Legacy IAM, o gestione tradizionale delle identità e degli accessi, è il modello più datato per controllare chi può usare un sistema e cosa può fare. Di solito si basa su utenti umani, gruppi statici e ruoli applicativi fissi. L'accesso viene spesso concesso una volta e poi verificato in un secondo momento, invece di essere adattato in modo rigoroso a ciascun task, sessione o condizione di runtime.
Questo è importante nella sicurezza informatica perché molti servizi moderni non sono più semplici applicazioni passive. Agenti di IA, script, account di servizio e integrazioni possono prendere decisioni e attivare azioni tra diversi strumenti. Legacy IAM può avere difficoltà a esprimere questo tipo di accesso dinamico e delegato, il che può portare a permessi eccessivi, tracce di audit deboli e accessi che durano troppo a lungo. Gli attaccanti sfruttano queste lacune abusando di account privilegiati, ruoli obsoleti o credenziali condivise; i difensori rispondono con il principio del privilegio minimo, token a breve durata, registrazione più robusta e controlli di policy più granulari.