ការគ្រប់គ្រងអត្តសញ្ញាណ និងសិទ្ធិចូលប្រើសម្រាប់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត (ផ្នែកទី១)

១. ព័ត៌មានទូទៅ

តើការគ្រប់គ្រងអត្តសញ្ញាណ និងសិទ្ធិចូលប្រើសម្រាប់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិតគឺជាអ្វី?

ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត (AI agents) ធ្វើការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ ប្រើប្រាស់ឧបករណ៍ និងអនុវត្តសកម្មភាពនៅក្នុងប្រព័ន្ធនានារបស់សហគ្រាស ដោយប្រើសិទ្ធិដែលត្រូវបានប្រគល់ឱ្យ។ ដំណើរការនៃការគ្រប់គ្រងអត្តសញ្ញាណ និងសិទ្ធិចូលប្រើ (Identity and Access Management – IAM) សម្រាប់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត ចាត់ទុកភ្នាក់ងារនីមួយៗជាអត្តសញ្ញាណមិនមែនមនុស្ស (non-human identity)។ ភ្នាក់ងារនីមួយៗគួរមានមនុស្សម្នាក់ទទួលខុសត្រូវ មានគោលបំណងច្បាស់លាស់ មានសិទ្ធិកំណត់ច្បាស់លាស់ មានកាលបរិច្ឆេទផុតកំណត់ និងត្រូវបានឆ្លងកាត់ការត្រួតពិនិត្យជាប់លាប់។

ប្រព័ន្ធ IAM បង្ហាញត្រឹមសិទ្ធិដែលភ្នាក់ងារគួរមានប៉ុណ្ណោះ ខណៈដែលកម្មវិធី និងហេដ្ឋារចនាសម្ព័ន្ធនៃប្រព័ន្ធបង្ហាញពីអ្វីដែលភ្នាក់ងារបានអនុវត្តជាក់ស្តែង។ ភ្នាក់ងារ ព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ គណនីកម្មវិធី និងមធ្យោបាយផ្ទៀងផ្ទាត់អត្តសញ្ញាណមួយចំនួន អាចមិនបង្ហាញនៅក្នុងប្រព័ន្ធគ្រប់គ្រងអត្តសញ្ញាណកណ្តាល (central identity systems) ឡើយ ដែលបង្កើតឱ្យមានចន្លោះខ្វះខាតរវាងគោលនយោបាយដែលបានកំណត់ និងឥរិយាបថជាក់ស្តែង។

២. ហេតុអ្វីប្រព័ន្ធ IAM សាមញ្ញអាចមានលក្ខណៈមិនគ្រប់គ្រាន់សម្រាប់គ្រប់គ្រងភ្នាក់ងារបញ្ញាសិប្បនិម្មិត

ប្រព័ន្ធ IAM សាមញ្ញគ្រប់គ្រងវដ្តជីវិតអត្តសញ្ញាណ គោលនយោបាយ ការបង្កើតនិងផ្តល់សិទ្ធិ ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ និងការអនុញ្ញាតសិទ្ធិ។ ការគ្រប់គ្រងទាំងនេះបង្ហាញពីរបៀបដែលសិទ្ធិចូលប្រើត្រូវបានកំណត់ ប៉ុន្តែមិនចាំបាច់បង្ហាញពីអ្វីដែលភ្នាក់ងារដែលអាចធ្វើការដោយស្វ័យប្រវត្តិ បានអនុវត្តបន្ទាប់ពីទទួលបានសិទ្ធិចូលប្រើនោះទេ។

• ២.១ សិទ្ធិថេរ (static permissions) មិនអាចសម្របទៅនឹងភាពស្វ័យប្រវត្តិរបស់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត

អ្នកប្រើប្រាស់ជាមនុស្សជាទូទៅអនុវត្តការងារតាមលំដាប់ដែលអាចព្យាករបាន។ ផ្ទុយទៅវិញ ភ្នាក់ងារបញ្ញាសិប្បនិម្មិតអាចភ្ជាប់ការងារជាច្រើនចូលគ្នា ជ្រើសរើសឧបករណ៍ដោយបត់បែន និងអនុវត្តសកម្មភាពដែលមិនងាយអាចព្យាករបាននៅពេលយើងត្រួតពិនិត្យសិទ្ធិចូលប្រើ។

ដូច្នេះ ហានិភ័យមិនអាស្រ័យតែលើសិទ្ធិដែលបានផ្តល់ឱ្យភ្នាក់ងារប៉ុណ្ណោះទេ ប៉ុន្តែអាស្រ័យលើប្រព័ន្ធដែលវាអាចចូលទៅដល់ និងសកម្មភាពដែលវាបានអនុវត្តផងដែរ។ ការកំណត់រចនាសម្ព័ន្ធបង្ហាញពីអ្វីដែលអាចកើតឡើង ខណៈដែលទិន្នន័យតាមដានប្រតិបត្តិការ (telemetry) បង្ហាញពីអ្វីដែលបានកើតឡើងជាក់ស្តែង។

• ២.២ ហានិភ័យនៃវដ្តជីវិតអត្តសញ្ញាណមិនមែនមនុស្ស និងព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ

អត្តសញ្ញាណរបស់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត ជាញឹកញាប់ត្រូវបានបង្កើតដោយប្រព័ន្ធស្វ័យប្រវត្តិកម្មហេដ្ឋារចនាសម្ព័ន្ធ ខ្សែដំណើរការដាក់ឱ្យប្រើប្រាស់ (deployment pipelines) ឬក្រុមអភិវឌ្ឍន៍កម្មវិធី មិនមែនដោយដំណើរការគ្រប់គ្រងអត្តសញ្ញាណធម្មតាដែលផ្អែកលើទិន្នន័យធនធានមនុស្សទេ។ ដោយសារហេតុនេះ អត្តសញ្ញាណទាំងនេះអាចរំលងដំណើរការអភិបាលកិច្ច និងមិនមាននៅក្នុងបញ្ជីសារពើភណ្ឌដែលប្រើសម្រាប់ពិនិត្យសិទ្ធិចូលប្រើ និងរាយការណ៍អនុលោមភាព។

បញ្ហាដែលកើតឡើងជាញឹកញាប់ក្នុងវដ្តជីវិតភ្នាក់ងារបញ្ញាសិប្បនិម្មិតរួមមាន៖

• • មិនមានអ្នកទទួលខុសត្រូវច្បាស់លាស់៖ មិនមានមនុស្សជាក់លាក់ណាម្នាក់ទទួលខុសត្រូវចំពោះគោលបំណង សិទ្ធិចូលប្រើ ឬការបន្តប្រើប្រាស់ភ្នាក់ងារ
  • ព័ត៌មានអាថ៌កំបាំងមានអាយុកាលវែង៖ សោ API និង token ថេរ (static API and token keys) របស់ភ្នាក់ងារនៅតែមានសុពលភាពក្រោយឆ្លងកាត់ការដាក់ឱ្យប្រើប្រាស់ជាច្រើនលើក ឬក្រោយពេលលែងប្រើប្រាស់ភ្នាក់ងារ
  • ការប្រគល់សិទ្ធិលើសកម្រិត៖ ភ្នាក់ងារទទួលបានសិទ្ធិជាអ្នកប្រើប្រាស់ ឬជាសេវាកម្មធំជាងកម្រិតដែលត្រូវការសម្រាប់ការងាររបស់វា
  • ការបង្កើតដែលមើលមិនឃើញ៖ ភ្នាក់ងារដែលត្រូវបានបង្កើតដោយបណ្ដុំការងារផ្សេងៗ ហើយមិនត្រូវបានចុះបញ្ជីក្នុងប្រព័ន្ធផ្តល់អត្តសញ្ញាណ (Identity Provider – IdP) ឬប្រព័ន្ធអភិបាលកិច្ច
  • មិនមានកាលបរិច្ឆេទផុតកំណត់៖ សិទ្ធិបណ្តោះអាសន្ននៅតែមានសុពលភាពក្រោយពេលការងារបណ្ដោះ អាសន្នបានបញ្ចប់រួចរាល់។

៣. សមាសភាគសំខាន់ៗនៃក្របខណ្ឌអត្តសញ្ញាណសម្រាប់ភ្នាក់ងារបញ្ញាសិប្បនិម្មិត

ក្របខណ្ឌដែលមានប្រសិទ្ធភាពត្រូវតែអាចកំណត់អត្តសញ្ញាណភ្នាក់ងារនីមួយៗ គ្រប់គ្រងអ្វីដែលវាអាចធ្វើបាន និងផ្តល់ភស្តុតាងអំពីសកម្មភាពដែលវាបានអនុវត្តជាក់ស្តែង។

• ៣.១ អត្តសញ្ញាណភ្នាក់ងារ ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ និងការគ្រប់គ្រងព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ

ភ្នាក់ងារនីមួយៗគួរមានអត្តសញ្ញាណផ្ទាល់ខ្លួនដែលអាចកំណត់សម្គាល់បាន ជំនួសឱ្យការប្រើគណនីសេវាកម្មដែលត្រូវបានប្រើជារួម ឬព័ត៌មានបញ្ជាក់អត្តសញ្ញាណរបស់មនុស្ស។ ការមានអត្តសញ្ញាណដាច់ដោយឡែក អាចឱ្យអង្គភាពបែងចែកសកម្មភាពរបស់ភ្នាក់ងារដាច់ចេញពីសកម្មភាពរបស់មនុស្ស និងរក្សាកំណត់ត្រាសវនកម្មដែលអាចទុកចិត្តបាន។

អង្គភាពគួរផ្តល់អាទិភាពដល់អត្តសញ្ញាណការងារបែបសហព័ន្ធ (federated workload identities) និងព័ត៌មានបញ្ជាក់អត្តសញ្ញាណដែលមានអាយុកាលខ្លីហើយអាចត្រូវបានប្ដូរដោយស្វ័យប្រវត្តិ ជំនួសឱ្យព័ត៌មានអាថ៌កំបាំងដែលបង្កប់ក្នុងប្រព័ន្ធ ឬមានអាយុកាលវែង។

នៅពេលភ្នាក់ងារធ្វើសកម្មភាពជំនួសអ្នកប្រើប្រាស់ ប្រព័ន្ធគួររក្សាអត្តសញ្ញាណរបស់ភ្នាក់ងារឱ្យដាច់ដោយឡែកពីសិទ្ធិដែលអ្នកប្រើប្រាស់បានប្រគល់ឱ្យ។ ភាពខុសគ្នានេះនឹងត្រូវបាត់បង់ ប្រសិនបើភ្នាក់ងារប្រើ session token របស់អ្នកប្រើប្រាស់ឡើងវិញដោយផ្ទាល់។

• ៣.២ ការអនុញ្ញាតសិទ្ធិលម្អិត និងការអនុវត្តគោលនយោបាយ

ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណបញ្ជាក់អត្តសញ្ញាណរបស់ភ្នាក់ងារ ខណៈពេលដែលការអនុញ្ញាតសិទ្ធិកំណត់អ្វីដែលភ្នាក់ងារអាចធ្វើបាន។

គោលការណ៍ដូចជា ការផ្តល់សិទ្ធិអប្បបរមា (least privilege) ការបែងចែកភារកិច្ច (separation of duties) និងព្រំដែននៃការកំណត់សិទ្ធិ (authorization boundaries) គួរត្រូវបានអនុវត្តចំពោះភ្នាក់ងារបញ្ញាសិប្បនិម្មិតផងដែរ។ ការអនុញ្ញាតសិទ្ធិគួរត្រូវបានអនុវត្តនៅកម្រិតនៃសកម្មភាពជាក់ស្តែង មិនមែនតែនៅពេលភ្នាក់ងារចូលប្រើប្រព័ន្ធប៉ុណ្ណោះទេ។

វិធានការល្អៗមួយចំនួនរួមមាន៖

• • សិទ្ធិចូលប្រើផ្អែកតាមការងារជាក់លាក់ (task-scoped access)៖ សិទ្ធិចូលប្រើត្រូវបានកំណត់សម្រាប់ការងារជាក់លាក់ណាមួយ ហើយផុតកំណត់នៅពេលការងារនោះបញ្ចប់
  • ការកំណត់បញ្ជីឧបករណ៍ដែលទទួលបានការអនុញ្ញាត (tool allowlisting)៖ ភ្នាក់ងារអាចប្រើតែ API និងមុខងារដែលចាំបាច់និងមានរាយក្នុងបញ្ជីប៉ុណ្ណោះ។ API និង មុខងារដែលមិនមានក្នុងបញ្ជី មិនត្រូវបានអនុញ្ញាតឱ្យភ្នាក់ងារប្រើប្រាស់ឡើយ
  • ព្រំដែនទិន្នន័យ (data boundaries)៖ ភ្នាក់ងារអាចចូលប្រើតែប្រភពទិន្នន័យដែលមានការអនុញ្ញាតប៉ុណ្ណោះ
  • លក្ខខណ្ឌសកម្មភាព (action thresholds)៖ សកម្មភាពដែលមានផលប៉ះពាល់ខ្ពស់ត្រូវការការអនុម័តពីមនុស្ស ឬដំណាក់កាលអនុញ្ញាតសិទ្ធិបន្ថែម។
• ៣.៣ ការត្រួតពិនិត្យ លទ្ធភាពសវនកម្ម និងការដកហូតសិទ្ធិ

ការត្រួតពិនិត្យគួរផ្តោតលើឥរិយាបថរបស់ភ្នាក់ងារ មិនមែនតែទៅលើកំណត់ត្រានៃការផ្ទៀងផ្ទាត់អត្តសញ្ញាណនោះទេ។ ព័ត៌មានបញ្ជាក់អត្តសញ្ញាណដែលមានសុពលភាពអាចបង្កើតកំណត់ត្រាចូលប្រើដែលមើលទៅធម្មតា ទោះបីគណនីកំពុងត្រូវបានប្រើប្រាស់ខុសបំណងក៏ដោយ។

អង្គភាពគួរអាចត្រួតពិនិត្យសកម្មភាពសំខាន់ៗរបស់ភ្នាក់ងារនៅលើកម្មវិធី និងហេដ្ឋារចនាសម្ព័ន្ធ ហើយអាចដកហូតសិទ្ធិដែលបានប្រគល់ឱ្យ នៅពេលឥរិយាបថរបស់ភ្នាក់ងារមានវិសាលភាពលើសពីការងារដែលបានកំណត់។

៤. ឯកសារពាក់ព័ន្ធ

• https://thehackernews.com/2026/09/iam-for-ai-agent.html