Donner une identité réelle aux agents avec mTLS
Émettre des certificats via CSR et autoriser les appels modèles par identité plutôt que par API key partagée.
Une API key prouve la possession d’une chaîne, pas l’identité de l’agent ni comment le révoquer seul. Les agents autonomes ont besoin d’un modèle de confiance similaire aux serveurs.
Réponse courte#
- Identité propre à chaque agent : paire de clés et certificat.
- Auto-inscription par CSR soumise à politique.
- Autorisation par certificat pour révoquer un agent sans rotation des secrets partagés.
- Gestion centralisée des clés, certificats et règles.
Procédure dans AI-FW#
- Choisissez API key, JWT, mTLS ou Kerberos selon la population d’agents.
- L’agent génère une paire, soumet une CSR et reçoit un certificat ; la clé privée reste locale.
- Accordez rôles, modèles et outils à l’identité ou au groupe.
- En cas de problème, révoquez le certificat de cet agent seulement.
- Intégrez votre CA existante si souhaité.
Vérifier#
- Inscrivez un agent de test et confirmez un appel modèle ; testez aussi un certificat non enregistré.
- Révoquez le certificat et vérifiez l’échec de la prochaine requête, sans effet sur les autres agents.
- Consultez Agents, Agent Trust et l’audit.
Associé#
L’identité fait la différence