Okta 添加了代理认证，因此 KYA 完全落在 IAM 中：角色和日志默认优于提示。