Intramedial befindet sich in der eingeschränkten Beta. Bei der Registrierung oder Anmeldung müssen Sie das erhaltene Beta-Tester-Passwort angeben oder unter preview@intramedial.com eines anfordern. Vielen Dank.
Wird geladen…
saas.admitModul 30
Plane-Modul
SaaS connector admission
Fragen Sie, ob ein Agent eine SaaS-Quelle berühren darf, und lassen Sie ihn erst nach derselben Prüfung, die alles andere absichert, darüber schreiben.
saas.admit führt die Intralock-Zulassung auf einem SaaS-Connector aus, Ressource saas:<source>, mit der Standardaktion read. Ein Administrator kann einer Quelle auch eine Write-Map geben; write lässt dann jede Operation zu, leitet sie mit dem Verbindungs-Credential des Workspace weiter und erfasst das Ergebnis im Ledger.
Intralock · Leases · Parley · Fleet Map
A Trustvice Product
Agenten handeln, wenn die Ebene Ja sagt – und das Protokoll sagt, warum.
Leiten Sie Agent-Aktionen, Inhalts-Hashes, API-Checks, DNS-Abfragen, Webhooks, LLM-Aufrufe und Git-Commits über Intramedial – für einen signierten Beleg, den jeder prüft, ohne uns zu vertrauen.
sync antwortet für jede Quelle ok: false: credential_gated, wo ein Connector-Fabric-Adapter existiert, sonst adapter_planned. Zulassung und Write-Maps funktionieren heute; inspect zeigt, welche Quellen implementiert sind.
Protokoll
Das Protokoll
Was erfasst wird
source
Pflicht. Eine Connector-ID aus dem Katalog. id wird als Alias akzeptiert.
actorDid
Pflicht. Der anfragende Agent.
action
read, write oder . Bei standardmäßig ; bei stammt sie aus der der Operation.
Optional. Das Token, das ein Freigeber für einen Schreib- oder Löschvorgang ausstellte.
result
In der Antwort: allow, reason und, wenn ein Mensch bestätigen muss, approvalId.
llm
In der Antwort: false. Das Urteil ist eine reine Funktion.
op
Bei den Schreibrouten: der Operationsname aus der Map, kleingeschrieben, bis zu 40 Zeichen.
args
Bei den Schreibrouten: Werte, die in die Platzhalter {args.name} in Pfad und Ressource der Operation eingesetzt werden.
Mechanismus
Schritt für Schritt
So funktioniert es
Formen und Phasen
A
Zulassen
admit prüft saas:<source> für einen Akteur und eine Aktion. Es ist nur ein Urteil; nichts wird an das SaaS gesendet. Nutzen Sie es, bevor Ihr eigener Client die API aufruft.
B
Über eine Map schreiben
write schlägt die Operation in der Write-Map der Quelle nach, lässt sie zu und sendet die Anfrage erst bei allow mit dem gespeicherten Credential. Die Antwort wird geprüft.
Schritt für Schritt
Eine Quelle wählen
list liefert den Connector-Katalog, die Quellen und welche implementiert sind. Eine unbekannte source liefert 404.
Die Aktion zulassen
admit nimmt source, actorDid und optional action. Das Urteil ist die gemeinsame Zulassungsantwort, einschließlich approvalId bei einem Schreibvorgang, der Bestätigung braucht.
Läuft in einem gemeinsamen Demo-Workspace mit einem Demo-Schlüssel: Jeder kann sehen, was darin liegt, senden Sie also nichts Privates. Doku zu saas.admit
Antworten
Klicken Sie auf Ausführen, um die Anfrage links an den gemeinsamen Demo-Workspace zu senden.
Läuft in einem gemeinsamen Demo-Workspace mit einem Demo-Schlüssel: Jeder kann sehen, was darin liegt, senden Sie also nichts Privates.
Code
Live-Beispiel
Eine echte Anfrage
Eine Anfrage in der Form, die die API akzeptiert, und eine Beispielantwort in der Form, die das Modul liefert.
Rufen Sie admit mit action: write auf, bevor Ihr Client an die Quelle postet. Ein fehlender Grant antwortet no_grant; ein angehaltener Schreibvorgang antwortet mit einer approvalId.
Feinere Ressourcen als die Quelle
Eine Write-Map gibt jeder Operation ihre eigene Ressource, sodass ein Grant saas:github/issues.read abdecken kann, ohne saas:github/repos.delete abzudecken.
Schreiben, ohne den Schlüssel zu teilen
Der Agent hält nie das SaaS-Credential. write hängt das Token der Workspace-Verbindung an und prüft die Antwort, bevor sie zurückkommt.
Sehen, was versucht wurde
Jedes write hängt ein Ereignis saas.write und eine Zeile ans Write-Log an, auch abgelehnte Versuche mit ihrem reason.
Wann etwas anderes passt
Eine Repository-Aktion zulassen und an GitHub berichten. Nutzen Sie github.enforce, das repo: zulässt und einen Check postet.
Daten aus einem SaaS ziehen. Sync ist in diesem Modul nicht eingebaut; die Connector Fabric übernimmt das.
Zugriff überhaupt erst gewähren. Schreiben Sie ein Mandat mit mandates.compile; die Zulassung liest nur die Grants.
Nachweis
Garantien
Was es leistet und was nicht
Ein Modul ist eine starke Aussage über etwas Enges. Verlassen Sie sich genau darauf.
Es leistet
admit entscheidet mit Intralock und liefert llm: false; es nutzt denselben Pfad wie coordination.admit.
Eine POST-, PUT- oder PATCH-Operation kann nicht als read deklariert werden, und ein DELETE muss als delete deklariert sein; die Map wird sonst abgelehnt.
Ein abgelehntes write wird nie weitergeleitet: Die Antwort sagt forwarded: false, und die Zeile wird mit dem Grund protokolliert.
Eine Write-Map wird nur von einer angemeldeten Person geändert, die den Workspace administriert; ein Token oder Agent wird abgelehnt.
Es leistet nicht
Dass der SaaS-Aufruf gelang. status ist der HTTP-Status des Connectors, und ein 4xx kommt weiterhin mit allow: true zurück.
Dass ein admit-Urteil Ihren eigenen Client bindet. Nur über write gesendete Aufrufe werden vom Gateway gehalten.
Dass die deklarierte kind einer Operation für die Remote-API zutrifft. Die Map ist die Behauptung des Administrators, und eine falsch etikettierte Operation wird wie etikettiert zugelassen.
Dass die Zieladresse sicher ist. Die Prüfung liest die URL, nicht die DNS-Auflösung, und der Basis-Host muss zum Host der Map passen.
Details
Bauhinweise
Bevor Sie bauen
Standardressource
Eine Operation ohne eigene resource wird als saas:<source>/<op> zugelassen. Eine, die eine Ressource setzt, behält sie, bis zu 200 Zeichen.
Credentials
write nutzt die connectionId der Map oder ein Workspace-Secret, das authEnv nennt und mit SAAS_ beginnen muss. Liefert keines ein Token, geht der Aufruf ohne Autorisierung hinaus.
Platzhalter
{args.name} in einem Pfad wird aus args gefüllt und URL-kodiert. Ein fehlendes Argument ist ein 400, kein Leerwert.
Berechtigungen
write-map braucht policies.approve und einen Administrator. admit, write-preview und write tragen keine eigene Rolle; das Urteil sichert sie ab.
Limits und Bemessung
Eine Write-Map enthält höchstens 100 Operationen, jeder Pfad beginnt mit / und ist höchstens 300 Zeichen lang.
write läuft nach 8000 ms in den Timeout und behält höchstens 256 KiB der Antwort.
Das Write-Log behält 200 Zeilen; write-log liefert die jüngsten 100.
Eine Quelle ohne Write-Map liefert bei write und write-preview 404.
Zugriff
API & MCP
REST und MCP
Authentifizieren Sie sich mit einem Workspace-API-Schlüssel als Bearer-Token. Die Basis-URL ist https://api.intramedial.com.
REST-Endpunkte
POST/api/v1/acp/saas/admitDie Aktion eines Akteurs auf einem SaaS-Connector zulassen.
GET/api/v1/acp/saas/listConnector-Quellen auflisten und welche implementiert sind.
POST/api/v1/acp/saas/write-mapDie Write-Map einer Quelle setzen oder löschen (Administratoren).
POST/api/v1/acp/saas/write-previewRessource und Haltestatus einer Operation zeigen.
POST/api/v1/acp/saas/writeEine abgebildete Operation zulassen und weiterleiten.
Plane-Modul
