Überlegungen zum Setup: Agent-Sicherheit
Dieses Thema kann als Entscheidungshilfe bei der Planung Ihrer Konfiguration für Agenten dienen. Darin wird Folgendes erläutert:
- Warum sie eingerichtet werden sollten.
- Wie sie sich in Workday einfügen.
- Nachgelagerte Auswirkungen und produktübergreifende Interaktionen.
- Sicherheitsanforderungen.
- Fragen und Einschränkungen, die vor der Implementierung zu berücksichtigen sind.
Worum es geht
Das Agent-Sicherheits-Framework steuert die Identität, Authentifizierung und Autorisierung von KI-Agenten in Ihrem Mandant. Im Gegensatz zu Standard-Chatbots können Agenten wichtige Aufgaben in Unternehmenssystemen ausführen, z. B. Urlaub/Abwesenheit beantragen oder Gehaltsabrechnungsinformationen abrufen. Das Framework stellt sicher, dass Agenten nach dem Kriterium der geringsten Privilegierung arbeiten und verfügt über robuste Kontrollen sowohl für eigenständige als auch für benutzergesteuerte Interaktionen.
Vorteile und Nutzen
- Verbesserte Governance: Stellt sicher, dass Agenten wie Mitarbeiter eindeutige Identitäten und auditierbare Aktivitätsprotokolle haben.
- Granulare Kontrolle: Ermöglicht es Ihnen, Agentenfunktionen basierend auf dem Ausführungsmodus einzuschränken, damit Agenten nur auf Daten zugreifen, zu deren Verarbeitung sie explizit berechtigt sind.
- Transparente Audits: Bietet eindeutige Auditprotokolle, die unterscheiden, ob ein Agent selbstständig oder im Auftrag eines Benutzers handelt.
Anwendungsfälle
- Hilfe im delegieren : Interaktive Hilfe im delegieren : Ein Benutzer bittet einen Agenten, für den nächsten Montag Urlaub zu Anforderung; Antrag . Der Agent führt die Anforderung; Antrag im Auftrag des Benutzers aus. Die Sicherheit wird basierend auf der Schnittmenge der Berechtigungen des Benutzers und der zulässigen Kenntnisse des Agenten evaluiert.
- Hintergrundverarbeitung im Umgebungsmodus: Ein Agent aggregiert automatisch Datenpools oder evaluiert Datasets basierend auf einem Zeitplan. Der Agent agiert als sich selbst und verwendet seine eigenen Sicherheitsberechtigungen ohne Eingreifen des Benutzers.
Fragestellungen
Frage | Überlegung |
|---|---|
Welchen Ausführungsmodus benötigt Ihr Agent? | Es gibt zwei verschiedene Ausführungsmodi für Agenten:
|
Wer darf mit einer bestimmten delegieren -Agent- Kenntnis interagieren und diese aufrufen? | Sie müssen eine Interaktionsrichtlinie für Agenten definieren, die angibt, welche Sicherheitsgruppen mit den Kenntnissen des Agenten interagieren können. Der aufrufende Benutzer muss in den zulässigen Sicherheitsgruppen sein, damit die Kenntnis erfolgreich Trigger werden kann. |
Wie werden Agent-Identitäten verwaltet? | Agenten erfordern eindeutige ASU-Konten (Agent System User). Ein Agent kann bis zu zwei ASUs haben: eine für den delegieren und eine für den Umgebungsmodus. |
Auf welche bestimmten Datendomänen oder Geschäftsprozess muss ein Ambient Agent zugreifen? | Die Berechtigungen eines Ambient Agent werden ausschließlich anhand der Berechtigungen des Agent System User (ASU) evaluiert. Sie müssen der erforderlich Domäne oder Geschäftsprozess Sicherheitsrichtlinie eindeutige Umgebungsagent-Sicherheitsgruppe zuweisen. |
Welche Authentifizierung muss die integrierende App wie Agent Forge unterstützen? | Für den delegieren Modus verwendet das System einen Im-Auftrag-von- Flow nach OAuth 2.0, bei dem das Alpaca-Token des Benutzers gegen ein Token für den delegierten Zugriff ausgetauscht wird. Sie müssen sicherstellen, dass die App die erforderlichen Token -Arten und Header-Anforderungen verarbeiten kann. |
Kann ich ASUs für die Verwendung mit Proxy-Konten konfigurieren? | Nein, ASUs unterstützen keine Proxy-Konten. |
Empfehlungen
- Halten Sie sich an das Kriterium der geringsten Berechtigung. Fördermittel Agenten nur den minimalen Zugriff auf Domänen und Geschäftsprozesse, die für ihre spezifischen Kenntnisse erforderlich sind .
- Verwenden Sie für jeden Modus separate ASUs. Stellen Sie sicher, dass jeder Agent unterschiedliche Konten für die delegieren und die Umgebungsausführung hat, um Verwirrung bei Autorisierung und Auditierung zu vermeiden.
- Prüfen Sie den Bericht Sicherheitsanalysebericht. Verwenden Sie diesen Bericht, um die Konfigurationen der Domäne und Geschäftsprozess-Sicherheitsrichtlinie für Ihre Agent-Kenntnisse anzuzeigen.
- Audit-Trail-Prüfung: Prüfen Sie das Auditprotokoll regelmäßig auf Agent-Aktionen. Das Protokoll unterscheidet eindeutig zwischen einem „Ambient Agent“, der allein agiert, und einem delegieren -Agenten, der im Auftrag eines bestimmten Benutzers handelt.
Anforderungen
- Definieren Sie die Sicherheitsrichtlinien und aktivieren Sie die Kenntnisse des Agenten im Agent System of Record (ASOR), um einen Agent-Systembenutzer (ASU) und seine Zugangsdaten zu generieren.
- Die generierte ASU und der zugehörige OAuth- Client sind standardmäßig deaktiviert. Sie müssen einen Agenten aktivieren, um den Agenten zur Verwendung zu aktivieren.
- Beim delegieren Agent-Modus muss der Benutzer, der die Anforderungen stellt, Sicherheitszugriff auf die zugrunde liegenden Agent-Tools und -Aufgaben haben.
Einschränkungen
- Anforderung von doppelter Identität: Ein Agent, der sowohl im delegieren als auch im Umgebungsmodus ausgeführt werden muss, muss für jeden Ausführungsmodus separate ASU-Konten und Zugangsdaten konfiguriert haben.
- Schlüsselmanagement: Während ASOR die Erstellung und sichere Speicherung der Client Zugangsdaten (privater Schlüssel) im Speicher der Zugangsdaten übernimmt, müssen Sie sicherstellen, dass Ihre Sicherheitsumgebung den Token-Austauschprozess OAuth 2.0 unterstützt , der dieses Schlüsselpaar verwendet.
Mandanten-Setup
NA
Sicherheit
Sicherheitsgruppen, die Agenten verwalten, benötigen
"Anzeigen
"- und "Ändern
"-Zugriff auf Berichts-/Aufgabenberechtigungen, um Agent-Aufgaben anzuzeigen und auszuführen, sowie Put-
Zugriff auf Integrationsberechtigungen, um Agent- Konfiguration zu Transfer .Domänen | Überlegungen |
|---|---|
Manage: Agents
| Diese Domäne bietet Zugriff auf Setup-Aufgaben und -Aktivitäten für das Agent System of Record (ASOR). |
Setup: Agents
| Gewährt Zugriff auf Aufgaben zur Konfiguration, Aktivierung und Deaktivierung von Agenten. |
Agent Management Hub
| Bietet Zugriff auf den zentralen Hub zum Anzeigen und Verwalten aller Agenten. |
Reports: AI Agent Security
| Bietet Zugriff auf den neuen Bericht View AI Agent User Audit Trail . |
Reporting
- View Security for Agent Skill: Zeigt die Konfiguration der Domäne und Geschäftsprozess-Sicherheitsrichtlinie für Agent-Kenntnisse an. Sie können auf diesen Bericht in den möglichen Aktionen für eine Agent Kenntnis zugreifen.
- Audit-Trail für KI-Agentenbenutzer anzeigen: Zeigt die Benutzeraktivität an, wobei zwischen "Nach Benutzer" und "Im Auftrag von Benutzer" unterschieden werden kann. Sie können diese/n in den möglichen Aktionen eines Agenten und als eigenständige Aufgabe öffnen.
Beziehungen und Touchpoints
Das Agent-Sicherheits-Framework betrifft folgende zentrale Bereiche von Workday:
Features | Überlegungen |
|---|---|
Konfigurierbare Sicherheit von Workday | Agent-Berechtigungen basieren vollständig auf Domäne und Geschäftsprozess Sicherheitsrichtlinien und -Sicherheitsgruppen, die steuern, wer auf gesichert Elemente zugreifen kann. |
Agent System of Record (ASOR) | ASOR verwaltet die Definition und Konfiguration von Agenten und fungiert als Stammdatensystem für Agent-Sicherheitsrichtlinien und Referenz-IDs von Zugangsdaten. |
OAuth 2.0-Authentifizierung | Der Authentifizierung verwendet OAuth für den Token -Austausch im Auftrag von im delegieren -Modus. |
Workday REST-APIs | Der Agentenzugriff auf Workday -Daten erfolgt über REST-API Endpunkte, die über bestimmte Domänen oder Geschäftsprozess Sicherheitsrichtlinien gesichert sind. |
Workday bietet ein Touchpoints Kit mit Ressourcen, die Ihnen helfen, die Konfigurationsbeziehungen in Ihrem Mandanten besser zu verstehen. Weitere Informationen zum Workday Touchpoints Kit finden Sie in der Workday Community.