Summary

  • Die Fassung vom 1. November 2026 ergänzt die erneute Ablaufprüfung zum Autorisierungszeitpunkt um das Identitätstoken der Agenteninstanz.
  • Auch das anschließend ausgestellte Zugriffstoken darf dessen Frist nicht überschreiten. Mandat und ausführende Identität sind getrennte Befugnisquellen.

Der interessante Fall beginnt nach einer erfolgreichen Prüfung. Ein Softwareagent hat einen Auftrag für eine organisationsübergreifende Zahlung vorgelegt. Die empfangende Stelle wartet noch auf eine Mitzeichnung. Der Auftrag bleibt währenddessen gültig; das Identitätstoken der Agenteninstanz läuft ab. Eine Oberfläche, die nur den geprüften Auftrag anzeigt, würde jetzt grünes Licht melden, obwohl der Ausführende seinen Nachweis verloren hat.

Cristian Huleas individueller Entwurf in Fassung -01 setzt am zweiten Zeitpunkt an. Nach Abschnitt 10.2 liest die vertrauende Stelle die Zeit A von ihrer Uhr, während sie Auflagen erfüllt und das Zugriffstoken ausstellt. Sie muss zu A die Fristen der Mandate, der stützenden Autoritätsaussagen, des gewählten Zeitfensters und nun auch des Workload Identity Token (WIT) erneut prüfen. Scheitert diese Prüfung, verweigert sie die Aktion. Das Zugriffstoken endet spätestens mit der frühesten anwendbaren Frist; zudem gilt es nur für eine Ausführung.

Die Oktoberfassung -00 kannte die zweite Prüfung bereits. Nur das WIT fehlte in der Aufzählung und bei der Obergrenze für die Tokenlaufzeit. Die Änderungsliste der neuen Fassung benennt genau diese Ergänzung. Der Entwurf berichtet keinen realen Zahlungsstopp und ist kein verabschiedeter Standard.

Warum braucht es mehrere Nachweise? Das Mandat beschreibt, was der Auftraggeber überträgt. Die Autoritätsaussage belegt, ob er diese Befugnis überhaupt weitergeben darf. Das vom Betreiber ausgestellte WIT bindet eine laufende Agenteninstanz an Kennung und Schlüssel. Der Text stellt ausdrücklich klar, dass dieser Nachweis weder Modell noch Konfiguration oder Verhalten der Instanz bescheinigt. Wer alle drei Dokumente zu einem pauschalen „Agent zugelassen“ zusammenzieht, verliert die verschiedenen Aussteller und Ablaufdaten.

Der Entwurf trennt außerdem Validierung zu T und Freigabe zu A. Das Ergebnis von T bleibt als damaliger Befund erhalten. Werden zwingend benötigte Statusnachweise bis A zu alt, muss die Stelle frische Nachweise holen und erneut validieren oder mit einem unbestimmten Ergebnis nach ihrer Richtlinie umgehen. Die neue WIT-Klausel verhindert einen weiteren Zeitgewinn: Selbst ein sauberer Mandatsbefund verlängert die Identität der Instanz nicht. Der Ressourcenserver hat einen zweiten Gebrauch des ausgestellten Tokens zurückzuweisen.

Für Betreiber heißt das: Identität rechtzeitig erneuern und erneut prüfen, oder die wartende Aktion ablehnen. Die IETF-Dokumentenseite zeigt einen individuellen Arbeitsentwurf; Betriebsergebnisse liefert sie nicht.