Intramedial está en beta restringida. Al registrarte o iniciar sesión, debes indicar la contraseña de beta tester que recibiste o solicitar una en preview@intramedial.com. Gracias.
Cargando…
iam.assumeMódulo 31
Módulo de la plataforma
Cloud credential broker
Da a un agente una credencial cloud de corta duración solo mientras tenga un lease vigente sobre el rol, y deja que la credencial muera con el lease.
iam.assume intermedia credenciales de AWS mediante STS AssumeRoleWithWebIdentity. Sin lease sobre el ARN del rol no hay credencial, y la vida de la credencial nunca supera lo que queda del lease. El ledger registra una emisión, nunca las claves. Una ruta warehouse hace lo mismo para Snowflake y BigQuery.
Intralock · Leases · Parley · Fleet Map
Un producto Trustvice
Los agentes actúan cuando el plano dice sí, y el registro dice por qué.
Pasa por Intramedial acciones de agentes, hashes de contenido, pruebas de API, DNS, webhooks, llamadas LLM y commits. Obtén un recibo firmado que cualquiera verifica, sin fiarse de nadie.
Obligatorio. El token OIDC que se pasa a STS. AWS lo comprueba; el broker no.
sessionName
El nombre de sesión de rol de AWS. Es acp por defecto y es solo una etiqueta.
region
La región de STS. Es us-east-1 por defecto.
ttlMs
Vigencia opcional que pides. Solo puede acortar lo que permiten el lease y el techo.
leaseId
En la respuesta: el lease que justificó la credencial. leaseScoped es true.
expirationMs
En la respuesta: cuándo caduca la credencial, según informa STS.
Mecanismo
Paso a paso
Cómo funciona
Formas y fases
A
Rol de AWS
assume toma un roleArn, un actorDid y un webIdentityToken, y devuelve credenciales STS para ese rol. El lease que necesita se tiene sobre el propio ARN del rol.
B
Warehouse
warehouse toma una URN de recurso con la forma imd://warehouse/<snowflake|bigquery>/<account>/<path>, un actorDid y opcionalmente un subjectToken, y genera un JWT de par de claves o un token de acceso federado.
Paso a paso
Tomar un lease
El agente adquiere un lease sobre el ARN del rol mediante coordination.lease. El lease es lo que justifica la credencial; nada más lo hace.
Pedir el rol
assume toma roleArn, actorDid, sessionName, webIdentityToken y, opcionalmente, region y ttlMs. El token debe ser uno en el que AWS confíe para el rol.
Las llamadas de este módulo cambian estado real o llegan a servicios externos, por lo que la demostración compartida no las ejecuta. Inicia sesión para ejecutarlo en tu propio workspace. Docs de iam.assume
Respuestas
Las llamadas de este módulo cambian estado real o llegan a servicios externos, por lo que la demostración compartida no las ejecuta. Inicia sesión para ejecutarlo en tu propio workspace.
Código
Ejemplo en vivo
Una petición real
Una petición con la forma que acepta la API y una respuesta de ejemplo con la forma que devuelve el módulo.
Un agente que despliega tiene un lease sobre el rol de despliegue y nada más. Sin él, el rol no tiene credencial que entregar.
La credencial muere con el lease
Un lease con veinte minutos por delante no puede dar una credencial de una hora; la vigencia es la menor entre lo que queda del lease, ttlMs y 3.600.000 ms.
Vigilar la emisión
Cada emisión añade un evento iam.assume que nombra al actor, el rol y la caducidad. watchdog.check lee esos eventos en busca de anomalías de ritmo.
Mantener fuera las joyas de la corona
Un rol cuyo nombre coincide con una clase protegida como billing o kms se rechaza con 403, incluso para un titular de lease.
Cuándo usar otra cosa
Adquirir o liberar el lease. Usa coordination.lease; el broker solo lee leases.
Decidir si una acción en la nube está permitida. Eso lo hace el IAM cloud; este módulo emite la credencial y ahí termina.
Detectar una ráfaga de peticiones de credenciales. Eso es watchdog.check, que lee lo que este módulo registra.
Evidencia
Garantías
Qué hace y qué no hace
Un módulo es una afirmación fuerte sobre algo acotado. Confía en él exactamente para lo que es.
Hace
Una credencial se genera solo para el DID que tiene un lease vigente sobre el ARN exacto del rol.
Su vigencia es el mínimo entre el tiempo restante del lease, el ttlMs solicitado y 3.600.000 ms.
El evento del ledger iam.assume registra el actor, el rol y la caducidad, y nunca la clave de acceso, el secreto ni el token de sesión.
Un lease con muy poco tiempo para el mínimo de 900 segundos de STS se rechaza con 409 en lugar de redondearse hacia arriba.
No hace
Que un lease liberado mate una credencial ya emitida. La credencial vive hasta su expirationMs; el lease solo detiene la siguiente.
Que el token de identidad web sea válido para el agente. Eso lo decide STS, y el broker pasa el token tal cual.
Que el registro en el ledger tuviera éxito siempre. Una escritura fallida no bloquea la emisión; la comprobación de silencio del watchdog cubre el hueco.
Detalles
Notas de construcción
Antes de construir
Leases cortos
AWS STS rechaza sesiones de menos de 900 segundos, así que un lease con menos tiempo que eso no puede convertirse en credencial.
Clases protegidas
El nombre del rol, la parte tras la última /, se compara con las clases protegidas de la instantánea. Una coincidencia se rechaza antes de leer ningún lease.
La coincidencia del titular
El titular del lease se compara con actorDid, que un agente autenticado solo puede fijar a su propio DID.
Configuración de warehouse
Las rutas de Snowflake y BigQuery necesitan sus propios secretos vinculados. Un warehouse sin configurar responde 501, y un recurso de Snowflake sin rol mapeado da 403.
Límites y medición
roleArn debe empezar por arn:aws:iam::, webIdentityToken y actorDid son obligatorios, y uno ausente devuelve 400.
Ningún lease, un lease caducado, un lease de otro agente o uno con muy poco tiempo restante devuelve 409.
La vigencia de la credencial nunca supera 3.600.000 ms, diga lo que diga ttlMs.
La respuesta contiene las claves secretas una sola vez; mantenla fuera de los logs, porque el ledger no la tendrá.
Acceso
API y MCP
REST y MCP
Autentícate con una clave de API del workspace como token Bearer. La URL base es https://api.intramedial.com.
Endpoints REST
POST/api/v1/acp/iam/assumeGenera credenciales temporales de AWS para un rol con lease.
POST/api/v1/acp/iam/warehouseGenera una credencial de Snowflake o BigQuery para un recurso con lease.
Acciones MCP
MCPcoordination.iam.assumePide credenciales de AWS desde un agente.
Rechaza con 403 un nombre de rol de clase protegida, luego con 409 un lease ausente, caducado, ajeno o casi agotado, y entonces llama a STS.
Usarla y dejar que caduque
La respuesta lleva la clave de acceso, el secreto y el token de sesión con expirationMs. Liberar el lease acaba con la disposición del broker a generar, no con credenciales ya emitidas.
coordination.halt06
Emergency stop switches
Detén al instante un agente, un mandato o un recurso, con un motivo registrado, y levanta la parada cuando sea seguro.
Módulo de la plataforma
