Intramedial est en bêta restreinte. À l’inscription ou à la connexion, vous devez fournir le mot de passe de bêta-testeur que vous avez reçu ou en demander un à preview@intramedial.com. Merci.
Chargement…
identity.enrollModule 12
Module du plan
Agent identity registry
Donnez à chaque agent sa propre identité avant qu'il agisse, pour que chaque action admise remonte à un seul agent et jamais à un compte partagé.
identity.enroll enregistre un agent dans le registre de l'espace de travail par son DID, un nom d'affichage et un type. Quand un runtime d'identité est lié, il émet aussi le DID propre de l'agent, et chaque agent démarre avec un profil de confiance au score de base de 50. Les ID SPIFFE et les utilisateurs SCIM se rattachent au même registre.
Les agents agissent quand le plan dit oui, et le registre dit pourquoi.
Faites passer actions d’agents, hash de contenu, contrôles d’API, requêtes DNS, webhooks, appels LLM et commits git par Intramedial. Obtenez un reçu signé vérifiable par tous – sans nous croire.
Le DID que le runtime d'identité a émis pour cet agent, s'il en a émis un.
spiffeId
L'ID SPIFFE lié avec identity/spiffe, une fois lié.
owner
Le compte notifié quand le niveau d'autonomie de l'agent change. Facultatif.
enrolledAt
Le moment de l'enrôlement de l'agent, sous forme d'horodatage ISO.
shadow
true quand l'agent est suivi mais pas encore autorisé, le marquage que propose mcp.shadow.
skipped
true quand aucun DID n'a été émis, ce qui n'arrive que sur un worker sans runtime d'identité.
Mécanisme
Pas à pas
Comment ça marche
Nommer l'agent
Envoyez did et displayName. kind vaut customer, partner ou house et customer par défaut. owner désigne le compte à notifier quand le niveau de confiance de l'agent change.
Une identité est émise
Quand le runtime d'identité est lié, il émet un DID pour l'agent, renvoyé en issuedDid. Si le runtime refuse ou est injoignable, l'enrôlement est refusé et rien n'est enregistré.
L'enregistrement et un profil sont écrits
L'agent rejoint le registre de l'espace de travail, et son DID comme son DID émis reçoivent chacun un profil de confiance au score de 50.
D'autres identités se rattachent
Un ID SPIFFE se lie avec identity/spiffe, les utilisateurs SCIM arrivent par identity/scim, et les racines de confiance et délégations A2A passent par identity/a2a.
Essayer
Démo en direct
Exécutez-le depuis cette page
GET/api/v1/acp/identity/list
// Pas de corps : c’est un GET. Appuyez sur Exécuter.
S’exécute dans un workspace de démonstration partagé avec une clé de démonstration : tout le monde peut voir ce qu’il contient, n’envoyez donc rien de privé. Docs identity.enroll
Réponses
Appuyez sur Exécuter pour envoyer la requête de gauche au workspace de démonstration partagé.
S’exécute dans un workspace de démonstration partagé avec une clé de démonstration : tout le monde peut voir ce qu’il contient, n’envoyez donc rien de privé.
Code
Exemple en direct
Une vraie requête
Une requête dans la forme acceptée par l’API, et un exemple de réponse dans la forme renvoyée par le module.
Un agent de facturation s'enrôle une fois. Chaque admission, lease et approbation ultérieure nomme son DID, jamais un compte de service partagé.
Importer un annuaire
Les ressources SCIM deviennent des agents clients. Un déprovisionnement avec active: false retire l'agent lié et reprend son DID émis.
Deux agents, un seul binaire
Un nouveau DID est un nouvel agent, même pour le même code. Il a son propre score de confiance et aucun historique repris.
Autoriser un agent égaré
Un agent vu à la passerelle MCP mais jamais enrôlé est enrôlé avec shadow: true pour le suivre, ou sans pour l'autoriser.
Quand utiliser autre chose
Décider de ce qu'un agent peut faire. L'enrôlement donne une identité, pas une habilitation ; les habilitations viennent des mandats compilés dans mandates.compile.
Lire le degré de confiance accordé à un agent. L'enrôlement fixe le score au niveau de base ; trust.get montre où il en est maintenant.
Importer toute une flotte depuis un export. Utilisez onramp.sources pour planifier et appliquer de nombreux agents en une passe.
Preuves
Garanties
Ce qu’il fait, et ce qu’il ne fait pas
Un module est une affirmation forte sur un sujet étroit. Fiez-vous-y exactement pour ce qu’il est.
Il le fait
Chaque DID enrôlé a un seul enregistrement de registre dans son espace de travail, et un espace de travail ne résout jamais les agents d'un autre.
Avec un runtime d'identité lié, un enrôlement pour lequel il ne peut émettre de DID est refusé plutôt qu'enregistré sans DID.
Le runtime ne réémet jamais un DID désactivé. L'agent reçoit le prochain identifiant neuf dérivé du sien et un DID émis qui lui est propre.
Le déprovisionnement via SCIM remet le profil de confiance de l'agent au niveau de base, de sorte qu'un DID recyclé n'hérite d'aucun score.
Il ne le fait pas
Que l'appelant contrôle la clé derrière le DID. L'enrôlement enregistre le DID présenté et ne lance aucun défi.
Qui est responsable. owner est le compte que nomme l'enrôleur, et il est facultatif.
Que l'agent se comporte bien. Un nouvel agent démarre au score de base de 50, qui ne dit rien de sa conduite.
Un historique des changements de clé. Le registre n'en stocke aucun ; la rotation relève du runtime d'identité.
Détails
Notes de conception
Avant de construire
Qui peut enrôler
Enrôler exige la permission agents.create. La matrice l'accorde aux propriétaires et administrateurs, et un jeton ne la porte que si ses périmètres la portent.
Limites du forfait
Quand l'organisation détient déjà les agents inclus dans son forfait, le runtime d'identité refuse le DID avec un 402 et l'enrôlement est refusé avec lui.
Le départ se réessaie sans risque
Si le runtime d'identité manque une étape d'un déprovisionnement SCIM, la requête échoue et tous les agents restent enrôlés. Chaque étape est idempotente, donc le nouvel essai du fournisseur d'identité la termine.
Limites et mesure
Un appel enroll ou SCIM réussi compte sur le compteur identity_active_agents.
displayName est requis, et l'action MCP le plafonne à 200 caractères.
Quand un DID émis a été désactivé, l'enrôlement essaie jusqu'à 8 identifiants d'agent dérivés avant d'abandonner.
Accès
API et MCP
REST et MCP
Authentifiez-vous avec une clé d’API d’espace de travail comme jeton Bearer. L’URL de base est https://api.intramedial.com.
Points d’accès REST
POST/api/v1/acp/identity/enrollEnrôler un agent et renvoyer son enregistrement.
GET/api/v1/acp/identity/listLister les agents enrôlés de l'espace de travail.
Actions MCP
MCPcoordination.identity.enrollEnrôler un agent comme action MCP.
MCPcoordination.identity.listLister les agents enrôlés de l'espace de travail comme action MCP.
Gardez les connexions entre ressources sur une carte que vous contrôlez : le cartographe propose, et une personne ou une limite que vous avez écrite approuve.
Module du plan
