Concept : sécurité des agents

Agent Security garantit que les agents IA opèrent en toute sécurité au sein de votre entreprise en leur affectant des identités uniques, une authentification robuste et des contrôles d'autorisation précis. La sécurité des agents régit la façon dont les agents interagissent avec les données et effectuent des tâches, en respectant le principe du minimum de privilège.

Lorsque vous gérez le cycle de vie et la définition de vos agents dans l'agent Système d'enregistrement (ASOR), Agent Security détermine leur comportement au moment de l'exécution.

La structure de sécurité des agents contribue à deux modes d'exécution des agents distincts :

Mode délégataire : agit pour le compte d'un utilisateur. Exemple : un utilisateur délégue à l'agent la tâche de demander un jour d'absence pour une date spécifique.

Mode ambigu : agit de manière autonome en fonction d'un déclencheur ou d'un calendrier événement . Bien qu'un agent ne soit pas entièrement autonome, il fonctionne de manière indépendante pour effectuer des tâches en arrière-plan, telles que l'agrégation de viviers de données ou la réponse à des déclencheurs événement .

Identité de l'agent : utilisateur système (ASU)

À l'instar des utilisateurs du système d'intégration (ISU), les agents utilisent des comptes Utilisateur système agent (ASU). Pour garantir un contrôle impartial sur ce à quoi l'agent peut accéder et pour assurer la transparence des audits, chaque agent a une identité unique ou un compte utilisateur.

Identité unique : chaque agent dispose d'un compte ASU unique.

Spécifique du mode : un agent peut avoir jusqu'à 2 ASU ; 1 pour l'exécution déléguer et l'exécution d'environnement client. Chaque ASU aura un client OAuth 2.0 spécifique.

Management : le système génère et gère automatiquement les ASU lorsque vous configurez les aptitudes dans l'Agent Système d'enregistrement. Exemple : l'activation d'une aptitude d'environnement client déclenche la création de l'ASU requise.

Création et enregistrement d'un ASU

Le processus de création de l'ASU s'effectue en parallèle avec la configuration de l'agent et l'activation des aptitudes dans ASOR.

Génération ASU : lorsqu'un administrateur active des aptitudes pour un agent, ASOR crée automatiquement un ASU dédié ou un ASU ambigu pour cet agent en cas de désactivation. Lorsque l'agent est activé, les ASU associés sont automatiquement activés.

Client OAuth et paire de clés : un client OAuth est généré et joint à un ASU. Une paire de clé privée est créée et la clé publique est enregistrée avec le serveur d'autorisation Workday . L'ASU se voit alors attribuer la aptitude de s'authentifier et d'effectuer les tâches définies dans ses aptitudes.

Stockage d'identifiants : ASOR stocke en toute sécurité les identifiants clients , y compris la clé privée, dans le magasin d'identifiants. Un code de référence unique est ensuite stocké dans ASOR en tant que pointeur vers ces identifiants de paire de clés, qui sont utilisés pour générer des jetons ASU échangés avec le jeton utilisateur pour un ASU délégué, plutôt que pour les identifiants client OAuth 2.0.

Comparaison des modes de sécurité

Fonctionnalité	Mode délégataire	Mode ambigu
Cas d'utilisation principal	Tâches interactives. Exemple : demander une absence pour vous-même.	Tâches en arrière-plan. Exemple : agrégation de données.
Identité utilisée	Combinaison entre l'utilisateur et l'agent ASU.	Agent ASU uniquement.
Authentification	L'agent utilise l'OAuth 2.0 pour le flux Pour le compte d'une autre unité légale.	L'agent s'authentifie en tant qu'ASU existantes, sans intervention de l'utilisateur.
Logique d'autorisation	Le système évalue la sécurité en fonction de l'intersection des autorisations de l'utilisateur et des aptitudes autorisées de l'agent.	Le système évalue la sécurité uniquement en fonction des autorisations de l'agent.
Configuration	Règle d'interaction avec l'agent : définit qui peut interagir avec les aptitudes spécifiques de l'agent.	Règle de sécurité de domaine : définit ce à quoi l'agent peut accéder.
Groupes de sécurité	L'utilisateur doit faire partie des groupes de sécurité autorisés pour l'aptitude pour pouvoir l'appeler.	Lorsqu'une aptitude est activée, un groupe de sécurité d'agent ambigu est généré et doit être affecté aux règles de sécurité du domaine ou du processus de gestion appropriées.
Journal d'audit	Enregistre la transaction comme étant effectuée par l'agent en tant qu'utilisateur et l'utilisateur en tant que Pour le compte de l'utilisateur .	Le journal d'audit indique l'agent ASU comme étant l' utilisateur .

Éléments à prendre en compte lors de l'implémentation

Workday fournit un rapport Analyse de la sécurité
pour les configurations des règles de sécurité des domaine et des règle de sécurité du processus de gestion pour les aptitudes de l'agent. Ce rapport vous aide à identifier les configurations de sécurité nécessaires pour vos agents.