Identité & Politique / Agent Identity & Governance
FR EN

Identité & Politique

Agent Identity & Governance

Identité non-humaine (NHI) propre à chaque agent et sa gouvernance : émission, rotation, révocation, moindre agentivité.

Plan
Identité & Politique
Étapes du flux
3 · 6
Référentiels
NIST 800-53 · OWASP LLM06 · NIST AI 600-1 · MITRE ATLAS

Technologie

Pourquoi l’utiliser

Doter chaque agent d’une identité propre et la gouverner sur tout son cycle de vie, au lieu de réutiliser une identité humaine ou de service partagée.

Pourquoi c’est important pour la sécurité

Rend chaque action d’agent attribuable, applique le moindre privilège et la moindre agentivité, et permet une révocation ciblée.

Implémentations SPIFFE / SPIREEntra Workload IdentityAWS IAM Roles AnywhereHashiCorp Vault

Un agent n’est pas un utilisateur : il lui faut sa propre identité, son propre périmètre, sa propre laisse.

Recommandations par palier de maturité

Survolez une recommandation pour l’explication · chaque recommandation porte son numéro de contrôle

Foundation

Socle minimal viable
  • Identité distincte et unique par agent (aucune identité partagée).
    NIST 800-53 IA-9 · AC-2
    Une identité partagée rend l’attribution d’une action et la révocation ciblée impossibles.
  • Inventaire des agents et de leurs droits.
    NIST 800-53 CM-8NIST AI 600-1 GV-1.6-001
    On ne sécurise pas ce qu’on n’a pas recensé ; l’inventaire est le préalable à toute gouvernance.
  • Émission et stockage sécurisés des informations d’identification.
    NIST 800-53 IA-5
    Les identifiants d’agents, souvent oubliés, sont une cible privilégiée.

Enterprise

Standard d’entreprise
  • Cycle de vie complet : création → rotation → révocation.
    NIST 800-53 AC-2 · IA-5
    Un agent obsolète mais toujours habilité est une porte dérobée qui s’ignore.
  • Gestion centralisée des clés (KMS) avec rotation planifiée.
    NIST 800-53 SC-12 · SC-28
    La rotation régulière limite la valeur d’une clé compromise.
  • Périmètre d’agentivité documenté par agent (least agency).
    NIST 800-53 AC-6OWASP LLM06:2025
    Limiter ce qu’un agent peut faire, où et à quelle fréquence est la parade directe à l’excessive agency.

Advanced

Haute exigence / régulé
  • Identités éphémères provisionnées juste-à-temps par tâche.
    NIST 800-53 AC-6 · IA-5
    L’agent n’existe avec des droits que le temps strict de sa tâche.
  • Révocation automatisée sur comportement anormal (lien SOAR).
    NIST 800-53 SI-4 · AC-12
    Un agent qui dérive est coupé automatiquement, avant l’escalade.
  • Gouvernance reliée au PDP : l’agentivité devient une décision de politique.
    NIST 800-53 AC-24OWASP LLM06:2025
    Ce qu’un agent a le droit de faire est évalué dynamiquement, pas figé à la conception.

Notes d’architecture

  • Concevez pour rendre l’action dangereuse impossible, pas seulement pénible.détails ▸
    Un simple rate-limit ne suffit pas.
    Préférez retirer la capacité (pas d’outil de suppression de masse) plutôt qu’ajouter de la friction contournable (confirmation, quota).

Références

OWASP LLM06:2025
Excessive Agency — la gouvernance d’identité et le moindre privilège en sont la contre-mesure.
NIST AI 600-1
GV-1.6 — inventaire des systèmes d’IA et de leurs composants.
NIST SP 800-53 Rev5
IA-9 (Service Auth), AC-2 (Accounts), AC-6 (Least Privilege), CM-8 (Inventory), SC-12/28 (clés).
MITRE ATLAS — AML.T0051
Injection de prompt → abus des privilèges de l’agent ; l’identité gouvernée limite le rayon d’impact.

Abréviations

PDP
Policy Decision Point · point de décision d’autorisation
PEP
Policy Enforcement Point · point d’application des politiques
PIP
Policy Information Point · point d’information de politique
PAP
Policy Administration Point · point d’administration des politiques
IdP
Identity Provider · fournisseur d’identité
TSS
Token Service · service de jetons
NHI
Non-Human Identity · identité non-humaine
RBAC
Role-Based Access Control · contrôle d’accès basé sur les rôles
ABAC
Attribute-Based Access Control · contrôle d’accès basé sur les attributs
MFA
Multi-Factor Authentication · authentification multifacteur
HITL
Human-in-the-loop · validation humaine dans la boucle
JIT
Just-In-Time · juste-à-temps
CAE
Continuous Access Evaluation · évaluation continue de l’accès
CAEP
Continuous Access Evaluation Profile
DPoP
Demonstrating Proof-of-Possession · preuve de possession du jeton
mTLS
mutual TLS · TLS mutuel
PII
Personally Identifiable Information · données à caractère personnel
KMS
Key Management Service · service de gestion des clés
CI/CD
Continuous Integration / Continuous Delivery
SIEM
Security Information and Event Management
SOAR
Security Orchestration, Automation and Response
SCIM
System for Cross-domain Identity Management
XACML
eXtensible Access Control Markup Language
OPA
Open Policy Agent
OWASP
Open Worldwide Application Security Project
NIST
National Institute of Standards and Technology
ATLAS
Adversarial Threat Landscape for Artificial-Intelligence Systems
LLM
Large Language Model · grand modèle de langage
WAF
Web Application Firewall · pare-feu applicatif web
CDN
Content Delivery Network · réseau de diffusion de contenu
DDoS
Distributed Denial of Service · déni de service distribué
DLP
Data Loss Prevention · prévention des fuites de données
JWT
JSON Web Token
API
Application Programming Interface · interface de programmation
CRS
Core Rule Set (OWASP) · jeu de règles de base
RAG
Retrieval-Augmented Generation · génération augmentée par récupération
MCP
Model Context Protocol · protocole de contexte pour les modèles
PBAC
Permission-Based Access Control · contrôle d’accès par permissions
HSM
Hardware Security Module · module matériel de sécurité
UEBA
User and Entity Behavior Analytics · analyse comportementale
SBOM
Software Bill of Materials · nomenclature logicielle
SLSA
Supply-chain Levels for Software Artifacts
WORM
Write Once, Read Many · écriture unique
SPIFFE
Secure Production Identity Framework For Everyone