Okta adiciona autenticação de agente, então KYA fica diretamente no IAM: papéis e logs vencem os prompts por padrão.