tenancy.treeモジュール 18リセラーとその顧客をツリーでモデル化し、誰がどのブランチに到達できるかを、保存せずに委任から算出します。
tenancy.tree はサブテナントのツリーと、その上の委任です。テナントは1つの親にぶら下がり、プリンシパルはブランチに対して read、operate、administer のいずれかを持ち、到達範囲は呼び出しのたびにツリーをたどって算出されます。テナントの停止や委任の取り消しは、その配下すべてを断ちます。
© 2026 Intramedial. All rights reserved. IntramedialはTrustviceの製品です。 Secured and supercharged by Avonao Labs.
不正利用の報告ツリーは can と reach に答えますが、他のモジュールはこれを呼び出さないため、委任はまだエージェントやコンソールの動作を制限しません。答えは自前のツールで使い、強制は未接続として扱ってください。
プレーンのモジュール
tenantsid、name、parentId、createdAt、停止中なら suspendedAt。path / で連結したもの。読み取りのたびに構築されます。create は親の下、またはワークスペース管理者向けにトップにテナントを追加します。move はサブツリーの親を付け替えます。循環は拒否されます。
delegate はプリンシパルに、テナントとその配下すべてに対する read、、 を与えます。 は別個のフラグで、スコープから暗黙には導かれません。
共有デモワークスペースでデモ用キーを使って実行します。中身は誰でも見られるため、非公開の情報は送らないでください。 tenancy.treeの資料
実行を押すと、左のリクエストが共有デモワークスペースに送信されます。
共有デモワークスペースでデモ用キーを使って実行します。中身は誰でも見られるため、非公開の情報は送らないでください。
APIが受け付ける形のリクエストと、モジュールが返す形のレスポンス例です。
GET /api/v1/acp/tenancy/tree Authorization: Bearer av_workspace_•••• → 200 { tenants, valid }
リセラーは自社テナントに対する administer を canDelegate 付きで得て、顧客1社のためにオペレーターを任命します。保持する以上の権限は付与できません。
顧客テナントを suspend すると、そのテナントと配下すべてへの到達が断たれます。停止を解除すれば復元され、何も削除されていません。
委任を revoke すると、そこから切り出されたすべての委任も一緒に終了します。応答には、有効な委任がなくなったテナントが列挙されます。
モジュールは、狭い範囲について強く保証します。保証されることだけを頼ってください。
canDelegate が設定されている場合だけです。create と move は循環を拒否します。read < operate < administer で、それぞれ前のものを含みます。再委任は別個の canDelegate フラグなので、リセラーは管理者にならずにオペレーターを任命できます。
ワークスペースのオーナーと管理者がルートを保持し、root-admin プリンシパルを指名できます。canDelegate を持つ委任先は、自分の到達範囲の下でサブテナントを作成し、委任できます。トップレベルのテナントを作成できるのはルートだけです。
ワークスペースのAPIキーをBearerトークンとして認証します。ベースURLは https://api.intramedial.com です。
/api/v1/acp/tenancy/treeテナントのツリー、または1つのサブツリーをパス付きで読み取ります。/api/v1/acp/tenancy/create親の下、またはトップにテナントを作成します。dual-control.scopes22Two-person dual controlプレーンで最も破壊的な操作の実行前に、別々の管理者2人を必須にし、ブレークグラスの封印が無傷かを確認します。identity.enroll12Agent identity registry各エージェントが行動する前に固有の ID を与え、承認判定されたすべてのアクションが共有アカウントではなく 1 つのエージェントにさかのぼれるようにします。
valid{ ok: true }、または重複ID、親の欠落、循環の場合は { ok: false, reasons }。delegationsdelegations ルートから取得: 各付与の principal、tenantId、scope、canDelegate、grantedBy。revokedAtrevokedWhy。operateadministercanDelegatereach と can はツリーと有効な委任をたどり、プリンシパルが持つものを答えます。行には何も記録されないため、移動や取り消しはすぐに反映されます。
suspend はテナントのサブツリー全体への到達を断ち、lift: true で復元します。revoke は委任と、そこから切り出されたすべての委任を終了します。
{
"tenants": [
{
"id": "tenant_1a",
"name": "Acme MSP",
"parentId": null,
"createdAt": "2026-10-12T10:00:00.000Z",
"path": "Acme MSP"
},
{
"id": "tenant_2b",
"name": "Superfly",
"parentId": "tenant_1a",
"createdAt": "2026-10-12T10:05:00.000Z",
"path": "Acme MSP / Superfly"
}
],
"valid": {
"ok": true
}
}can はプリンシパルがテナントに対する operate を持つかどうかに答え、reach はプリンシパルが触れられるすべてのテナントを一覧表示します。
coordination.admit を通るマンデートと付与を使ってください。tenancy/revoke には管理者2名の令状が必要です。dual-control.scopes を参照してください。identity.enroll の背後にあります。grantedBy を保持しますが、取り消しは時刻と理由のみで実行者は残らず、移動にも行為者は記録されません。revoke にはスコープ revoke-tenant の二人制の相互統制の令状が必要で、その後、委任の付与者、または元となる委任の保持者に照らして検査されます。
delegate で scope を省略すると、既定は operate です。/api/v1/acp/tenancy/suspend/api/v1/acp/tenancy/delegateプリンシパルにテナントへのスコープを与えます。/api/v1/acp/tenancy/revoke委任と、そこから切り出されたすべてを取り消します。/api/v1/acp/tenancy/delegationsテナント、プリンシパル、有効状態で絞り込んで委任を一覧表示します。/api/v1/acp/tenancy/reachプリンシパルが各テナントに対して持つスコープを一覧表示します。/api/v1/acp/tenancy/canプリンシパルが、少なくとも指定のスコープを持つかを尋ねます。このモジュールにMCPアクションはありません。任意のエージェントやプログラムからRESTで呼び出してください。
coordination.fleetmap11Fleet Mapプレーンが承認判定した内容から導出された、ワークスペース内のすべてのエージェントのグラント、リース、待機者、隔離を、1 回の呼び出しで読み取ります。mcp.shadow13Shadow agent discoveryMCP ゲートウェイが確認したツール呼び出しを、それぞれの背後のエージェントとともに一覧します。誰も登録していない呼び出し元も、登録済みのものと並んで表示されます。civics.presence14Agent presenceオンラインのピアと各ピアが保持しているものをエージェントが確認できるようにし、静かなエージェントが敵対的と誤解されないようにします。trust.get15Trust scores and autonomyエージェントの信頼スコアと獲得した自律ティアを読み取り、プレーンが実際に見た行動に応じて自律性を決められます。worldmodel.graph16World model graphワークスペースが把握するすべてのエージェント、リポジトリ、リース、名前付きリソースと、その接続を、先にマップを描かずに確認できます。cartographer.map17Cartographer edge reviewリソース間の接続を自分で管理できるマップに保ちます。地図作成者が提案し、人または自分が書いた境界が承認します。