Intramedial befindet sich in der eingeschränkten Beta. Bei der Registrierung oder Anmeldung müssen Sie das erhaltene Beta-Tester-Passwort angeben oder unter preview@intramedial.com eines anfordern. Vielen Dank.
Wird geladen…
identity.enrollModul 12
Plane-Modul
Agent identity registry
Geben Sie jedem Agenten seine eigene Identität, bevor er handelt, damit jede zugelassene Aktion auf einen Agenten zurückgeht und nie auf ein gemeinsames Konto.
identity.enroll erfasst einen Agenten in der Workspace-Registry über seine DID, einen Anzeigenamen und eine Art. Wo eine Identitäts-Runtime gebunden ist, stellt sie auch die eigene DID des Agenten aus, und jeder Agent startet mit einem Trust-Profil beim Basiswert 50. SPIFFE-IDs und SCIM-Nutzer hängen an derselben Registry.
Agenten handeln, wenn die Ebene Ja sagt – und das Protokoll sagt, warum.
Leiten Sie Agent-Aktionen, Inhalts-Hashes, API-Checks, DNS-Abfragen, Webhooks, LLM-Aufrufe und Git-Commits über Intramedial – für einen signierten Beleg, den jeder prüft, ohne uns zu vertrauen.
Die DID, die die Identitäts-Runtime für diesen Agenten ausstellte, sofern eine ausgestellt wurde.
spiffeId
Die mit identity/spiffe gebundene SPIFFE-ID, sobald gebunden.
owner
Das Konto, das benachrichtigt wird, wenn sich die Autonomiestufe des Agenten ändert. Optional.
enrolledAt
Wann der Agent eingeschrieben wurde, als ISO-Zeitstempel.
shadow
true, wenn der Agent verfolgt, aber noch nicht sanktioniert ist, die Markierung, die mcp.shadow anbietet.
skipped
true, wenn keine DID ausgestellt wurde, was nur auf einem Worker ohne Identitäts-Runtime vorkommt.
Mechanismus
Schritt für Schritt
So funktioniert es
Den Agenten benennen
Senden Sie did und displayName. kind ist customer, partner oder house und ist standardmäßig customer. owner nennt das Konto, das benachrichtigt wird, wenn sich die Trust-Stufe des Agenten ändert.
Eine Identität wird ausgestellt
Ist die Identitäts-Runtime gebunden, stellt sie dem Agenten eine DID aus, geliefert als issuedDid. Lehnt die Runtime ab oder ist nicht erreichbar, wird die Einschreibung abgelehnt und nichts erfasst.
Datensatz und Profil werden geschrieben
Der Agent tritt der Workspace-Registry bei, und seine DID sowie seine ausgestellte DID erhalten je ein Trust-Profil mit Score 50.
Weitere Identitäten hängen sich an
Eine SPIFFE-ID wird mit identity/spiffe gebunden, SCIM-Nutzer kommen über identity/scim, und A2A-Trusted-Roots und Delegationen laufen über identity/a2a.
Ausprobieren
Live-Demo
Direkt auf dieser Seite ausführen
GET/api/v1/acp/identity/list
// Kein Body: Das ist ein GET. Klicken Sie auf Ausführen.
Läuft in einem gemeinsamen Demo-Workspace mit einem Demo-Schlüssel: Jeder kann sehen, was darin liegt, senden Sie also nichts Privates. Doku zu identity.enroll
Antworten
Klicken Sie auf Ausführen, um die Anfrage links an den gemeinsamen Demo-Workspace zu senden.
Läuft in einem gemeinsamen Demo-Workspace mit einem Demo-Schlüssel: Jeder kann sehen, was darin liegt, senden Sie also nichts Privates.
Code
Live-Beispiel
Eine echte Anfrage
Eine Anfrage in der Form, die die API akzeptiert, und eine Beispielantwort in der Form, die das Modul liefert.
Ein Billing-Agent wird einmal eingeschrieben. Jede spätere Zulassung, Lease und Freigabe nennt seine DID, nie ein gemeinsames Servicekonto.
Ein Verzeichnis übernehmen
SCIM-Ressourcen werden zu Kunden-Agenten. Eine Deprovisionierung mit active: false entfernt den verknüpften Agenten und nimmt seine ausgestellte DID zurück.
Zwei Agenten, ein Binary
Eine neue DID ist ein neuer Agent, auch bei demselben Code. Er erhält einen eigenen Trust-Score und übernimmt keine Historie.
Einen Streuner sanktionieren
Ein am MCP-Gateway gesehener, nie eingeschriebener Agent wird mit shadow: true eingeschrieben, um ihn zu verfolgen, oder ohne, um ihn zu sanktionieren.
Wann etwas anderes passt
Entscheiden, was ein Agent darf. Die Einschreibung gibt eine Identität, keinen Grant; Grants stammen aus Mandaten, die in mandates.compile kompiliert werden.
Lesen, wie weit ein Agent vertraut wird. Die Einschreibung startet den Score am Basiswert; trust.get zeigt, wo er jetzt steht.
Eine ganze Flotte aus einem Export importieren. Nutzen Sie onramp.sources, um viele Agenten in einem Durchgang zu planen und anzuwenden.
Nachweis
Garantien
Was es leistet und was nicht
Ein Modul ist eine starke Aussage über etwas Enges. Verlassen Sie sich genau darauf.
Es leistet
Jede eingeschriebene DID hat in ihrem Workspace genau einen Registry-Datensatz, und ein Workspace löst nie die Agenten eines anderen auf.
Bei gebundener Identitäts-Runtime wird eine Einschreibung, für die sie keine DID ausstellen kann, abgelehnt, statt ohne eine erfasst zu werden.
Die Runtime stellt eine deaktivierte DID nie neu aus. Der Agent erhält die nächste frische, aus seiner eigenen abgeleitete ID und eine eigene ausgestellte DID.
Die Deprovisionierung über SCIM setzt das Trust-Profil des Agenten auf den Basiswert zurück, sodass eine wiederverwendete DID keinen Score erbt.
Es leistet nicht
Dass der Aufrufer den Schlüssel hinter der DID kontrolliert. Die Einschreibung erfasst die vorgelegte DID und führt keine Challenge durch.
Wer verantwortlich ist. owner ist das Konto, das der Einschreibende nennt, und optional.
Dass der Agent sich korrekt verhält. Ein neuer Agent startet mit dem Basis-Score 50, was nichts über sein Verhalten aussagt.
Eine Historie von Schlüsseländerungen. Die Registry speichert keine; die Rotation gehört zur Identitäts-Runtime.
Details
Bauhinweise
Bevor Sie bauen
Wer einschreiben darf
Das Einschreiben braucht die Berechtigung agents.create. Die Matrix gibt sie Eigentümern und Admins, und ein Token trägt sie nur, wenn seine Scopes sie tragen.
Tariflimits
Hält die Organisation bereits die in ihrem Tarif enthaltenen Agenten, lehnt die Identitäts-Runtime die DID mit 402 ab, und die Einschreibung wird mit ihr abgelehnt.
Offboarding wird sicher wiederholt
Verpasst die Identitäts-Runtime einen Schritt einer SCIM-Deprovisionierung, schlägt die Anfrage fehl, wobei jeder Agent eingeschrieben bleibt. Jeder Schritt ist idempotent, sodass der Wiederholungsversuch des Identity Providers es abschließt.
Limits und Bemessung
Ein erfolgreicher Enroll- oder SCIM-Aufruf zählt gegen den Zähler identity_active_agents.
displayName ist Pflicht, und die MCP-Aktion begrenzt ihn auf 200 Zeichen.
Wurde eine ausgestellte DID deaktiviert, probiert die Einschreibung bis zu 8 abgeleitete Agenten-IDs, bevor sie aufgibt.
Zugriff
API & MCP
REST und MCP
Authentifizieren Sie sich mit einem Workspace-API-Schlüssel als Bearer-Token. Die Basis-URL ist https://api.intramedial.com.
REST-Endpunkte
POST/api/v1/acp/identity/enrollEinen Agenten einschreiben und seinen Datensatz zurückgeben.
GET/api/v1/acp/identity/listDie eingeschriebenen Agenten des Workspace auflisten.
MCP-Aktionen
MCPcoordination.identity.enrollEinen Agenten als MCP-Aktion einschreiben.
MCPcoordination.identity.listDie eingeschriebenen Agenten des Workspace als MCP-Aktion auflisten.
Halten Sie Verbindungen zwischen Ressourcen auf einer Karte, die Sie kontrollieren: Der Cartographer schlägt vor, und eine Person oder eine von Ihnen geschriebene Grenze genehmigt.
Plane-Modul
