Éléments de définition : sécurité des agents
Cette thème peut vous aider à prendre les bonnes décisions lors de la planification de la configuration de la sécurité des agents. Elle explique :
- Pourquoi effectuer cette configuration.
- Comment cette configuration s'intègre dans Workday.
- Les impacts en aval, ainsi que les interactions entre produits.
- Les exigences de sécurité.
- Les questions à se poser et les limites à prendre en compte avant l'implémentation.
Présentation
La structure de sécurité des agents régit l'identité, authentification et l'autorisation des agents IA au sein de votre environnement client. Contrairement aux chatbots standard, les agents peuvent exécuter des tâches importantes dans les systèmes d'entreprise, comme demander des absences ou récupérer des informations sur des chèques de paie. La structure garantit que les agents opèrent selon le principe du minimum, avec des contrôles robustes pour les interactions autonomes et orientées utilisateur.
Avantages pour l'entreprise
- Gouvernance améliorée : garantit que les agents, comme les employés, ont des identités uniques et des journaux d'activité pouvant être audités.
- Contrôle granulaire : vous permet de limiter les fonctionnalités des agents en fonction du mode d'exécution, afin que les agents accèdent uniquement aux données qu'ils sont explicitement autorisés à traiter.
- Audits transparents : fournit des pistes d'audit claires qui distinguent lorsqu'un agent agit de manière autonome ou pour le compte d'un utilisateur.
Cas d'utilisation
- Assistant interactif en mode déléguer : Assistant interactif en mode déléguer : un utilisateur demande à un agent de demander le lundi suivant. L'agent exécute la demande pour le compte de l'utilisateur. La sécurité est évaluée en fonction de l'intersection des autorisations de l'utilisateur et des aptitudes autorisées de l'agent.
- Traitement en arrière-plan en mode environnement client : un agent agrège automatiquement les viviers de données ou évalue les jeux de données en fonction d'un planning. L'agent assure lui-même, en utilisant ses propres autorisations de sécurité sans intervention de l'utilisateur.
Questions à se poser
Question | Élément à prendre en compte |
|---|---|
Quel mode d'exécution est requis par votre agent ? | Il existe deux modes d'exécution des agents distincts :
|
Avec qui est autorisé à interagir et à appeler une aptitude spécifique d'un agent déléguer ? | Vous devez définir une règle d'interaction avec l'agent qui indique les groupes de sécurité utilisateur pouvant interagir avec les aptitudes de l'agent. L'utilisateur demandeur doit faire partie des groupes de sécurité autorisés pour que l'aptitude puisse être déclencheur avec succès. |
Comment allez-vous gérer les identités des agents ? | Les agents nécessitent un compte utilisateur système d'agent unique. Un agent peut avoir jusqu'à 2 ASU : 1 pour le mode déléguer et un pour le mode Brut. |
À quels domaines de données ou actions de processus de gestion spécifiques un agent agent doit-il accéder ? | Les autorisations d'un agent environnement client sont uniquement évaluées par rapport à ses propres autorisations Utilisateur système de l'agent (ASU). Vous devez affecter le groupe de sécurité d'agent ambigu dans les règles de sécurité du domaine ou du processus de gestion obligatoire . |
Quels composants authentification doivent être pris en charge par l' application d'intégration, comme l'agent Forge ? | Pour le mode déléguer , le système utilise un flux OAuth 2.0 On-Behalf-O qui implique l'échange du jeton User Alpaca pour un jeton d'accès délégué. Vous devez vous assurer que l' application peut prendre en charge les types de jeton et les exigences d'en-tête nécessaires. |
Est-il possible de configurer des ASU pour qu'ils fonctionnent avec des comptes proxy ? | Non, les ASU ne prennent pas en charge les comptes proxy. |
Recommandations
- Respecter le principe du minimum de privilège. subvention aux agents l'accès minimum nécessaire aux domaines et aux processus de gestion obligatoire pour leurs aptitudes spécifiques.
- Utilisez des avis préalables d'expédition distincts pour chaque mode. Assurez-vous que chaque agent dispose de comptes distincts pour l'exécution déléguer et l'exécution d'environnement client afin d'éviter toute confusion au niveau des autorisations et des audits.
- Consultez le rapport Analyse de sécurité. Utilisez ce rapport pour mettre en évidence les configurations des domaine et des règle de sécurité du processus de gestion pour vos aptitudes d'agent.
- Révision de la piste d'audit : examine régulièrement le journal d'audit pour connaître les actions de l'agent. Le journal fait la distinction entre un agent environnement client agissant en lui-même et un agent déléguer agissant pour le compte d'un utilisateur spécifique.
Actions requises
- Définissez les règles de sécurité et activez les aptitudes de l'agent dans l'agent Système d'enregistrement (ASOR) pour générer un utilisateur système agent (ASU) et ses identifiants.
- L'ASU généré et son client OAuth associé sont désactivés par défaut. Vous devez activer un agent pour permettre son utilisation.
- Pour le mode Agent déléguer , l'utilisateur à l'origine des demandes doit disposer d'un accès de sécurité aux outils et tâches de l'agent sous-jacents.
Limites
- Critère de double identité : un agent qui doit fonctionner à la fois en mode déléguer et en mode environnement client doit avoir des comptes ASU et des identifiants distincts configurés pour chaque mode d'exécution.
- Gestion de clé : pendant qu'ASOR gère la création et le stockage sécurisé des identifiants clients (clé privée) dans le magasin d'identifiants, vous devez vous assurer que votre environnement de sécurité contribue à le processus OAuth 2.0 token-exchange qui utilise cette paire de clés.
Définition de l'environnement client
N/A
Sécurité
Les groupes de sécurité gérant les agents requièrent les droits d'accès
Afficher
et Modifier
aux autorisations de rapport/tâche pour afficher et exécuter les tâches de l'agent, et l'
accès Insérer à l'intégration pour transfert / mutation les données de configuration de l'agent.Domaines | Éléments à prendre en compte |
|---|---|
Manage: Agents
| Donne accès aux tâches et activités de définition de l'agent Système d'enregistrement (ASOR). |
Setup: Agents
| Donne accès aux tâches de configuration, d'activation et de désactivation des agents. |
Hub Gestion des agents
| Donne accès au hub centralisé pour afficher et gérer tous les agents. |
Reports: AI Agent Security
| Donne accès au nouveau rapport View AI Agent User Audit Trail . |
Reporting
- Afficher la sécurité des aptitudes de l'agent: affiche la configuration de la règle de sécurité du domaine et du règle de sécurité du processus de gestion pour les aptitudes de l'agent. Vous pouvez accéder à ce rapport à partir du menu des actions associées d'une aptitude de l'agent.
- View AI Agent User Audit Trail: affiche l'activité de l'utilisateur, en distinguant les données Par utilisateur et Pour le compte de l'utilisateur. Vous pouvez y accéder à partir du menu des actions associées d'un agent et en tant que tâche autonome .
Relations et interactions
La structure de sécurité des agents touche les domaines clés suivants de Workday:
Fonctionnalités | Éléments à prendre en compte |
|---|---|
Sécurité configurable Workday | Les autorisations des agents dépendent entièrement des règles de sécurité et des groupes de sécurité des domaine et des processus de gestion , qui contrôlent l'accès aux éléments sécurisé . |
Agent Système d'enregistrement (ASOR) | ASOR gère la définition et la configuration des agents et fait office de système d'enregistrement pour les règles de sécurité des agents et les codes de référence des identifiants. |
Authentification OAuth 2.0 | Le flux authentification de l'agent utilise OAuth pour l'échange de jeton Pour le compte d'une autre unité légale en mode déléguer . |
API REST Workday | L'accès des agents aux données de Workday s'effectue via des points de terminaison de API REST qui sont sécurisé via des domaines ou des règles de sécurité de processus de gestion spécifiques. |
Workday propose un kit appelé Touchpoints Kit, qui rassemble plusieurs ressources pour vous aider à mieux comprendre les relations de configuration dans votre environnement client. Pour en savoir plus sur ce kit, visitez notre page Workday Touchpoints Kit sur le site Workday Community.