Normes d’identité agentique : vision de Microsoft Entra

Introduction

Les agents IA passent rapidement des projets pilotes à de véritables flux de travail en entreprise, et les systèmes d’identité doivent désormais les prendre en charge de manière sécurisée. Dans un nouveau billet du blog Microsoft Entra, Pamela Dingle explique comment le paysage des normes évolue pour s’adapter aux identités agentiques, avec des implications majeures pour l’authentification, l’autorisation et la gouvernance.

Qu’est-ce qui change dans les normes d’identité agentique ?

Microsoft indique que le changement le plus important est conceptuel : les normes d’identité ne considèrent plus les identités non humaines comme des acteurs à portée limitée avec des frontières rigides. À mesure que les agents IA gagnent en capacité de raisonnement et prennent des décisions, le secteur repense la manière dont les identités logicielles établissent la confiance et agissent entre les systèmes.

1. Établir la confiance pour les identités non humaines

Un défi central consiste à permettre aux agents IA, workloads et service principals de s’annoncer de manière sécurisée et de demander un accès. Microsoft souligne une activité croissante autour des normes dans ce domaine, notamment :

• OAuth ClientID Metadata Document (CIMD)
• OAuth 2.0 Protected Resource Metadata (RFC 9728)
• Les travaux IETF WIMSE reliant SPIFFE et OAuth
• Une automatisation plus large de l’onboarding des identités non humaines entre les environnements

Cela est important, car l’onboarding manuel de type fédération ne passe pas bien à l’échelle lorsqu’il faut gérer un grand nombre d’agents.

2. Les modèles de délégation sont repensés

La délégation est un autre sujet majeur de débat. Les concepts existants tels que token exchange, on-behalf-of (OBO), identity chaining et token upscoping/downscoping sont réexaminés à mesure que les agents commencent à agir avec davantage d’autonomie.

Microsoft note que ce domaine reste encore incertain, et les administrateurs doivent donc s’attendre à la poursuite des discussions sur les normes avant que les bonnes pratiques ne se stabilisent pleinement.

3. Les secrets partagés deviennent un risque accru

Le billet met également en garde contre la dépendance croissante aux API keys et à d’autres secrets partagés dans les scénarios impliquant des agents. Microsoft s’attend à une attention renforcée sur l’élimination de ces modèles au profit de mécanismes de confiance plus sécurisés et fondés sur des normes.

Pourquoi c’est important pour les administrateurs Entra

Pour les équipes IT et identité, c’est un signal précoce indiquant que la gouvernance des agents IA dépendra de plus en plus des normes d’identité ouvertes. Les administrateurs Entra doivent s’attendre à ce que les futures fonctionnalités et intégrations s’alignent plus étroitement sur les efforts du secteur, comme MCP, IETF, OpenID Foundation, FIDO Alliance et AAIF.

En pratique, cela signifie que les administrateurs devront aller au-delà des modèles traditionnels d’identité utilisateur et applicative lorsqu’ils planifient les contrôles d’accès, les relations de confiance et la gestion du cycle de vie des services pilotés par l’IA.

Prochaines étapes

• Examiner l’usage actuel des API keys et des secrets partagés dans les projets d’IA ou d’automatisation
• Suivre les communautés de normalisation qui influencent l’identité agentique, en particulier MCP et IETF
• Suivre les mises à jour de Microsoft Entra Agent ID pour les futures orientations de mise en œuvre
• Se préparer à des modèles d’onboarding et de délégation plus dynamiques pour les identités non humaines

Le message de Microsoft est clair : l’identité agentique devient une couche architecturale fondamentale, et les normes joueront un rôle central pour rendre les agents IA gérables et sécurisés à l’échelle de l’entreprise.