Okta añade autenticación de agente, así que KYA encaja directamente en IAM: roles y logs superan a los avisos por defecto.