Intramedial befindet sich in der eingeschränkten Beta. Bei der Registrierung oder Anmeldung müssen Sie das erhaltene Beta-Tester-Passwort angeben oder unter preview@intramedial.com eines anfordern. Vielen Dank.
Wird geladen…
iam.assumeModul 31
Plane-Modul
Cloud credential broker
Geben Sie einem Agenten ein kurzlebiges Cloud-Credential nur, solange er eine aktive Lease auf die Rolle hält, und lassen Sie das Credential mit der Lease sterben.
iam.assume vermittelt AWS-Credentials über STS AssumeRoleWithWebIdentity. Keine Lease auf den Rollen-ARN, kein Credential, und die Lebensdauer des Credentials überschreitet nie, was von der Lease bleibt. Das Ledger erfasst eine Ausstellung, nie die Schlüssel. Eine Route warehouse tut dasselbe für Snowflake und BigQuery.
Intralock · Leases · Parley · Fleet Map
A Trustvice Product
Agenten handeln, wenn die Ebene Ja sagt – und das Protokoll sagt, warum.
Leiten Sie Agent-Aktionen, Inhalts-Hashes, API-Checks, DNS-Abfragen, Webhooks, LLM-Aufrufe und Git-Commits über Intramedial – für einen signierten Beleg, den jeder prüft, ohne uns zu vertrauen.
Pflicht. Das an STS übergebene OIDC-Token. AWS prüft es; der Broker nicht.
sessionName
Der AWS-Rollen-Sitzungsname. Standard ist acp, und er ist nur ein Label.
region
Die STS-Region. Standard ist us-east-1.
ttlMs
Optionale gewünschte Lebensdauer. Sie kann nur verkürzen, was Lease und Obergrenze erlauben.
leaseId
In der Antwort: die Lease, die das Credential rechtfertigte. leaseScoped ist true.
expirationMs
In der Antwort: wann das Credential abläuft, wie von STS gemeldet.
Mechanismus
Schritt für Schritt
So funktioniert es
Formen und Phasen
A
AWS-Rolle
assume nimmt einen roleArn, eine actorDid und ein webIdentityToken und liefert STS-Credentials für diese Rolle. Die nötige Lease wird auf dem Rollen-ARN selbst gehalten.
B
Warehouse
warehouse nimmt eine Ressourcen-URN der Form imd://warehouse/<snowflake|bigquery>/<account>/<path>, eine actorDid und optional ein subjectToken und prägt ein Schlüsselpaar-JWT oder ein föderiertes Zugriffstoken.
Schritt für Schritt
Eine Lease nehmen
Der Agent erwirbt über coordination.lease eine Lease auf den Rollen-ARN. Die Lease ist es, die das Credential rechtfertigt; nichts anderes.
Die Rolle anfragen
assume nimmt roleArn, actorDid, sessionName, webIdentityToken und optional region und ttlMs. Das Token muss eines sein, dem AWS für die Rolle vertraut.
Die Aufrufe dieses Moduls verändern echten Zustand oder erreichen externe Dienste, daher führt die gemeinsame Demo sie nicht aus. Melden Sie sich an, um es in Ihrem eigenen Workspace auszuführen. Doku zu iam.assume
Antworten
Die Aufrufe dieses Moduls verändern echten Zustand oder erreichen externe Dienste, daher führt die gemeinsame Demo sie nicht aus. Melden Sie sich an, um es in Ihrem eigenen Workspace auszuführen.
Code
Live-Beispiel
Eine echte Anfrage
Eine Anfrage in der Form, die die API akzeptiert, und eine Beispielantwort in der Form, die das Modul liefert.
Ein Agent, der deployt, hält eine Lease auf die Deploy-Rolle und sonst nichts. Ohne sie hat die Rolle kein Credential herauszugeben.
Das Credential stirbt mit der Lease
Eine Lease mit zwanzig Minuten Rest kann kein einstündiges Credential ergeben; die Lebensdauer ist das Kleinste aus Rest der Lease, ttlMs und 3.600.000 ms.
Die Ausstellung beobachten
Jede Ausstellung hängt ein Ereignis iam.assume an, das Akteur, Rolle und Ablauf nennt. watchdog.check liest diese Ereignisse auf Ratenanomalien.
Die Kronjuwelen draußen halten
Eine Rolle, deren Name zu einer geschützten Klasse wie billing oder kms passt, wird mit 403 abgelehnt, auch für einen Lease-Halter.
Wann etwas anderes passt
Die Lease erwerben oder freigeben. Nutzen Sie coordination.lease; der Broker liest Leases nur.
Entscheiden, ob eine Aktion in der Cloud erlaubt ist. Das tut Cloud-IAM; dieses Modul stellt das Credential aus und hört auf.
Einen Schwall von Credential-Anfragen erkennen. Das ist watchdog.check, das liest, was dieses Modul erfasst.
Nachweis
Garantien
Was es leistet und was nicht
Ein Modul ist eine starke Aussage über etwas Enges. Verlassen Sie sich genau darauf.
Es leistet
Ein Credential wird nur für die DID geprägt, die eine aktive Lease auf den exakten Rollen-ARN hält.
Seine Lebensdauer ist das Minimum aus Restzeit der Lease, angefordertem ttlMs und 3.600.000 ms.
Das Ledger-Ereignis iam.assume erfasst Akteur, Rolle und Ablauf, und nie Access Key, Secret oder Session Token.
Eine Lease mit zu wenig Zeit für das eigene 900-Sekunden-Minimum von STS wird mit 409 abgelehnt, statt aufgerundet zu werden.
Es leistet nicht
Dass eine freigegebene Lease ein bereits ausgestelltes Credential tötet. Das Credential lebt bis zu seinem expirationMs; die Lease stoppt nur das nächste.
Dass das Web-Identity-Token für den Agenten gültig ist. Das entscheidet STS, und der Broker reicht das Token durch.
Dass die Ledger-Erfassung jedes Mal gelang. Ein fehlgeschlagener Schreibvorgang blockiert die Ausstellung nicht; die Stille-Prüfung des Watchdogs deckt die Lücke.
Details
Bauhinweise
Bevor Sie bauen
Kurze Leases
AWS STS lehnt Sitzungen unter 900 Sekunden ab, sodass eine Lease mit weniger Rest nicht in ein Credential verwandelt werden kann.
Geschützte Klassen
Der Rollenname, der Teil nach dem letzten /, wird gegen die geschützten Klassen des Snapshots geprüft. Ein Treffer wird abgelehnt, bevor eine Lease gelesen wird.
Der Halter-Abgleich
Der Lease-Halter wird mit actorDid verglichen, die ein authentifizierter Agent nur auf seine eigene DID setzen kann.
Warehouse-Einrichtung
Die Snowflake- und BigQuery-Pfade brauchen ihre eigenen gebundenen Secrets. Ein nicht konfiguriertes Warehouse antwortet 501, und eine Snowflake-Ressource ohne abgebildete Rolle ist 403.
Limits und Bemessung
roleArn muss mit arn:aws:iam:: beginnen, webIdentityToken und actorDid sind Pflicht, und ein fehlendes liefert 400.
Keine Lease, eine abgelaufene Lease, eine von einem anderen Agenten gehaltene oder eine mit zu wenig Restzeit liefert 409.
Die Credential-Lebensdauer überschreitet nie 3.600.000 ms, was auch immer ttlMs sagt.
Die Antwort enthält die geheimen Schlüssel einmal; halten Sie sie aus Logs heraus, denn das Ledger hat sie nicht.
Zugriff
API & MCP
REST und MCP
Authentifizieren Sie sich mit einem Workspace-API-Schlüssel als Bearer-Token. Die Basis-URL ist https://api.intramedial.com.
REST-Endpunkte
POST/api/v1/acp/iam/assumeTemporäre AWS-Credentials für eine geleaste Rolle prägen.
POST/api/v1/acp/iam/warehouseEin Snowflake- oder BigQuery-Credential für eine geleaste Ressource prägen.
MCP-Aktionen
MCPcoordination.iam.assumeAWS-Credentials von einem Agenten aus anfragen.
Er lehnt einen Rollennamen einer geschützten Klasse mit 403 ab, dann eine fehlende, abgelaufene, fremde oder fast verbrauchte Lease mit 409, und ruft dann STS auf.
Nutzen und ablaufen lassen
Die Antwort trägt Access Key, Secret und Session Token mit expirationMs. Das Freigeben der Lease beendet die Bereitschaft des Brokers zu prägen, nicht bereits ausgestellte Credentials.
coordination.halt06
Emergency stop switches
Stoppen Sie einen Agenten, ein Mandat oder eine Ressource sofort, mit aktenkundigem Grund, und heben Sie den Stopp auf, wenn es sicher ist.
Plane-Modul
