Non-Human Identities (NHI)
KI-Agenten und Non-Human Identities in Nova IAM
Nova IAM ist eine Enterprise-IGA-Plattform für die gesamte Systemlandschaft. Unter den Non-Human Identities (NHI) führt sie KI-Agenten seit v0.9.4 als eigenen Identitätstyp, neben Personen und technischen Identitäten.
Stand: November 2026
Nova regelt, wer für einen Agenten verantwortlich ist, welche Fähigkeitsrollen er in Nova hält, wer das prüft und wann es endet.
Im Produkt
Was Nova heute kann
Für KI-Agenten gelten dieselben Mittel wie für Personen: Anträge, Genehmigungen, Rezertifizierung und Protokoll. Hinzu kommen Regeln, die nur für Agenten gelten.
-
Owner und Zweck
Legt ein Administrator einen KI-Agenten an, sind ein Owner, also eine bestehende Identität vom Typ natürliche Person, und ein Zweck Pflicht. Über den Keycloak- oder Entra-Import übernommene Agenten kommen zunächst ohne Owner und Zweck, der Healthcheck meldet fehlende Owner. Optional sind ein Review-Termin und ein Ablaufdatum. Ist das Ablaufdatum überschritten, führt Nova die Austrittsroutine aus. Sie setzt die Identität voreingestellt inaktiv und sperrt ihre Konten.
-
Anträge und Genehmigung
Einen Antrag für einen KI-Agenten stellen nur sein Owner, dessen Vertretung oder ein Administrator. Ein Genehmigungsablauf kann den „Agent-Owner“ als Genehmiger vorsehen.
-
Rezertifizierung
Eine Kampagne mit dem Umfang „KI-Agenten“ prüft die Berechtigungen der Agenten, als Prüfer lässt sich „Agent-Owner (KI-Identität)“ wählen. Für jeden verknüpften Routinen-Assistenten steht zusätzlich die Matrix seiner freigegebenen Objekte und Aktionen zur Prüfung. Wird sie entzogen, schaltet Nova den Routinen-Assistenten ab.
-
Übergabe beim Austritt
Der voreingestellte Austrittsablauf überträgt die Agenten an die Vertretung des Owners, ersatzweise an seinen Manager und danach an seine Führungskraft laut Organisation. Findet Nova keinen Nachfolger, bleibt der Agent ohne Owner, und Nova schreibt eine Warnung ins Audit-Log. Auch jede Übergabe protokolliert Nova.
-
Service-Account in Keycloak
In Keycloak legt Nova für einen Agenten einen vertraulichen Client mit Service-Account an, der sich per Client Credentials anmeldet. Tokens gelten voreingestellt fünf Minuten. „Secret rotieren“ erzeugt ein neues Client-Secret. Nova zeigt es einmal an und speichert es nicht.
-
Fehlende Owner und überfällige Reviews
Der Healthcheck meldet technische Identitäten und Agenten ohne Owner mit dem Schweregrad hoch. Der Job „Agent Review Scan“ schreibt überfällige Reviews ins Audit-Log. Diesen Job legt ein Administrator an, Benachrichtigungen verschickt er nicht.
Technische Konten und KI-Agenten zählen bei der Größe nicht als Identitäten, siehe Preis-FAQ.
Grenzen
Was Nova heute nicht tut
Nova liefert für KI-Agenten Governance, keinen Laufzeitschutz. Auch bei anderen Non-Human Identities reicht die Abdeckung nur so weit wie hier beschrieben.
Fähigkeitsrollen wirken nur in Nova
Rollen mit dem Präfix nova-ai: überträgt Nova nicht in Zielsysteme. Sie steuern, welche Objekte und Aktionen ein verknüpfter Routinen-Assistent beim Zusammensetzen von Schritten für Lebenszyklus-Routinen verwenden darf. Der Agent selbst handelt dabei nicht in Nova.
Keine anderen Berechtigungen über Anträge
Beim Zuweisen und Beantragen lässt Nova für KI-Agenten nur Fähigkeitsrollen zu. Business-Rollen und andere Berechtigungen weist es dabei ab. Rechte eines Agenten in Zielsystemen laufen deshalb heute nicht über Anträge in Nova. Ein Import aus Keycloak oder Entra ID übernimmt die Gruppen eines Agenten aber als Zuweisungen.
Service-Accounts nur in Keycloak
Als Service-Account legt Nova einen Agenten nur in Keycloak an. In anderen Zielsystemen kann ein Administrator für einen Agenten nur ein gewöhnliches Konto anlegen.
Keine automatische Erkennung
Dienstkonten und App-Registrierungen findet Nova heute noch nicht von selbst. Ein Inventar der Non-Human Identities aus den Zielsystemen baut es nicht auf.
Kein Laufzeit-Gateway und keine Prompt-Prüfung
Nova steht nicht zwischen einem Agenten und den Systemen, die er aufruft. Prompts prüft es nicht, und was ein Agent zur Laufzeit tut, filtert es nicht.
Abgleich
OWASP NHI Top 10 (2025): der Stand in Nova
Das OWASP-Projekt nennt zehn Risiken für Non-Human Identities. Drei davon deckt Nova teilweise ab, sieben nicht.
| Risiko | Stand | In Nova heute |
|---|---|---|
| NHI1 Improper Offboarding | Teilweise | Ablaufdatum, Owner-Übergabe beim Austritt und Rezertifizierung mit dem Umfang „KI-Agenten“. Übergabe und Umfang gelten nur für KI-Agenten. |
| NHI2 Secret Leakage | Nicht abgedeckt | Nova sucht nicht nach Secrets in Code, Protokollen oder Konfigurationen. |
| NHI3 Vulnerable Third-Party NHI | Nicht abgedeckt | Nova erfasst keine Integrationen und Erweiterungen von Drittanbietern und ihre Zugriffe. |
| NHI4 Insecure Authentication | Teilweise | In Keycloak meldet sich der Client eines Agenten per Client Credentials an. Die Anmeldeverfahren anderer Non-Human Identities prüft Nova nicht. |
| NHI5 Overprivileged NHI | Nicht abgedeckt | Fähigkeitsrollen begrenzen nur, welche Objekte und Aktionen die KI für einen verknüpften Routinen-Assistenten verwenden darf. Überprivilegierte Rechte in Zielsystemen deckt das nicht ab. |
| NHI6 Insecure Cloud Deployment Configurations | Nicht abgedeckt | Nova prüft keine Konfiguration von Cloud- oder CI/CD-Umgebungen. |
| NHI7 Long-Lived Secrets | Teilweise | In Keycloak gelten Tokens voreingestellt fünf Minuten, und das Client-Secret lässt sich rotieren. Die Rotation löst jemand aus, einen Zeitplan gibt es nicht. Außerhalb von Keycloak deckt Nova das nicht ab. |
| NHI8 Environment Isolation | Nicht abgedeckt | Nova prüft nicht, ob dieselbe Non-Human Identity in Entwicklung, Test und Produktion genutzt wird. |
| NHI9 NHI Reuse | Nicht abgedeckt | Nova erkennt nicht, ob sich mehrere Anwendungen oder Workloads eine Non-Human Identity teilen. |
| NHI10 Human Use of NHI | Nicht abgedeckt | Nova erkennt nicht, ob Menschen eine Non-Human Identity für manuelle Arbeit nutzen. |
Eigene Einschätzung, Stand: November 2026. OWASP hat sie nicht geprüft. Quelle der Liste: OWASP Non-Human Identities Top 10.
Nächster Schritt
Stellen Sie Ihre Fragen live am System.
In 30 Minuten per Video-Call zeigen wir Ihnen am Demo-System, wie Nova KI-Agenten führt.
Demo-Termin anfragenWeiterlesen
- KI in Nova IAM
Betriebsarten, Funktionen und welche Daten an das Modell gehen.
- Roadmap
Was verfügbar und was geplant ist.
- Trust Center
Policies, Mappings und der aktuelle Prüfstand.