# AWS dote les agents IA d’une identité cryptographique > AWS présente une architecture X.509 avec Keyfactor pour authentifier les agents IA accédant aux bases, API et opérations sensibles. Type : Actualité IA · Catégorie : Outils · Publié le 2026-10-21 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/aws-et-keyfactor-securisent-lidentite-des-agents-ia Tags : agents ia, cybersécurité, pki, aws, identité numérique, agents-ia --- ## En résumé - AWS présente une architecture X.509 pour identifier les agents IA. - Keyfactor EJBCA automatise la gestion PKI par API REST. - L’architecture combine délégation signée, jetons ciblés et révocation OCSP. **Le signal :** AWS associe X.509, Keyfactor EJBCA et OCSP en temps réel pour encadrer l’identité des agents IA. **AWS présente** une architecture d’identité cryptographique pour les agents IA, publiée le 21 octobre 2026. Elle s’appuie sur des certificats X.509 et une infrastructure à clés publiques, ou PKI. Cette identité concerne les agents qui accèdent à des bases de données, des interfaces de programmation et des opérations commerciales sensibles. L’architecture associe AWS à Keyfactor EJBCA, une plateforme PKI conçue pour les déploiements à haute disponibilité. Elle prend aussi en charge l’automatisation par API REST et la validation via le protocole OCSP. La proposition décrit donc une identité cryptographique directement liée aux accès réalisés par les agents dans des environnements d’entreprise. **Les agents communiquent** avec des outils et des sources de données externes grâce au Model Context Protocol, ou MCP. Ce protocole est utilisé par des cadres d’agents IA multi-agents pour relier ces agents à leurs ressources opérationnelles. L’identité X.509 fournit alors un mécanisme cryptographique pour distinguer les agents qui demandent un accès. Keyfactor présente EJBCA comme une plateforme de gestion PKI adaptée à ces usages. Keyfactor indique que sa plateforme de gestion des identités machines est utilisée par plus de 1 500 entreprises dans le monde. L’architecture documentée relie ainsi identité, accès aux outils et validation des certificats. ## L’architecture combine plusieurs contrôles **Les requêtes signées** constituent un élément central de l’architecture de référence. Elles sont intégrées dans des enveloppes de requêtes signées, destinées à protéger les échanges entre agents et services. Des assertions de délégation signées par l’utilisateur complètent ce mécanisme. Elles établissent qu’un utilisateur a signé la délégation associée à l’action demandée. L’architecture emploie aussi des jetons dont l’audience est limitée selon la norme RFC 8693. Cette limitation lie le jeton à une audience définie. Le dispositif ajoute enfin une révocation OCSP en temps réel. Ces composants forment l’ensemble des contrôles décrits pour les accès des agents. **EJBCA se déploie** selon plusieurs options d’infrastructure. La plateforme prend en charge une installation sur site, dans des conteneurs ou sur Amazon Elastic Compute Cloud, aussi appelé Amazon EC2. Elle propose également un déploiement à haute disponibilité. Son API REST permet d’automatiser les opérations de la PKI. La validation OCSP sert à vérifier le statut des certificats. Keyfactor fournit cette plateforme dans une architecture associée aux services AWS. L’exemple de mise en œuvre est disponible dans le [projet d’exemple AWS](https://github.com/aws-samples/sample-Securing-AI-agent-identity-with-X-509-PKI-on-AWS). La documentation d’EJBCA est également publiée par [Keyfactor](https://www.keyfactor.com/products/ejbca-enterprise/). ## MCP relie agents et ressources externes **Le protocole MCP** sert de couche de connexion entre les agents et les outils ou sources de données externes. Les cadres multi-agents l’utilisent pour organiser ces connexions. Dans l’architecture présentée, l’identité cryptographique X.509 accompagne les accès réalisés vers ces ressources. Les enveloppes signées, les délégations signées et les jetons à audience ciblée décrivent les contrôles appliqués aux requêtes. La révocation OCSP en temps réel complète cette chaîne de vérification. Le [site officiel de MCP](https://modelcontextprotocol.io/) documente le protocole utilisé par ces cadres. AWS met aussi à disposition un [exemple de mise en œuvre](https://github.com/strands-agents/sdk-python) consacré au développement d’agents. Pour aller plus loin, consultez notre guide sur [déployer un agent IA en PME sans développeur](/signal-ia/guides/agents-ia-pme-sans-developpeur-2026).