dual-control.scopesMódulo 22Exija dois administradores diferentes antes que as ações mais destrutivas da plataforma sejam executadas e veja se o selo break-glass está intacto.
dual-control.scopes lista as oito ações que exigem duas pessoas. Um administrador solicita um escopo com o corpo exato, outro o aprova, e a rota com portão só executa com esse mandado. A mesma rota informa o selo break-glass e quantas solicitações ainda estão abertas.
Passe ações de agentes, hashes de conteúdo, checagens de API, DNS, webhooks, chamadas de LLM e commits git pela Intramedial. Receba um recibo assinado que todos verificam – sem confiar em nós.
© 2026 Intramedial. Todos os direitos reservados. A Intramedial é um produto da Trustvice. Secured and supercharged by Avonao Labs.
Denunciar abusokill-switch pode ser solicitado e aprovado, mas nenhuma rota confere seu mandado, então aprová-lo não para nada. Use as rotas de parada só para administradores em coordination para paradas e não dependa deste escopo para sustentar uma.
Módulo da plataforma
scopesquarantine, revoke-grant, revoke-tenant, revoke-verification, teardown-yard, kill-switch, reseal e restore-workspace./docs/dual-control-scopesReferência da APIRotas, corpos e códigos de status./docs/dual-control-scopesAbrir o consoleVeja o módulo em ação no painel, em uma frota de exemplo ou na sua./app/dual-controlComece grátisCrie um workspace e admita sua primeira intenção./auth/signup
sealintact e, quando rompido, brokenBy, brokenAt, why e witnessedBy.openrequestrequest: a solicitação armazenada, com o digest devolvido ao lado.digestdecisionapprove e decide: se a solicitação agora tem um mandado válido.refusedWithoutdecide: o motivo de um mandado não ter sido emitido.Um administrador envia um scope e o body exato da ação. A plataforma devolve o request e um digest, a forma canônica da solicitação que os aprovadores assinam.
approve recebe o requestId e o digest. O aprovador deve ser outro administrador autenticado com MFA nas últimas 12 horas.
decide confere se pessoas distintas suficientes aprovaram e devolve o mandado, ou diz o que faltou em refusedWithout.
As rotas com portão respondem 403 a menos que a requisição leve um mandado para aquele escopo e corpo. Sete rotas têm portão hoje.
Executa em um workspace de demonstração compartilhado com uma chave de demonstração: qualquer pessoa pode ver o que ele contém, então não envie nada privado. Docs de dual-control.scopes
Clique em Executar para enviar a requisição à esquerda ao workspace de demonstração compartilhado.
Executa em um workspace de demonstração compartilhado com uma chave de demonstração: qualquer pessoa pode ver o que ele contém, então não envie nada privado.
Uma requisição no formato que a API aceita e um exemplo de resposta no formato que o módulo devolve.
GET /api/v1/acp/dual-control/scopes Authorization: Bearer av_workspace_•••• → 200 { scopes, seal, open }
{
"scopes": [
"quarantine",
"revoke-grant",
"revoke-tenant",
"revoke-verification",
"teardown-yard",
"kill-switch",
"reseal",
"restore-workspace"
],
"seal": {
"intact": true
},
"open": 0
}Um administrador solicita uma quarentena para um agente que se comporta mal, um segundo lê o digest e a aprova, e só então a rota de quarentena executa.
Cortar a delegação de um tenant afeta pessoas de fora da equipe. Dois administradores precisam concordar antes de tenancy/revoke prosseguir.
Um yard guarda trabalho em execução. A rota de desmonte fica fechada até dois administradores aprovarem este desmonte exato.
Em uma emergência um administrador rompe o selo com um motivo. A ruptura é gravada primeiro no ledger, e rearmá-lo exige duas pessoas.
coordination.approve.coordination.halt, que um administrador pode definir sozinho.Um módulo é uma afirmação forte sobre algo estreito. Confie nele exatamente pelo que ele é.
stale_digest.dual-control.break-glass no ledger antes de qualquer outra coisa acontecer.kill-switch não tem nenhuma.coordination/quarantine, coordination/revoke, tenancy/revoke, yards/teardown, packs/revoke-verification, adapters-github/revoke e remediation/execute.
self_approval, same_principal, not_human, no_mfa, wrong_request, stale_digest, expired, insufficient, requester_not_human, not_administrator e requester_not_administrator.
Um mandado do tipo adjudicated substitui a segunda pessoa quando um caso de arbitragem no degrau 3 ou 4 traz um remédio e assunto correspondentes.
Enquanto o selo está rompido, só quem o rompeu pode prosseguir, e só depois de uma recusa. Rearmar exige o escopo reseal, aprovado por duas pessoas.
ttlMs diga outra coisa.glass é só para administradores na rota e no módulo.Autentique-se com uma chave de API do workspace como token Bearer. A URL base é https://api.intramedial.com.
/api/v1/acp/dual-control/scopesListe os escopos fixos, o estado do selo e as solicitações abertas./api/v1/acp/dual-control/requestsListe as solicitações de controle duplo e suas aprovações./api/v1/acp/dual-control/requestAbra uma solicitação para um escopo com seu corpo exato./api/v1/acp/dual-control/approveAprove uma solicitação assinando seu digest./api/v1/acp/dual-control/decideConfira uma solicitação e devolva seu mandado./api/v1/acp/dual-control/glassRompa o selo com um motivo, gravado primeiro no ledger./api/v1/acp/dual-control/sealLeia o selo, ou rearme-o com um reseal aprovado./api/v1/acp/dual-control/gatePergunte se uma rota tem portão e o que o portão decide.Este módulo não tem ação MCP. Chame-o por REST a partir de qualquer agente ou programa.
coordination.approve05Human approval queueRetenha uma gravação ou exclusão de risco até que uma pessoa autenticada aprove, com o agente, o recurso e o verbo diante dela.tenancy.tree18Tenant tree and reachModele revendedores e seus clientes como uma árvore e calcule quem alcança cada ramo a partir de delegações em vez de armazená-lo.coordination.quarantine32Agent quarantineCorte um agente na admissão, mas só com a aprovação de uma segunda pessoa ou uma decisão que nomeie esse agente exato.coordination.admit01Intralock admissionDecida cada ação antes que aconteça: um agente declara sua intenção, e o Intralock a admite ou nomeia o motivo de ela não poder.coordination.lease02Resource leases and queuesRetenha um recurso para um agente por vez, com um lease que expira sozinho e uma fila para os agentes que precisam esperar.civics.claims20Resource claims officeDeixe um agente declarar no que está prestes a trabalhar antes de pegar um lease e abra um caso quando duas reivindicações colidirem.metering.snapshot21