alleen kleiner
Schort een agent op en hij krijgt geen nieuwe tokens meer

Workloads zonder secrets

Kubernetes- en CI-workloads ruilen hun platformtoken in voor een kortlevend HelixIAM-token.

Geen langlevende secrets
Gekoppeld aan applicatierollen
Sender-constrained tokens met DPoP

Een audittrail per agent

Elk agent-token dat wordt uitgegeven of geweigerd, direct of gedelegeerd, plus wijzigingen in de levenscyclus en beheeracties, in een doorzoekbaar auditlog; de uitgifte van workload-tokens wordt ook geaudit.

Via HTTPS naar je SIEM
HMAC-ondertekende webhooks
Klaar voor MCP (RFC 9728)

Vragen

Moeten we onze identity provider vervangen?

Nee. Mensen loggen in via je bestaande IdP en worden via OpenID Connect of SAML naar HelixIAM doorgekoppeld; HelixIAM beheert agents en workloads.

Hoe werkt een pilot?

Een betaalde pilot draait op je eigen Kubernetes, met vooraf afgesproken succescriteria en aan het eind een productieplan.

Early access/we nemen nu launch partners aan boord

Zie het op een draaiend systeem.

Begin met een technische demo en een betaalde pilot op je eigen use case, en werk direct samen met de engineers die HelixIAM bouwen.

Plan een technische demo Bekijk de ontwikkelaarsdocumentatie