10月31日、AWSが「Governing AI agent identity with Amazon Bedrock AgentCore and Saviynt Zuma」と題した記事を公開した。あるグローバル製造企業では、このアーキテクチャの適用によってアクセスレビューのサイクルを数週間から数日に短縮し、エージェントに残存していた未使用の書き込み権限を自動検出・削除することに成功している。この記事では、AIエージェントを「管理対象のアイデンティティ」として扱い、そのライフサイクル全体にガバナンスを適用するアーキテクチャについて詳しく紹介されている。
AIエージェントは「サービスアカウント」ではなく「アイデンティティ」である
企業内でAIエージェントの利用が拡大するにつれ、あるセキュリティ上の問題が浮上している。エージェントはAPIを叩き、データストアを参照し、場合によっては別のエージェントに処理を委譲する。しかし多くの組織では、エージェントをアプリケーションの構成要素として管理しており、「誰がそのエージェントを所有しているか」「何にアクセスできるか」「そのアクセスは今も適切か」という基本的な問いに答えられない状態にある。
EUのAI Act、DORA（デジタル運用レジリエンス法）、NIS2指令といったフレームワークは、自律システムにもリスク管理・アクセス制御・ログ記録の義務を課す。エージェントがこの対象になるかは各組織の法務・コンプライアンスチームの判断に委ねられるが、備えておく必要性は高まっている。
本記事が提案するのは、エージェントを人間のユーザーやサービスアカウントと同等の「ファーストクラスのアイデンティティ」として管理するという考え方だ。
構成：AgentCoreがランタイムを、ZumaがガバナンスをRRR担う
アーキテクチャは2層に分かれる。
Amazon Bedrock AgentCore がエージェントの実行基盤を提供する。なお、本記事執筆時点（2025年）における同サービスの提供状況（GA／プレビュー）については、公式ページで最新状態を確認されたい。主なコンポーネントは以下の通り。
- AgentCore Runtime：サーバーレス環境でエージェントをセッション分離して実行
- AgentCore Identity：企業のIdPを通じてクレデンシャルをブローカリング
- AgentCore Gateway：Lambda関数やMCP（Model Context Protocol）サーバーを安全な呼び出し可能ツールに変換
- Policy in AgentCore：Cedarまたは自然言語（NL）で記述された決定論的なセキュリティルールをツール呼び出し時に適用。NLポリシーは自然言語で記述されたルールをAgentCoreが解釈・実行可能なポリシーとして処理する仕組みで、コード記述に不慣れなチームでもルール定義に参加しやすくなる点が特徴だ
- AWS Agent Registry：エージェント・ツール・MCPサーバーの一元カタログ
Saviynt Zuma がガバナンスのコントロールプレーンを担う。SaviyntはIGA（Identity Governance and Administration）分野のプレイヤーであり、ZumaはそのAIエージェント向けガバナンス製品だ。人間のユーザーアカウントに適用してきたIGAの考え方をAIエージェントにまで拡張する、という思想が製品設計の根底にある。3つの機能で構成される。
- Discovery：AgentCoreおよびその他の環境からAIエージェントを継続的に検出し、使用LLM、接続ツール、オーナー、パーミッション、ライフサイクル状態を記録
- Protect：ランタイム時にアイデンティティ・コンテキスト・ポリシー・インテントを評価し、最小権限を強制
- Management：オーナーシップルール、アクセス認定キャンペーン、ライフサイクル管理、監査証跡の生成
2層の役割分担を一言で言えば：「何ができるか」をAgentCoreのPolicyが制御し、「そのアイデンティティが今も行動を許可されているか」をZumaが判断する。
エージェントのライフサイクル管理：6つのフェーズ
この統合アーキテクチャはエージェントを6段階で管理する。
- Registration（登録）：CI/CDパイプラインのAPIパス経由、またはコネクタ経由でZumaのインベントリに登録。必ずオーナーを明示することが前提となる。なお記事は「ディスカバリだけに頼ってはいけない。コネクタのスキャンをトリガーしないエージェントは見つからない」と明示している。
- Provisioning（プロビジョニング）：AgentCore Identityがクレデンシャルをブローカリングし、Zumaが付与されたアクセスを記録。
- Runtime Authorization（ランタイム認可）：Zumaのスタンドアロン認可サービスが、エージェントの登録状態・オーナーの現在性・アクセス認定の有無・リクエストの目的適合性を確認。例えば、CRMデータの読み取りを許可されたセールス業務エージェントが「レコードのエクスポート」を試みた場合、承認済み目的の範囲外としてブロックされる。
- Posture Monitoring（態勢監視）：過剰権限・アクセスドリフト・ポリシー違反をZumaが継続的に評価。定期スナップショット型から準リアルタイムのアセスメントへ移行する。
- Certification（認定）：登録済みオーナーにアクセスレビューをルーティングし、結果を記録。
- Deprovisioning（廃止）：エージェント退役時にZumaが権限を削除し、監査証跡を完結させる。
事例：製造業でのアクセスドリフト検出
記事が紹介するシナリオでは、あるグローバル製造企業がAgentCoreエージェントを複数展開していたが、どのエージェントがどのデータソースに到達できるかを把握できていなかった。このアーキテクチャを適用した結果：
- 要約エージェントに未使用の書き込み権限が残存していたことをZumaが検出・削除
- レポーティングエージェントが承認済み目的外のエクスポート操作を試みた際にブロック
- アクセスレビューのサイクルが数週間から数日に短縮
観察性と準拠範囲
AgentCore ObservabilityはセッションごとのトレースとメトリクスをSOC 2、ISO、CSA STARの準拠範囲内で記録する（現在の状況はAWS Services in Scope by Compliance Programで確認可能）。ZumaはこれとAgentCore APIから取得したメタデータを突き合わせてガバナンス記録を維持する。インフラ面ではVPC・PrivateLink・CloudFormation・リソースタギングをサポートする。
AWSの共有責任モデルの下、クラウド自体のセキュリティはAWSが担うが、エージェントとアクセスのガバナンスはユーザー側の責任である点は押さえておく必要がある。
詳細はGoverning AI agent identity with Amazon Bedrock AgentCore and Saviynt Zumaを参照していただきたい。
