Заметки о построении агентных систем
Стенды для оценки, паттерны оркестрации, проектирование памяти и стоящие за ними неудачи — описано, пока детали ещё свежи.
Идентичность агентов — это проблема каталога: читаем Descope и ServiceNow бок о бок
Паспорта и хабы предполагают, что разрешаемый принципал уже существует. Именно реестр, а не формат учётных данных, — тот артефакт, которого не хватает предприятиям.
Идентичность без задачи: почему учётные данные для каждого агента всё ещё дают избыточные права
Учётные данные с областью действия на уровне задачи решают проблему времени жизни токена, но не его области действия. Область действия определяется тем, как планировщик декомпозирует работу, что делает декомпозицию элементом управления безопасностью.
Управление идентификацией агентов должно быть в каталоге, а не в фреймворке агента
Разрешения агентов, определённые внутри фреймворков, невидимы для проверок доступа, сохраняются после вывода из эксплуатации и разрастаются. Идентификация, встроенная в каталог, решает проблему жизненного цикла.
Идентичность агента — это инфраструктурный примитив, а не логин
Автономным агентам нужны делегированные, отзываемые машинные идентичности с собственными ключами, скоупами и журналами аудита — а не заимствованные пользовательские сессии.