iam.assumeMódulo 31Dê a um agente uma credencial de nuvem de curta duração só enquanto ele detém um lease ativo sobre o papel, e deixe a credencial morrer com o lease.
iam.assume intermedia credenciais AWS por STS AssumeRoleWithWebIdentity. Sem lease no ARN do papel, sem credencial, e a vida da credencial nunca passa do que resta do lease. O ledger registra uma emissão, nunca as chaves. Uma rota warehouse faz o mesmo para Snowflake e BigQuery.
Passe ações de agentes, hashes de conteúdo, checagens de API, DNS, webhooks, chamadas de LLM e commits git pela Intramedial. Receba um recibo assinado que todos verificam – sem confiar em nós.
© 2026 Intramedial. Todos os direitos reservados. A Intramedial é um produto da Trustvice. Secured and supercharged by Avonao Labs.
Denunciar abuso
Módulo da plataforma
roleArnarn:aws:iam::. O lease deve estar nesta string exata.actorDidsessionName nunca é usado para identificar o detentor.webIdentityToken/docs/iam-assumeReferência da APIRotas, corpos e códigos de status./docs/iam-assumeAbrir o consoleVeja o módulo em ação no painel, em uma frota de exemplo ou na sua./dashboard-preview/opsComece grátisCrie um workspace e admita sua primeira intenção./auth/signup
sessionNameacp e é só um rótulo.regionus-east-1.ttlMsleaseIdleaseScoped é true.expirationMsassume recebe um roleArn, um actorDid e um webIdentityToken, e devolve credenciais STS para esse papel. O lease de que precisa é detido no próprio ARN do papel.
warehouse recebe uma URN de recurso no formato imd://warehouse/<snowflake|bigquery>/<account>/<path>, um actorDid e opcionalmente um subjectToken, e emite um JWT de par de chaves ou um token de acesso federado.
O agente adquire um lease no ARN do papel por coordination.lease. O lease é o que justifica a credencial; nada mais.
assume recebe roleArn, actorDid, sessionName, webIdentityToken e opcionalmente region e ttlMs. O token deve ser um em que a AWS confie para o papel.
As chamadas deste módulo alteram estado real ou alcançam serviços externos, então a demonstração compartilhada não as executa. Entre para executá-lo no seu próprio workspace. Docs de iam.assume
As chamadas deste módulo alteram estado real ou alcançam serviços externos, então a demonstração compartilhada não as executa. Entre para executá-lo no seu próprio workspace.
Uma requisição no formato que a API aceita e um exemplo de resposta no formato que o módulo devolve.
POST /api/v1/acp/iam/assume Authorization: Bearer av_workspace_•••• Content-Type: application/json { "roleArn": "arn:aws:iam::123456789012:role/deploy", "actorDid": "did:web:acme.example:agent:release", "sessionName": "release-agent", "webIdentityToken": "eyJ…" } → 200 { assumed, leaseId, expirationMs, accessKeyId, secretAccessKey, sessionToken }
{
"assumed": true,
"roleArn": "arn:aws:iam::123456789012:role/deploy",
"sessionName": "release-agent",
"leaseId": "lease_4b7e",
"leaseScoped": true,
"expirationMs": 1793523600000,
"accessKeyId": "ASIAEXAMPLEKEYID",
"secretAccessKey": "example-secret-access-key",
"sessionToken": "example-session-token"
}Um agente que faz deploy detém um lease no papel de deploy e nada mais. Sem ele, o papel não tem credencial para entregar.
Um lease com vinte minutos restantes não pode render uma credencial de uma hora; a duração é o menor entre o que resta do lease, ttlMs e 3.600.000 ms.
Cada emissão acrescenta um evento iam.assume com o ator, o papel e a expiração. watchdog.check lê esses eventos atrás de anomalias de taxa.
Um papel cujo nome corresponde a uma classe protegida como billing ou kms é recusado com 403, mesmo para um detentor de lease.
coordination.lease; o broker só lê leases.watchdog.check, que lê o que este módulo registra.Um módulo é uma afirmação forte sobre algo estreito. Confie nele exatamente pelo que ele é.
ttlMs pedido e 3.600.000 ms.iam.assume registra o ator, o papel e a expiração, e nunca a chave de acesso, o segredo ou o token de sessão.expirationMs; o lease só impede a próxima.O AWS STS recusa sessões abaixo de 900 segundos, então um lease com menos que isso restante não pode virar credencial.
O nome do papel, a parte depois da última /, é conferido contra as classes protegidas do snapshot. Uma correspondência é recusada antes de qualquer lease ser lido.
O detentor do lease é comparado com actorDid, que um agente autenticado só pode definir como seu próprio DID.
Os caminhos do Snowflake e do BigQuery precisam de seus próprios segredos vinculados. Um warehouse não configurado responde 501, e um recurso Snowflake sem papel mapeado é 403.
roleArn deve começar com arn:aws:iam::, webIdentityToken e actorDid são obrigatórios, e a falta de um devolve 400.ttlMs disser.Autentique-se com uma chave de API do workspace como token Bearer. A URL base é https://api.intramedial.com.
/api/v1/acp/iam/assumeEmita credenciais temporárias AWS para um papel com lease./api/v1/acp/iam/warehouseEmita uma credencial Snowflake ou BigQuery para um recurso com lease.coordination.iam.assumePeça credenciais AWS a partir de um agente.coordination.lease02Resource leases and queuesRetenha um recurso para um agente por vez, com um lease que expira sozinho e uma fila para os agentes que precisam esperar.watchdog.check36Issuance watchdogPegue uma plataforma que emite leases ou credenciais rápido demais, ou que ficou em silêncio, lendo o ledger em vez de perguntar à plataforma.coordination.admit01Intralock admissionDecida cada ação antes que aconteça: um agente declara sua intenção, e o Intralock a admite ou nomeia o motivo de ela não poder.mcp.enforce04MCP gateway enforcementPonha uma frente em um servidor MCP para que cada chamada de ferramenta seja admitida como qualquer outra intenção, e uma chamada recusada nunca chegue ao servidor.github.enforce29GitHub write gateFaça o check de um commit ficar vermelho a menos que o agente por trás dele tenha a concessão e, para uma escrita, um humano tenha confirmado.saas.admit30SaaS connector admissionPergunte se um agente pode tocar uma fonte SaaS e deixe-o escrever por ela só depois da mesma checagem que controla todo o resto.Recusa com 403 um nome de papel de classe protegida, depois com 409 um lease ausente, expirado, alheio ou quase esgotado, e então chama o STS.
A resposta traz a chave de acesso, o segredo e o token de sessão com expirationMs. Liberar o lease encerra a disposição do broker de emitir, não as credenciais já emitidas.
coordination.halt06