Wat de checklist dekt:
30
Controles voor slagen/zakken die je kunt uitvoeren op elke agent, in elke cloud of elk framework
6
Controlegebieden, van agent-inventarisatie tot audit en offboarding
4
Vergelijking van identiteitsstroompatronen: pass-through, client credentials, on-behalf-of en AWS SigV4
1
De vraag die elke stap moet beantwoorden: welke agent voert de actie uit, en voor wie?
Inhoud van de checklist
Download de checklist en ontvang:
Een werkdocument dat je platform- en beveiligingsteams samen kunnen invullen, agent voor agent, voorafgaand aan een beveiligingsbeoordeling.
Checklist downloaden✓
De volledige checklist van 30 punten voor agent-identiteit
Elke controle gegroepeerd per gebied, met wat een "geslaagd" resultaat inhoudt en wie er doorgaans verantwoordelijk voor is.
✓
Een beslisgids voor identiteitsstromen
Wanneer je een token doorstuurt, wanneer een agent namens zichzelf moet handelen en wanneer de volgende stap een 'on-behalf-of' tokenuitwisseling vereist.
✓
Een werkblad voor beveiligingsbeoordelingen
De vragen die reviewers stellen over IAM voor agents, gekoppeld aan het bewijsmateriaal dat je nodig hebt: eigenaren, rechten, traces en intrekkingstests.
✓
Een evaluatielijst voor agent-gateways
Waar je op moet letten bij het kiezen van de plek waar authenticatie en autorisatie voor agents worden afgedwongen.
Waarom dit belangrijk is
Agent-identiteit is nu de basis voor agents in productie
De meeste AI-agents roepen tegenwoordig modellen, MCP-servers en andere agents aan met gedeelde API-sleutels of statische service-accounts. Wanneer een agent een terugbetaling doet of een klantrecord bijwerkt, toont het logboek slechts een sleutel. Het laat niet zien welke agent de actie heeft uitgevoerd, en het laat niet zien voor wie de agent handelde.
Dat gat wordt groter met elke hop. Een support engineer vraagt een portaal om een betaling te verwerken. Het portaal roept een orchestrator-agent aan, die de taak doorgeeft aan een betalingsagent, die vervolgens de betalings-MCP-server aanroept die de record schrijft. Bij de laatste hop ziet het bronsysteem alleen de agent die direct voor hem staat. Het vertrouwt ofwel alles, ofwel niets.
Eén verzoek, vier hops. De checklist helpt u bepalen welke identiteit elke hop moet dragen.
Teams die dit proberen op te lossen, lopen meestal tegen dezelfde drie muren op: er is geen identiteit per agent, de gebruikerscontext gaat verloren tussen hops, en de logica voor token-uitwisseling en -verversing wordt in de codebase van elke agent opnieuw opgebouwd. Elk van deze punten vormt een blokkade tijdens de security review.
Hoe een goede agent-identiteit eruitziet
Elke agent is een volwaardige niet-menselijke identiteit met een verantwoordelijke eigenaar. Elke hop draagt de identiteit die het volgende systeem nodig heeft, inclusief de gebruiker achter het verzoek. Toegang wordt aan beide kanten van elke aanroep op een whitelist geplaatst en kan bij het volgende verzoek worden ingetrokken. Elke actie wordt getraceerd vanaf de eerste app tot de laatste tool.
De Agent Identity Checklist vertaalt die standaard naar 30 controles die u kunt uitvoeren op elke agent die u wilt uitrollen. Download de checklist om de hiaten te dichten voordat uw reviewers dat doen.
Voorbeeld
De zes controlegebieden in de checklist voor agent-identiteit
Een greep uit de controles in elk gebied. De volledige checklist bevat criteria voor goedkeuring, eigenaren en bewijslast voor alle 30 punten.
Gebied 1 · 5 controles
Agent-inventaris en eigenaarschap
Elke agent is geregistreerd in één agent-register, ongeacht waar deze draait
Elke agent heeft een eigenaar-team dat verantwoordelijk is voor de agent
+3 extra controles
Gebied 2 · 5 controles
Identiteitsuitgifte
Elke agent heeft precies één identiteit, zonder gedeelde sleutels
Identiteiten worden uitgegeven door uw IdP (Okta, Entra, OIDC, SPIFFE/SPIRE) of de gateway
+3 extra controles
Gebied 3 · 6 controles
Agent-authenticatie over hops
De identiteitsstroom voor elke hop wordt bewust gekozen
Het systeem van record kan zien voor welke gebruiker een agent handelt
+4 extra controles
Gebied 4 · 5 controles
Agent-autorisatie
Een allow-list bepaalt wie elke agent mag aanroepen
Elke agent heeft alleen toegang tot de modellen, MCP-servers en agents die nodig zijn
+3 extra controles
Gebied 5 · 5 controles
Observability en audit
Elke trace benoemt zowel de agent als de gebruiker erachter
Agent-, model- en tool-aanroepen verschijnen in één trace
+3 extra controles
Gebied 6 · 4 controles
Levenscyclus en intrekking
Het verwijderen van een toewijzing blokkeert direct de eerstvolgende aanroep
Gepensioneerde agents worden uitgeschreven en hun identiteiten ingetrokken
+2 extra controles
4,7
★★★★★
Gartner Peer Insights
Beoordeeld met een 4,7 op Gartner Peer Insights
Platformteams gebruiken de AI Gateway van TrueFoundry voor LLM-, MCP- en agentverkeer in productie. Agent Identity draait op diezelfde gateway, met dezelfde RBAC, guardrails en traces.
96%
van de beoordelaars beveelt dit waarschijnlijk aan
4,9
gebruiksgemak bij implementatie en beheer
3–4 ms
extra gateway-latentie
