Workload Identity (Identität für Software-Workloads)

Workload Identity bezeichnet die überprüfbare Identität eines Software-Workloads, also eines Dienstes, Jobs, Containers, Agenten oder Build-Prozesses, der auf Systeme zugreift. Statt lange gültige API-Schlüssel oder statische Secrets in Umgebungen zu speichern, weist die Plattform dem Workload zur Laufzeit eine Identität zu. Diese Identität kann dann für kurzlebige Tokens, rollenbasierte Berechtigungen und nachvollziehbare Zugriffsentscheidungen verwendet werden. Der Ansatz ist besonders relevant für KI-Systeme, weil Agenten, Pipelines und Tool-Aufrufe oft automatisiert handeln und nicht sauber einer menschlichen Person zugeordnet werden können. Ohne Workload Identity wird aus einem gestohlenen CI-Key schnell ein generischer Generalschlüssel. Mit Workload Identity lässt sich prüfen, welcher Dienst eine Aktion ausführen darf, aus welchem Kontext die Anfrage kommt und wie lange diese Berechtigung gelten soll. Sie reduziert die Schadensfläche statischer Zugangsdaten und macht Sicherheitskontrollen wie Just-in-Time Access, Rotation und Audit-Logs deutlich belastbarer. Gerade in verteilten KI-Stacks mit mehreren Services, Modellendpunkten und Agenten-Tools verhindert sie, dass eine einzelne kompromittierte Umgebung automatisch Zugriff auf alle verbundenen Systeme erhält.