dual-control.scopes模块 22平台模块
平台模块Two-person dual control
在平面最具破坏性的动作运行之前，要求两位不同的管理员，并查看紧急破玻璃封印是否完好。
dual-control.scopes 列出需要两个人的八项动作。一位管理员用确切的请求体请求某个范围，另一位批准，受控路由只有带着该授权令才会运行。同一路由还会报告紧急破玻璃封印以及仍未完成的请求数量。
dual-control.scopes模块 22在平面最具破坏性的动作运行之前，要求两位不同的管理员，并查看紧急破玻璃封印是否完好。
dual-control.scopes 列出需要两个人的八项动作。一位管理员用确切的请求体请求某个范围，另一位批准，受控路由只有带着该授权令才会运行。同一路由还会报告紧急破玻璃封印以及仍未完成的请求数量。
kill-switch 可以被请求和批准，但没有路由检查它的授权令，因此批准它不会停止任何东西。停止请使用 coordination 下仅限管理员的停止路由，不要依赖此范围来实现。
scopesquarantine、revoke-grant、revoke-tenant、revoke-verification、teardown-yard、kill-switch、reseal 和 restore-workspace。管理员提交 scope 和动作的确切 body。平面返回 request 和 digest（审批人签署的请求规范形式）。
approve 接受 和 。审批人必须是另一位已登录的管理员，且在过去 12 小时内通过了 MFA。
在共享的演示工作区中使用演示密钥运行：任何人都可以看到其中的内容，因此请勿发送任何私密信息。 dual-control.scopes 文档
点击运行，将左侧的请求发送到共享演示工作区。
在共享的演示工作区中使用演示密钥运行：任何人都可以看到其中的内容，因此请勿发送任何私密信息。
一个符合 API 接受格式的请求，以及模块返回格式的示例响应。
GET /api/v1/acp/dual-control/scopes Authorization: Bearer av_workspace_•••• → 200 { scopes, seal, open }
一位管理员为行为不当的智能体请求隔离，第二位阅读摘要并批准，之后隔离路由才会运行。
切断租户的委托会影响团队之外的人。在 tenancy/revoke 通过之前，两位管理员必须同意。
Yard 中有运行中的工作。在两位管理员批准这次确切的拆除之前，拆除路由保持关闭。
紧急情况下，管理员带理由破坏封印。破坏先写入账本，重新装封需要两个人。
模块是对一件狭窄事情的强力保证。请仅在其确切范围内依赖它。
stale_digest 被拒绝。dual-control.break-glass 事件。coordination/quarantine、coordination/revoke、tenancy/revoke、yards/teardown、packs/revoke-verification、adapters-github/revoke 和 remediation/execute。
使用工作区 API 密钥作为 Bearer 令牌进行认证。基础 URL 为 https://api.intramedial.com。
/api/v1/acp/dual-control/scopes列出固定的范围、封印状态和未完成的请求。/api/v1/acp/dual-control/requests列出双人控制请求及其批准。
sealintact，被破坏时还有 brokenBy、brokenAt、why 和 witnessedBy。openrequestrequest：存储的请求，旁边返回 digest。digestdecisionapprove 和 decide：请求现在是否持有有效的授权令。refusedWithoutdecide：未签发授权令的原因。requestIddigestdecide 检查是否有足够多不同的人批准，并返回授权令，或在 refusedWithout 中说明缺少什么。
除非请求带有针对该范围和请求体的授权令，受控路由返回 403。目前有七条路由受控。
{
"scopes": [
"quarantine",
"revoke-grant",
"revoke-tenant",
"revoke-verification",
"teardown-yard",
"kill-switch",
"reseal",
"restore-workspace"
],
"seal": {
"intact": true
},
"open": 0
}coordination.approve 处理。coordination.halt 中的停止开关，一位管理员即可单独设置。kill-switch 没有。self_approval、same_principal、not_human、no_mfa、wrong_request、stale_digest、expired、insufficient、requester_not_human、not_administrator 和 requester_not_administrator。
当第 3 或第 4 级的仲裁案件带有匹配的补救措施和主体时，adjudicated 类型的授权令可代替第二个人。
封印被破坏期间，只有破坏它的人可以继续，而且只能在被拒绝之后。重新装封需要 reseal 范围，由两个人批准。
ttlMs 另有规定，请求的有效期为 15 分钟。glass 在路由和模块中都仅限管理员。/api/v1/acp/dual-control/request/api/v1/acp/dual-control/approve通过签署摘要来批准请求。/api/v1/acp/dual-control/decide检查请求并返回其授权令。/api/v1/acp/dual-control/glass带理由破坏封印，先记入账本。/api/v1/acp/dual-control/seal读取封印，或通过已批准的重新装封来重新装上。/api/v1/acp/dual-control/gate询问某路由是否受控，以及其关卡决定什么。此模块没有 MCP 操作。请通过 REST 从任何智能体或程序调用它。
coordination.quarantine32coordination.admit01Intralock admission在每个动作发生之前先做决定：智能体声明其意图，Intralock 准入它，或指出它不能执行的理由。coordination.lease02Resource leases and queues一次只为一个智能体持有一个资源，租约会自行失效，需要等待的智能体则排队。civics.claims20Resource claims office让智能体在获取租约之前声明它即将处理的工作，并在两个声明冲突时开立案件。metering.snapshot21Metered usage by workspace按计量项查看平面为您的工作区计了什么数，以及每个计数对应哪个计费计量项。