Konzept: Agent-Sicherheit

Die Agent-Sicherheit gewährleistet, dass KI-Agenten in Ihrem Unternehmen sicher arbeiten, indem sie ihnen eindeutige Identitäten, eine robuste Authentifizierung und detaillierte Autorisierungskontrollen zuweist. Die Agent-Sicherheit regelt, wie Agenten mit Daten interagieren und Aufgaben ausführen, wobei das Kriterium der geringsten Rechte gilt.

Während Sie den Lebenszyklus und die Definition Ihrer Agenten im Agent System of Record (ASOR) verwalten, bestimmt die Agent-Sicherheit ihr Laufzeitverhalten.

Das Sicherheits-Framework für Agenten unterstützt zwei verschiedene Ausführungsmodi:

Stellvertreter-Modus: Handeln im Auftrag eines Benutzers. Beispiel: Ein Benutzer delegiert an den Agenten die Aufgabe , einen Urlaub für ein bestimmtes Datum zu beantragen.

Umgebungsmodus: Autonome Aktionen basierend auf einem Trigger oder Zeitplan. Auch wenn ein Agent nicht vollständig eigenständig ist, agiert er selbstständig und führt Hintergrundaufgaben aus, z. B. das Aggregieren von Datenpools oder das Reagieren auf Ereignis -Trigger.

Agent-ID: Agent-Systembenutzer (ASU)

Ähnlich wie bei Integrationssystembenutzern (ISUs) verwenden Agenten Agent-Systembenutzerkonten (ASUs). Um zu gewährleisten, dass eine eindeutige Kontrolle darüber besteht, auf welche Elemente der Agent zugreifen kann, und um Transparenz für Audits zu bieten, hat jeder Agent eine eindeutige Identität bzw. ein Benutzerkonto.

Eindeutige Identität: Jeder Agent hat ein eindeutiges ASU-Konto.

Modusspezifisch: Ein Agent kann bis zu zwei ASUs haben. Je einer für die delegieren und die Umgebungsausführung. Jeder ASU erhält einen bestimmten OAuth 2.0- Client.

Management: Das System generiert und verwaltet ASUs automatisch, wenn Sie Kenntnisse im Agent System of Record konfigurieren. Beispiel: Die Aktivierung einer Kenntnis triggert die Erstellung der erforderlichen Umgebungs-ASU.

Erstellung und Registrierung von ASU

Der Prozess zur Erstellung von ASU findet zusammen mit der Konfiguration und der Aktivierung von Kenntnis des Agenten in ASOR statt.

ASU-Generierung: Wenn ein Administrator Kenntnisse für einen Agenten aktiviert, erstellt ASOR automatisch einen delegierten ASU oder Umgebungs-ASU für diesen Agenten im deaktivierten Status. Wenn der Agent aktiviert ist, werden die zugehörigen ASUs automatisch aktiviert.

OAuth-Client und Schlüsselpaar: Ein OAuth- Client wird generiert und an eine ASU angehängt. Ein privater Schlüssel wird erstellt und der öffentlicher Schlüssel wird beim Workday Autorisierungsserver registriert. Dem ASU wird dann die Fertigkeit gewährt, Aufgaben, die in seinen Kenntnissen definiert sind, zu authentifizieren und auszuführen.

Speicher von Zugangsdaten: ASOR speichert die Client Zugangsdaten, einschließlich des privater Schlüssel, sicher im Credential Store. Eine eindeutige Referenz-ID wird dann in ASOR als Zeiger auf die folgenden Schlüsselpaar- Zugangsdaten () gespeichert, die zum Generieren von ASU-Token verwendet werden, die zusammen mit dem Benutzer Token für einen delegierten ASU () und nicht für die OAuth 2.0- Client Zugangsdaten ausgetauscht werden.

Vergleich der Sicherheitsmodi

Feature	Stellvertretermodus	Umgebungsmodus
Primärer Anwendungsfall	Interaktive Aufgaben. Beispiel: Beantragen Sie Urlaub/Abwesenheit für sich selbst.	Hintergrundaufgaben. Beispiel: Datenaggregation.
Verwendete Identität	Kombination aus Benutzer- und Agent-ASU.	Nur Agent ASU.
Authentifizierung	Der Agent verwendet OAuth 2.0 für den Im-Auftrag-von-Fluss.	Der Agent authentifiziert sich als Umgebungs-ASU ohne Einbeziehung des Benutzers.
Autorisierungslogik	Das System evaluiert die Sicherheit basierend auf der Schnittmenge der Benutzerberechtigungen und der zulässigen Kenntnisse des Agenten.	Das System evaluiert die Sicherheit ausschließlich anhand der Berechtigungen des Agenten.
Konfiguration	Interaktionsrichtlinie für Agenten: Definiert, wer mit den spezifischen Agent-Kenntnissen interagieren kann.	Domänen-Sicherheitsrichtlinie: Definiert, worauf der Agent zugreifen kann.
Sicherheitsgruppen	Der Benutzer muss in den zulässigen Sicherheitsgruppen sein, damit die Kenntnis sie aufrufen kann.	Wenn eine Kenntnis aktiviert wird, wird eine eindeutige "Ambient Agent"-Sicherheitsgruppe generiert, die der relevanten Domäne oder den Geschäftsprozess Sicherheitsrichtlinien zugewiesen werden muss.
Auditprotokoll	Workday erfasst die Transaktion, die vom Agenten ausgeführt wurde, als Von Benutzer und den Benutzer als Im Auftrag von Benutzer .	Das Auditprotokoll zeigt den Agenten als Nach Benutzer an.

Überlegungen zur Implementierung

Workday bietet einen Bericht Sicherheitsanalyse
für die Konfigurationen der Domäne und Geschäftsprozess-Sicherheitsrichtlinie für Agent-Kenntnisse. Mithilfe dieses Berichts können Sie ermitteln, welche Sicherheitskonfigurationen für Ihre Agenten erforderlich sind.