智能体身份生命周期管理，核心不是“创建一个账号”，而是确保身份从申请、启用、授权、变更到停用、删除始终可追溯。若智能体长期借用员工账号或通用服务账号，企业就难以判断某项操作由谁发起、依据何种授权，也难以及时收回权限。落地时，应将每个智能体作为独立治理对象，并明确业务负责人、技术负责人、所属流程、运行环境和授权来源。
把生命周期嵌入业务流程
创建前，先登记智能体的用途、负责人、所需工具与数据范围，并区分开发、测试和生产环境。身份应与具体业务流程关联，而不是仅按项目临时建立。若智能体会调用其他智能体或外部工具，记录还需能识别调用链中的主体，避免所有行为最终都归到同一个共享账号。
启用时，按任务授予必要权限，并尽可能限定可访问的数据、可执行的操作及授权期限。身份管理不能替代访问控制：拥有独立身份，并不意味着权限天然合理。对于付款、删除、发布、权限变更等高影响操作，应明确是否需要人工确认或其他执行前校验，并在实际调用的工具和下游系统中验证控制有效，不能只检查聊天界面上的审批流程。
运行期间，权限变更、负责人调整和业务流程变化都应触发复核。审计记录至少应能够串联智能体身份、发起者或委托用户、授权依据、工具调用、审批过程与执行结果；只保存模型输出，无法还原实际操作。日志还需纳入企业既有的审计与调查流程，并明确访问和留存责任。
停用和删除则要成为正式的治理环节，而不是项目结束后的善后事项。业务终止、负责人离职、身份失效或智能体不再使用时，应及时撤销相关授权、阻断工具调用，并按内部要求处理身份记录与审计数据。采购和上线测试也应覆盖权限过期、审批拒绝、调用失败及越权尝试，确认控制能贯穿完整调用链。
身份产品开始支持智能体治理，是接入现有身份体系的机会，却不等于生命周期管理已经自动完成。企业应把登记、授权、复核、审计和回收写入内部流程，再用明确的业务场景验证每个环节是否真正生效。