身份提供商（IdP）
负责验证用户或实体身份（认证）并提供身份断言的基础设施，常见协议包括SAML和OpenID Connect；在EMA框架下进一步承担授权决策职责
时间轴 (近 90 天)
企业托管授权（EMA）的核心主张是让身份提供商（IdP）在企业层面统一授予和控制AI代理的访问权限，而不需要为每个应用和每个代理弹出同意屏幕。
在EMA框架中，身份提供商从“登录入口”升级为“授权决策中心”，企业管理员在IdP侧定义哪些代理可以访问哪些应用、在什么条件下、拥有多大范围的权限。
SCIM等身份管理协议可用于同步代理的身份与属性，使IdP能够像管理员工账号一样管理代理主体。
不同IdP厂商对EMA策略表达的支持程度差异较大。
EMA高度依赖身份提供商的策略表达能力与执行可靠性，一旦IdP成为单点，其配置错误的影响面也随之放大。
在身份架构中，单点故障风险指当所有授权决策都汇聚到IdP时，IdP的可用性、配置正确性和安全性直接决定了所有代理访问的成败。
企业在采用EMA时通常需要配套措施，例如对IdP管理接口实施多因素认证和最小权限原则、对策略变更进行审批与版本化、以及建立独立的审计日志副本。
全部知识事实 (7)
企业托管授权（EMA）的核心主张是让身份提供商（IdP）在企业层面统一授予和控制AI代理的访问权限，而不需要为每个应用和每个代理弹出同意屏幕。
50%待验证在EMA框架中，身份提供商从“登录入口”升级为“授权决策中心”，企业管理员在IdP侧定义哪些代理可以访问哪些应用、在什么条件下、拥有多大范围的权限。
50%待验证SCIM等身份管理协议可用于同步代理的身份与属性，使IdP能够像管理员工账号一样管理代理主体。
50%待验证不同IdP厂商对EMA策略表达的支持程度差异较大。
50%待验证EMA高度依赖身份提供商的策略表达能力与执行可靠性，一旦IdP成为单点，其配置错误的影响面也随之放大。
50%待验证在身份架构中，单点故障风险指当所有授权决策都汇聚到IdP时，IdP的可用性、配置正确性和安全性直接决定了所有代理访问的成败。
50%待验证企业在采用EMA时通常需要配套措施，例如对IdP管理接口实施多因素认证和最小权限原则、对策略变更进行审批与版本化、以及建立独立的审计日志副本。
50%