L’identità agentica è il modello di identità usato per riconoscere e gestire un agente software autonomo. Definisce come l’agente viene identificato nei sistemi, quali autorizzazioni possiede e in che modo le sue azioni sono collegate a un proprietario o alla persona o al processo che gli ha delegato l’autorità. Un agente può usare un’identità di workload distinta oppure operare con accesso delegato limitato; la progettazione dovrebbe rendere esplicito questo rapporto.
Questo aspetto è importante perché gli agenti possono accedere ai dati, chiamare API e attivare flussi di lavoro. Se le identità sono condivise, le autorizzazioni sono troppo ampie o le attività non vengono registrate, i responsabili della difesa potrebbero avere difficoltà ad attribuire le azioni, indagare sugli abusi o revocare rapidamente l’accesso. In pratica, le organizzazioni dovrebbero censire gli agenti, assegnare proprietari responsabili, concedere privilegi minimi specifici per le attività, registrare nei log di audit sia l’agente sia chi ne ha autorizzato l’operato e riesaminare o revocare l’accesso quando non è più necessario.