企业托管授权（EMA）

企业托管授权（EMA）的核心主张是让身份提供商（IdP）在企业层面统一授予和控制AI代理的访问权限，而不需要为每个应用和每个代理弹出同意屏幕。

在EMA框架中，身份提供商从“登录入口”升级为“授权决策中心”，企业管理员在IdP侧定义哪些代理可以访问哪些应用、在什么条件下、拥有多大范围的权限。

EMA带来的可治理性好处包括：权限集中在管理员手中，离职、调岗或策略变更可以一次性生效，不需要逐个应用回收授权。

EMA带来的可审计性好处包括：所有代理访问都经过同一套身份基础设施，日志与策略执行点统一，安全团队不必在多个应用的授权记录之间拼凑全景。

不同IdP厂商对EMA策略表达的支持程度差异较大。

EMA高度依赖身份提供商的策略表达能力与执行可靠性，一旦IdP成为单点，其配置错误的影响面也随之放大。

企业在采用EMA时通常需要配套措施，例如对IdP管理接口实施多因素认证和最小权限原则、对策略变更进行审批与版本化、以及建立独立的审计日志副本。