AIエージェントを管理

早期アクセスリリース。Okta for AI Agentsの使用には、Okta for AI Agents利用規約（早期アクセス）が適用されます。

Okta for AI Agentsは、orgのAIエージェントを管理する機能をカスタマーに提供します。これにより、AIエージェントが説明責任を持ち、最小権限で動作することを確保する際に役立つため、AIエージェントはセキュリティリスクではなく、管理対象のデジタル従業員の一部となります。Okta for AI Agentsによるソリューションは、エージェント間接続ではなく、人間からエージェント間の接続を可能にします。

Okta for AI agentsは、 Identity EngineのOkta Workforce Identityのお客様のみが利用できます。

メリット

Oktaを使用してAIエージェントを管理すると、セキュリティを一元化してAIエージェントのIDを制御できます。

最小権限を適用する: ポリシーで制限されたスコープと方式を使ってアクセスを付与することで、AIエージェントの攻撃対象領域を最小限に抑えます。
一元化された制御とコンプライアンスレポート: 一元化された管理により、すべてのエージェントアクションが統合されたコントロールプレーンにまとめられ、Okta System Log内でやり取りが完全に監査可能になります。
永続的な権限の廃止: 期限付きのアクセスとポリシーの強制適用により、エージェントとユーザーにリスクのある永続的な資格情報が必要なくなります。
セキュリティポスチャの強化: セキュリティチームは、接続、権限、リスクへの明確な可視性を利用して、AIエージェントを確実にデプロイおよび接続します。
ユーザー負担の軽減: エージェントはユーザーのタスクを自動的に完了するため、アクセスリクエストを繰り返さずにシームレスなエクスペリエンスを実現できます。

主な機能とコンポーネント

このエンドツーエンドのフレームワークにより、AIエージェントのライフサイクル全体を制御し、可視性、最小権限、ガバナンスを確保できます。

設定	ゴール	主なアクション
検知・検出する	現在使用中のAIエージェントを可視化します。	多くの場合、未登録のAIエージェントが重要なリソースにアクセスできるようにする未認可のOAuth付与を検出します。
登録とプロビジョニング	AIエージェントのアイデンティティを形式化します。	スーパー管理者は、人間の所有権が割り当てられたファーストクラスの非人間アイデンティティとしてエージェントをUniversal Directory（UD）に確立します。
保護と認可	最小権限アクセスを強制します。	［Managed Connections（管理対象接続）］を使用してルールベースのアクセスポリシーを適用し、許可されるリソースと必要なプロトコルを決定します。
管理	最小権限アクセスを強制し、コンプライアンス要件を満たします。	リンクアプリへのリクエストアクセスを合理化し、既存のアクセスを定期的に認定、修復します。

仕組み

以下のワークフローでは、4段階のセキュリティモデルを実装して、AIエージェントのライフサイクル全体で可視化、最小権限、ガバナンスをどのように実現できるかについて詳しく説明します。

検知・検出する

Okta Secure Access Monitor（SAM）プラグインを構成すると、アプリに対する新しいOAuth付与を管理対象のブラウザーで監視します。OAuth付与では、多くの場合、ユーザーがそのアプリとサインイン資格情報を共有する必要なく、AIエージェントがデータにアクセスし、ユーザーに代わってアクションを実行できます。

Okta Identity Security Posture Management（ISPM）がデータを取り込み、分析して、orgでのシャドーITの使用に必要な可視性を提供します。これにより、シャドーAIエージェントを有効にするOAuth付与に対して、即座の修復アクションを実行できます。適切な監視を確保するために、これらのエージェントの付与を取り消すか、Oktaに登録することができます。

登録とプロビジョニング

システムがAIエージェントを識別すると、スーパー管理者はUniversal Directoryに登録します。これにより、エージェントは非人間オブジェクトとして確立され、割り当て済みの人間所有権と定義済みの説明責任を通じて、明確なガバナンスが確保できます。各エージェントには、エージェントのアイデンティティとライフサイクルに対する説明責任の指定地点として機能する人間の所有者が割り当てられます。スーパー管理者は技術的なセットアップや構成を行いますが、所有者はその使用目的の認定、アクセス要件の承認、エージェントの長期的なコンプライアンスの監視を担当します。このプロセスでは、エージェントにUDで正規のアイデンティティレコードを提供し、明確な人間の説明責任を割り当て、ポリシー作成に必要な認証の資格情報を発行します。

保護と認可

この段階では、［Managed Connections（管理対象接続）］という登録済みOkta AIエージェントにエンタープライズコントロールプレーンを確立できます。Okta AIエージェントは、タスクを実行するために外部リソースにアクセスする際に、Oktaからトークンをリクエストするように設計されています。管理対象接続を使用すると、AIエージェントがトークンをリクエストしてアクセスを認可されるリソースを正確に定義できます。

AIエージェントをCross App Accessでサポートされる認可サーバーに接続して、Oktaカスタム認可サーバーで保護されるリソースへのAIエージェントアクセスを付与できます。これらのシナリオでは、AIエージェントがリクエストを許可される、事前定義されたスコープのセットを指定できます。これにより、最小権限の原則が強制され、エンドユーザーが外部リソースの同意ページで操作する必要がなくなります。

管理対象接続によって、事前構成されたサービスアカウントやシークレットなど、格納された静的資格情報へのアクセスも容易になります。使用される方法にかかわらず、AIエージェントによる外部リソースへのアクセスは、管理者が定義したポリシーに基づいてOktaによって管理されます。

管理

この最終段階では、AIエージェントはOkta Identity Governanceプロセスに統合され、ライフサイクル全体でセキュリティ、コンプライアンス、監査が維持されます。エージェントへのユーザーアクセスは、承認ポリシーが定義されたアクセスリクエストリソースカタログを通じて管理できます。期限付きアクセスは、承認された期間が終了すると自動的に権限を取り消します。これにより、無期限の永続的なアクセスが阻止されます。通常のアクセス認定キャンペーンと詳細なSystem Logにより、すべてのエージェント関連アクションの継続的な監査が確保されます。

トピック