Identité d'agent, confiance et agent gateway chez SAP — ce qui est documenté et ce que décrit TechEd 2026
À jour au
Qu'est-ce que Identité d'agent, confiance et agent gateway chez SAP ?
L'architecture de référence de SAP traite un agent IA comme une identité dans SAP Cloud Identity Services, propage le contexte utilisateur par échange de jeton plutôt que par relais, et fait passer les agents tiers par une agent gateway avec contrôles de politique. Le modèle d'identité est documenté sur des pages SAP (12 mai au 1ᵉʳ oct. 2026) ; le flux d'enregistrement de la gateway (SAP for Me, « formations », découverte) n'apparaît que dans neuf sessions du catalogue TechEd 2026 (27-28 oct.) et relève de la preview, pas d'une annonce.
D'abord le statut : architecture documentée contre libellés de catalogue
Cette fiche mêle deux types de preuves et étiquette chacune. Documenté : les pages de l'Architecture Center de SAP sur l'identité d'agent, le SAP AI Agent Hub et les agents sur SAP Business AI Platform, plus la description de SAP Cloud Identity Services sur le SAP Help Portal. Libellés de catalogue seulement (preview) : ce que neuf sessions du SAP TechEd 2026 disent d'une « agent gateway », de l'enregistrement via « SAP for Me », des « formations » et de la découverte. Le catalogue SAP TechEd 2026 liste XP202 « SAP-managed agent access, trust, and discovery » (27 oct.), XP268 « Govern the agent economy: Secure A2A using SAP’s agent gateway » (27 oct.) et XP112 « How SAP secures enterprise AI agents with identity propagation » (28 oct.). La description d'une session n'est pas une annonce produit : aucune date de disponibilité générale, aucun prix ni droit d'accès pour le flux d'enregistrement de la gateway n'est publié dans ce que nous avons lu (16 octobre 2026).
Pourquoi c'est important
- L'architecture de référence de SAP place les agents dans le même annuaire que les personnes (SAP Cloud Identity Services) : les processus d'arrivée, de mobilité, de départ et de revue existants peuvent s'étendre aux agents au lieu d'un dispositif parallèle.
- L'échange de jeton plutôt que le relais de jeton est la règle de conception qui conserve le contexte utilisateur, nomme l'agent et borne le périmètre ; c'est là que se jouent audits et incidents.
- Neuf sessions du TechEd 2026 (27-28 oct.) sont listées sur ce thème, mais le flux d'enregistrement de l'agent gateway n'est décrit que dans des résumés ; les plans clients doivent séparer architecture documentée et libellés de catalogue jusqu'au 30 octobre.
Points clés
- Documenté : SAP Cloud Identity Services est le hub d'identité des humains et des agents ; les agents ont leur propre identité dans l'Identity Directory (SAP Architecture Center, mise à jour le 12 mai 2026).
- Règle documentée : un serveur MCP ne relaie pas le jeton de l'appelant en aval ; il l'échange (RFC 8693) contre un jeton borné portant l'identité de l'agent et le contexte utilisateur.
- Documenté : l'Agent Gateway a une interface A2A externe pour les agents tiers et un rôle interne qui encapsule le trafic Joule vers agents, avec trois points d'application de politique.
- Réserves de statut sur les pages SAP : le point d'application entre agents et APIs, outils ou MCP est annoncé au S2 2026 ; l'A2A tiers bidirectionnel via la gateway n'est « pas encore pris en charge ».
- Libellés de catalogue seulement (preview) : enregistrement via SAP for Me, « formations » et découverte d'agents (XP202), et intégration d'un agent Google en A2A (XP268).
- Hors périmètre ici : injection de prompt et filtrage de contenu (M368, C120) ; cette fiche traite de qui est l'agent et de ce qu'il peut atteindre.
- Après TechEd (30/10) : relire statut de la gateway, flux de jetons, révocation et couverture d'Enterprise Threat Detection dans les mots de SAP.
Termes employés sur cette page
- Non-human identity
- Identité détenue par un logiciel (compte de service, charge de travail, agent IA) plutôt que par une personne ; elle exige un responsable, un périmètre et un cycle de vie comme un utilisateur.
- Agent identity
- Dans l'architecture de référence SAP, les artefacts d'identité qui permettent d'authentifier, d'autoriser et de gouverner un agent ; stockés dans l'Identity Directory à côté des identités humaines.
- Token exchange (RFC 8693)
- Mécanisme OAuth 2.0 pour échanger un jeton contre un autre avec une autre audience, un autre périmètre ou une autre identité ; l'alternative au relais d'un jeton reçu.
- Principal propagation
- Transmettre l'identité de l'utilisateur final à chaque saut pour que le backend autorise l'utilisateur et non un compte technique partagé.
- SAP Agent Gateway
- Selon les pages d'architecture SAP : l'interface A2A des agents tiers et le chemin à politiques appliquées pour le trafic Joule vers agents. Les détails d'enregistrement ne figurent que dans le catalogue.
- App2App trust
- Relation de confiance SAP Cloud Identity Services (IAS) entre Joule et un serveur d'agent pro-code, requise pour que Joule appelle un agent A2A.
- Policy enforcement point (PEP)
- Endroit où une décision d'accès est appliquée ; la page SAP liste l'entrée de la gateway, le transfert entre agents et l'application cible.
- Formation (preview wording)
- Terme du résumé de XP202 pour ce qui établit la confiance entre agents ; non défini dans les pages primaires SAP lues.
Sources
- SAP Architecture Center — AI Agent Identity & Governance in SAP Landscapes (updated 12 May 2026)
- SAP Architecture Center — Agentic AI & AI Agents on SAP Business AI Platform (Agent Gateway, status caveats)
- SAP Architecture Center — SAP AI Agent Hub for Enterprise AI Governance (updated 1 Oct 2026)
- SAP Architecture Center — Third-Party MCP Server Access to SAP Solutions on BTP (agent identity, token exchange)
- SAP Architecture Center — Integrating Low-Code and Pro-Code AI Agents with Joule (IAS App2App trust, 27 Aug 2026)
- SAP Architecture Center — AI-native North Star: Integration, Security, Ethics & Governance (direction, not a roadmap)
- SAP Learning — Enabling Interoperability for AI Agents (A2A, MCP, Agent Hub as protocol adapter)
- SAP Help Portal — What Are Cloud Identity Services?
- SAP Help Portal — SAP Enterprise Threat Detection, Cloud Edition
- IETF — RFC 8693, OAuth 2.0 Token Exchange
- Model Context Protocol — Authorization (revision 2026-07-28)
- A2A Protocol — Specification (version 1.0)
- SAP TechEd 2026 catalogue — XP268 'Govern the agent economy: Secure A2A using SAP’s agent gateway (27 Oct)'
- SAP TechEd 2026 catalogue — XP202 'SAP-managed agent access, trust, and discovery (27 Oct)'
- SAP TechEd 2026 catalogue — XP112 'How SAP secures enterprise AI agents with identity propagation (28 Oct)'
- SAP TechEd 2026 catalogue — XP105 'AI-powered security: Managing risks of nonhuman identities (27 Oct)'
- SAP TechEd 2026 catalogue — XP100 'Evolving the identity lifecycle for an AI-first future (27 Oct)'
- SAP TechEd 2026 catalogue — XP262 'Governing AI with identity and access management (27 Oct)'
- SAP TechEd 2026 catalogue — XP822 'Road map: SAP Business AI Platform security and SAP Cloud Identity Services (28 Oct)'
- SAP TechEd 2026 catalogue — ST131 'Secure, compliant, and trusted AI solutions with SAP Business AI Platform (27 Oct)'
- SAP TechEd 2026 catalogue — XP101 'Building trusted applications on SAP Business AI Platform by design (28 Oct)'
Fiche complète réservée aux abonnés. Ce que la fiche complète ajoute : le cadre de décision complet · la comparaison SAP · Snowflake · Databricks · Fabric · les pièges courants et leur correctif · l'aide-mémoire · les schémas d'architecture · les blocs de code · les chiffres à citer.