员工入职与离职流程在管理员工访问权限方面已相当成熟。然而，AI 代理如今也在这些系统中运行，执行关键任务却缺乏正式的入职流程和问责机制。JumpCloud 的研究表明，非人类身份的数量正日益超过人类用户，凸显了显著的治理缺口。为此，本文提出一个四阶段框架，以保障这些身份的安全。第一阶段强调发现组织环境中运行的所有代理。这涉及在各类平台上建立代理的持续清单，详述其访问权限、工作流和触发机制。第二阶段侧重于将每个代理注册为正式身份，并指定一名人类负责人。这使得能够分配权限、实施条件访问策略并开展访问审查，从而有效防止“僵尸代理”的出现。第三阶段主张基于最小权限原则管理代理访问，并避免使用长期凭证。访问应有时限、可撤销，理想情况下采用即时授权（just-in-time），并对敏感操作实施凭证屏蔽。最后一个阶段是持续治理，确保持续监控代理行为并将其与授权操作保持一致。这包括定期访问审查、异常检测以及维护审计轨迹以落实问责。支撑这些阶段的是构建统一 IT 环境的必要性。碎片化的系统会阻碍策略在人类、设备和代理之间的一致性应用。JumpCloud 的代理身份与访问管理（Agentic IAM）方法认为，单一、连贯的控制层对于安全地扩展 AI 采用至关重要。通过对所有身份实施一致的治理，组织可以降低风险，并更有信心地将 AI 扩展至更多工作流。