AI 代理的負責人離職或轉職，主管要先分清接手、權限與停用三件事

假設某公司行銷部的林小姐去年自己建立了一個「客戶資料整理代理」，讓它定期把客戶回覆整理成表格，並由她擔任業務負責人。現在林小姐要轉去業務部，或是離開公司，代理還在運作。主管接到的第一個問題，不是「要不要直接刪掉」，而是「這個代理現在歸誰管」。

這個問題比想像中麻煩，因為代理不是員工帳號的延伸。AI 代理（AI Agent）是替人執行任務、能存取公司系統的程式。Microsoft Entra Agent ID 是 Microsoft Entra ID 中管理代理身分的功能，每個代理身分都有自己的狀態、負責人、已授予的權限與登入紀錄，可以分別查看。 所以只看林小姐的員工帳號是否還在，無法判斷代理還能不能存取系統，要去看代理身分本身。

代理有兩種負責人，離職時要分開問

同一個代理，通常要區分兩種責任。業務負責人（sponsor）對代理的用途、生命週期決策與存取權檢查負責。 技術管理者（owner）負責管理代理的設定與運作。 在林小姐的例子裡，她決定這個代理為什麼存在、還要不要用，以及它能碰哪些資料，這是業務負責人的工作；調整設定、確保運作正常的，是 IT 同事，他是技術管理者。

分開看的原因是，兩種人離開後會留下不同的缺口。業務負責人離開，代理可能沒有人決定它還要不要繼續；技術管理者離開，代理可能沒有人能調整設定。主管盤點時要分別問：現在誰是業務負責人？誰是技術管理者？不能因為有人負責維運，就假設他也決定代理的去留。

離開與轉職，要分開處理

Microsoft 2026 年 5 月的管理文件指出，若代理的業務負責人離開組織，系統會自動把這個身分改派給他的主管。 假設林小姐離開公司，代理的業務負責人就會改為她原本的主管王經理。這個改派是系統依產品規則自動完成的。其他平台是否如此，要另外確認。不過王經理收到的只是「名下多了一個代理」，這不代表他已經知道該怎麼處理。

轉職則不能套用同一個說法。文件說的自動改派，條件是負責人「離開組織」。 林小姐若只是轉到業務部，人還在公司，就不在這個條件裡，代理紀錄上的業務負責人仍可能是她。主管不能預設系統已經處理，要先查紀錄上的負責人是誰，再指定誰接手。

接手後，先核對，再決定

接手的人先要做的，是把三件事分開：誰接手、既有權限是否還必要、代理要繼續還是先暫停。

第一步是核對資料。Microsoft 文件指出，個別代理身分可以查看狀態、技術管理者與業務負責人、已授予權限與登入紀錄。 這些資料可以用來核對誰接手、代理是否仍啟用，以及它還有哪些存取權。實務上，主管可以請有查看權限的 IT 同事整理這些資料，再根據結果判斷。

假設 IT 同事依序查看這個代理身分：狀態仍是啟用；已授予權限中有「客戶資料夾」的讀取權限；登入紀錄顯示它近期仍有登入。 這三項各自回答不同的問題。狀態說明代理現在是否仍啟用；權限說明它被授予能讀取哪些資料；登入紀錄則是它最近還有進入系統的線索。 三者合起來，只能說明這個代理目前仍具備存取條件，還不能回答它是否還有人需要。

王經理於是去問行銷部。回覆是：林小姐負責的客戶專案已經結束，這份表格目前只有一位同事偶爾會看，他還沒決定之後是否要繼續用。使用的人與負責的人不一定是同一位，所以判斷需求要問實際在用的團隊，不能只因為專案已結束，就推定沒有人要。這時王經理還無法決定要保留或刪除，也不宜讓代理照舊運作。下一段說明，遇到這種還沒有答案的情況，可以先暫停代理。

第二步是決定要不要先停用。在 Microsoft Entra Agent ID 中，停用單一代理身分，會阻止它存取資源，也阻止它取得權杖（代理用來證明可以存取資源的憑證）。 管理員可以從管理中心操作；業務負責人與技術管理者則可透過 My Account 入口操作。 王經理若還不確定要不要刪除，可以先請管理員停用，讓代理暫時拿不到權杖。之後若確認仍需要，重新啟用就能恢復它的存取能力。 這種做法適合在判斷還不清楚時使用，因為它可以回頭。以上是 Microsoft Entra Agent ID 的描述；換成其他平台，要先確認那個平台的停用範圍。

NIST 草案：拿來盤點，不是答案

如果公司不使用 Microsoft 產品，可以參考美國 NIST（國家標準與技術研究院）底下 NCCoE 在 2026 年 2 月發布的文件。這是 DRAFT 概念文件，用來徵詢利害關係人的意見，協助界定專案範圍與可行性，不是已定的標準，也不是法律義務。

這份草案把兩個問題列為待探討：一是代理代表他人行動時，權限要怎麼委派，也就是代理替誰辦事、權限從誰那裡來；二是代理的身分要怎麼連到授權它的人，讓有人參與確認的授權（人在迴路中的授權）能夠運作。 另外，代理的情境改變時，授權政策能否動態更新，以及代理的權限要怎麼設到最小，也還要探討。 對主管來說，這些可以化成幾個問題，拿去問供應商與自家 IT：這個代理現在替誰做事，又是由誰授權的？負責人換人或用途改變後，它的權限會不會重新檢查？它目前拿到的權限，是不是已經最小？草案不回答哪種做法比較好，答案要看自家平台。

下次員工離開或轉職，先問三件事

回到林小姐的例子，主管可以把判斷收成三個檢查：這個代理的業務負責人與技術管理者現在是誰；它目前的權限，哪些是這份工作真正需要的；它應該繼續，還是先停用等待判斷。

有一點要記得：自動改派只處理「負責人在哪裡」，不替代「該不該繼續」的判斷。責任交到主管名下後，這個判斷還是要有人去做。

下一次有員工離開或轉職，可以先問 IT 一句：「他建立或贊助的代理，現在由誰當業務負責人，誰管技術？」如果答不出來，就是該先停下來核對的訊號。

資訊截至 2026 年 10 月。

資料來源

1. Microsoft Learn，Add and manage owners and sponsors for agent identities and blueprints：https://learn.microsoft.com/en-us/entra/agent-id/manage-owners-sponsors-agents（2026-05-28）
2. Microsoft Learn，Manage agent identities in your organization：https://learn.microsoft.com/en-us/entra/agent-id/manage-agent-identities-admin（2026-05-01）
3. NIST NCCoE，Accelerating the Adoption of Software and AI Agent Identity and Authorization：https://www.nccoe.nist.gov/sites/default/files/2026-02/accelerating-the-adoption-of-software-and-ai-agent-identity-and-authorization-concept-paper.pdf（2026-02）