Intramedial è in beta ristretta. Alla registrazione o all’accesso devi fornire la password da beta tester che hai ricevuto oppure richiederne una a preview@intramedial.com. Grazie.
Caricamento…
iam.assumeModulo 31
Modulo della piattaforma
Cloud credential broker
Dai a un agente una credenziale cloud di breve durata solo finché tiene un lease attivo sul ruolo, e lascia che la credenziale muoia con il lease.
iam.assume intermedia credenziali AWS tramite STS AssumeRoleWithWebIdentity. Nessun lease sull’ARN del ruolo, nessuna credenziale, e la durata della credenziale non supera mai ciò che resta del lease. Il ledger registra un’emissione, mai le chiavi. Una route warehouse fa lo stesso per Snowflake e BigQuery.
Intralock · Lease · Parley · Fleet Map
Un prodotto Trustvice
Gli agenti agiscono quando il piano dice sì, e il registro dice perché.
Fai passare da Intramedial azioni di agenti, hash di contenuti, controlli API, lookup DNS, webhook, chiamate LLM e commit git. Ricevi una ricevuta firmata che chiunque verifica, senza fidarsi di noi.
Obbligatorio. Il token OIDC passato a STS. Lo verifica AWS; il broker no.
sessionName
Il nome di sessione del ruolo AWS. Per default è acp ed è solo un’etichetta.
region
La regione STS. Per default è us-east-1.
ttlMs
Durata opzionale che chiedi. Può solo accorciare ciò che consentono il lease e il tetto.
leaseId
Nella risposta: il lease che ha giustificato la credenziale. leaseScoped è true.
expirationMs
Nella risposta: quando la credenziale scade, come riportato da STS.
Meccanismo
Passo dopo passo
Come funziona
Forme e fasi
A
Ruolo AWS
assume accetta un roleArn, un actorDid e un webIdentityToken, e restituisce credenziali STS per quel ruolo. Il lease che richiede è tenuto sull’ARN del ruolo stesso.
B
Warehouse
warehouse accetta un URN di risorsa della forma imd://warehouse/<snowflake|bigquery>/<account>/<path>, un actorDid e facoltativamente un subjectToken, e conia un JWT a coppia di chiavi o un token di accesso federato.
Passo dopo passo
Prendi un lease
L’agente acquisisce un lease sull’ARN del ruolo tramite coordination.lease. Il lease è ciò che giustifica la credenziale; nient’altro lo fa.
Chiedi il ruolo
assume accetta roleArn, actorDid, sessionName, webIdentityToken e facoltativamente region e ttlMs. Il token deve essere uno di cui AWS si fida per il ruolo.
Le chiamate di questo modulo modificano uno stato reale o raggiungono servizi esterni, quindi la demo condivisa non le esegue. Accedi per eseguirlo nel tuo workspace. Docs di iam.assume
Risposte
Le chiamate di questo modulo modificano uno stato reale o raggiungono servizi esterni, quindi la demo condivisa non le esegue. Accedi per eseguirlo nel tuo workspace.
Codice
Esempio live
Una richiesta reale
Una richiesta nella forma accettata dall’API e una risposta di esempio nella forma restituita dal modulo.
Un agente che fa deploy tiene un lease sul ruolo di deploy e nient’altro. Senza di esso, il ruolo non ha credenziali da consegnare.
La credenziale muore con il lease
Un lease con venti minuti rimasti non può dare una credenziale di un’ora; la durata è la minore tra il residuo del lease, ttlMs e 3.600.000 ms.
Osservare le emissioni
Ogni emissione aggiunge un evento iam.assume che nomina attore, ruolo e scadenza. watchdog.check legge quegli eventi per anomalie di frequenza.
Tenere fuori i gioielli della corona
Un ruolo il cui nome corrisponde a una classe protetta come billing o kms è rifiutato con 403, anche per chi tiene un lease.
Quando usare altro
Acquisire o rilasciare il lease. Usa coordination.lease; il broker legge soltanto i lease.
Decidere se un’azione nel cloud è permessa. Lo fa l’IAM del cloud; questo modulo emette la credenziale e si ferma.
Individuare un’ondata di richieste di credenziali. È watchdog.check, che legge ciò che questo modulo registra.
Prove
Garanzie
Cosa fa e cosa non fa
Un modulo è una promessa forte su una cosa circoscritta. Contaci esattamente per ciò che è.
Fa
Una credenziale è coniata solo per il DID che tiene un lease attivo sull’ARN esatto del ruolo.
La sua durata è il minimo tra il tempo residuo del lease, il ttlMs richiesto e 3.600.000 ms.
L’evento di ledger iam.assume registra attore, ruolo e scadenza, e mai la chiave di accesso, il segreto o il token di sessione.
Un lease con troppo poco tempo per il minimo di 900 secondi di STS è rifiutato con 409 invece di essere arrotondato per eccesso.
Non fa
Che un lease rilasciato uccida una credenziale già emessa. La credenziale vive fino al suo expirationMs; il lease ferma solo la successiva.
Che il token di identità web sia valido per l’agente. Lo decide STS, e il broker lo passa così com’è.
Che la registrazione nel ledger sia riuscita ogni volta. Una scrittura fallita non blocca l’emissione; il controllo di silenzio del watchdog copre la lacuna.
Dettagli
Note di sviluppo
Prima di costruire
Lease brevi
AWS STS rifiuta sessioni sotto i 900 secondi, quindi un lease con meno di questo rimasto non può essere trasformato in una credenziale.
Classi protette
Il nome del ruolo, la parte dopo l’ultimo /, è confrontato con le classi protette dello snapshot. Una corrispondenza è rifiutata prima che si legga qualsiasi lease.
La corrispondenza del detentore
Il detentore del lease è confrontato con actorDid, che un agente autenticato può impostare solo sul proprio DID.
Configurazione del warehouse
I percorsi Snowflake e BigQuery richiedono l’associazione dei propri segreti. Un warehouse non configurato risponde 501, e una risorsa Snowflake senza ruolo mappato è 403.
Limiti e misurazione
roleArn deve iniziare con arn:aws:iam::, webIdentityToken e actorDid sono obbligatori, e uno mancante restituisce 400.
Nessun lease, un lease scaduto, un lease tenuto da un altro agente o uno con troppo poco tempo rimasto restituisce 409.
La durata della credenziale non supera mai 3.600.000 ms, qualunque cosa dica ttlMs.
La risposta contiene una volta le chiavi segrete; tienile fuori dai log, perché il ledger non le avrà.
Accesso
API e MCP
REST e MCP
Autenticati con una chiave API del workspace come token Bearer. L’URL di base è https://api.intramedial.com.
Endpoint REST
POST/api/v1/acp/iam/assumeConia credenziali temporanee AWS per un ruolo in lease.
POST/api/v1/acp/iam/warehouseConia una credenziale Snowflake o BigQuery per una risorsa in lease.
Azioni MCP
MCPcoordination.iam.assumeRichiedi credenziali AWS da un agente.
Rifiuta con 403 il nome di un ruolo di classe protetta, poi con 409 un lease mancante, scaduto, altrui o quasi esaurito, poi chiama STS.
Usala e lasciala scadere
La risposta porta chiave di accesso, segreto e token di sessione con expirationMs. Rilasciare il lease pone fine alla disponibilità del broker a coniare, non alle credenziali già emesse.
coordination.halt06
Emergency stop switches
Ferma subito un agente, un mandato o una risorsa, con un motivo agli atti, e togli lo stop quando è sicuro.
Modulo della piattaforma
