Produto · Identidade e NHI
Dê a cada agente a sua própria identidade — e saiba quando não a tem
Uma conta de serviço partilhada torna «que agente fez isto?» uma pergunta sem resposta. A Olivares associa um agente a uma identidade não humana, emite uma NHI dedicada por agente e expõe os agentes que estão a partilhar uma — a diferença entre atribuir o acesso de forma firme e apenas de forma aproximada. Uma identidade que não consegue resolver nunca é silenciosamente tratada como uma identidade real.
No produto
A consola de identidade
Uma captura de ecrã genuína, com dados de exemplo. Separadores para SSO e SCIM, a lista de NHI, autenticação MCP, o grafo WIF, a postura de chaves e residência e os inícios de sessão privilegiados. A captura é anterior ao backend de SSO/SCIM entretanto entregue: o seu separador SSO/SCIM ainda mostra o aviso honesto de «backend pendente» dessa build — ecrãs reais, nunca dados fabricados.
O que governa
De uma conta partilhada a uma identidade por agente
A identidade é o eixo sobre o qual o mapa de acessos faz a atribuição. Uma NHI dedicada por agente transforma «aproximadamente» em «firmemente»; tudo o que se segue é honesto sobre até onde consegue chegar.
Associar ou emitir uma NHI
Associe um agente a uma identidade não humana existente ou emita uma NHI dedicada por agente. Uma NHI dedicada é o que permite ao mapa de acessos atribuir o acesso de forma firme a um único agente — não de forma aproximada a um conjunto.
Deteção de identidade partilhada
Quando mais do que um agente partilha a mesma conta, a atribuição por agente é genuinamente ambígua. A Olivares expõe isso como uma deteção e di-lo claramente — não divide a diferença nem simula saber qual o agente que atuou.
Grafo WIF apenas de leitura
Um grafo de federação de identidades de carga de trabalho mapeia as suas identidades por agente para o seu IdP. É apresentado apenas de leitura a partir das regras de federação que declara — uma vista do que afirmou, não uma verificação em tempo real da confiança na rede.
O desconhecido honesto
Uma identidade que a Olivares não consegue resolver é desenhada como desconhecida e sinalizada — nunca promovida silenciosamente a uma NHI nomeada. A ausência de sinal de identidade significa ausência de atribuição, dito claramente.
Como funciona
Federar uma identidade por agente com o seu IdP
Cada agente recebe uma identidade por agente — uma credencial SPIFFE/WIF — que federa com o seu fornecedor de identidade. Um agente sem identidade que se consiga resolver não é integrado numa identidade real: é desenhado à parte e sinalizado.
O que é real
A associação de NHI, a elevação de nível por hardware e SSO/SCIM estão ativos; a federação verificada em tempo real não está
Somos precisos quanto a isto, porque a diferença é a essência de uma superfície de identidade:
- Ativo: associar um agente a uma NHI, emitir uma NHI dedicada por agente, a deteção de identidade partilhada e o grafo WIF apenas de leitura. O grafo reflete as regras de federação que declara — não é uma imagem verificada em tempo real da federação na rede.
- Entregue como ingestão só de leitura: conectores de roster leem os registos de identidade de agentes dos hyperscalers — Microsoft Entra Agent ID, AWS Bedrock AgentCore e o registo de agentes da Google. A federação verificada em tempo real na rede face a esses registos continua no roadmap, e não a reivindicamos antes de a lançarmos.
- Entregue para pessoas: elevação de nível WebAuthn/FIDO2 e com cartão PIV/CAC para inícios de sessão privilegiados, aplicada em modo fechado — o break-glass e as aprovações críticas recusam abaixo do patamar AAL3 verificado por hardware, e uma sessão sem cerimónia recente é apresentada como AAL1, nunca inflacionada (a NIST SP 800-63B é uma norma objetivo; não se reivindica conformidade). O SSO single-IdP OIDC/SAML com configuração gerida e selada e o aprovisionamento SCIM de utilizadores e grupos fazem parte da build aberta; a federação multi-IdP por tenant e o SSO imposto são Enterprise.
Identidade e NHI — perguntas
A Olivares federa hoje em tempo real com o Entra Agent ID, o AWS AgentCore ou o Google Agent Identity?
Não como confiança verificada em tempo real. Conectores só de leitura ingerem esses registos de agentes como instantâneos de roster, e o próprio grafo WIF é apresentado a partir das regras de federação que declara — mostra o que afirmou e o que os rosters reportam, não uma relação de confiança verificada em tempo real na rede. A federação em tempo real face a esses registos está no roadmap, e não a reivindicamos antes de a lançarmos.
Dois agentes partilham uma conta de serviço. Qual deles é que a Olivares diz que atuou?
Nenhum, com firmeza. Uma identidade partilhada torna a atribuição por agente genuinamente ambígua, por isso a Olivares levanta uma deteção de identidade partilhada e atribui o acesso apenas de forma aproximada — não fabrica certezas sobre qual o agente que atuou. Emita uma NHI dedicada por agente e o mapa de acessos passa a poder atribuir esse agente de forma firme.
Suportam a elevação de nível WebAuthn AAL3 ou PIV-CAC para inícios de sessão privilegiados?
Sim. Uma sessão privilegiada eleva o nível com WebAuthn/FIDO2 ou com um certificado de cartão PIV/CAC até ao patamar AAL3 verificado por hardware da NIST SP 800-63B — uma norma objetivo; não se reivindica conformidade NIST nem FIPS. A elevação é em modo fechado: expira após uma curta janela de atualidade, uma sessão sem cerimónia verificada é apresentada como AAL1, e o break-glass ou as aprovações críticas recusam prosseguir abaixo de AAL3.
Disponibilizam SSO e aprovisionamento SCIM?
Sim. A build aberta disponibiliza SSO single-IdP OIDC e SAML com uma configuração gerida assente no armazenamento — segredos selados em repouso, escritas de configuração protegidas por uma elevação AAL3 — mais o aprovisionamento SCIM de utilizadores e grupos. O que um grupo de diretório pode conferir continua a ser uma decisão do operador: os mapeamentos de função nunca podem ser escritos a partir do IdP. A federação multi-IdP por tenant e a política SSO imposta são capacidades Enterprise.
Dê aos seus agentes identidades que pode atribuir
Implemente a Olivares na sua própria infraestrutura, emita uma NHI dedicada por agente e transforme «aproximadamente» em «firmemente» no seu mapa de acessos.