tenancy.tree模块 18平台模块
平台模块Tenant tree and reach
把经销商及其客户建模为一棵树，并根据委托计算谁能到达各个分支，而不是存储它。
tenancy.tree 是子租户树及其上的委托。租户挂在一个父级之下，主体对某个分支持有 read、operate 或 administer，到达范围在每次调用时通过遍历树来计算。暂停租户或撤销委托会切断其下的一切。
tenancy.tree模块 18把经销商及其客户建模为一棵树，并根据委托计算谁能到达各个分支，而不是存储它。
tenancy.tree 是子租户树及其上的委托。租户挂在一个父级之下，主体对某个分支持有 read、operate 或 administer，到达范围在每次调用时通过遍历树来计算。暂停租户或撤销委托会切断其下的一切。
该树回答 can 和 reach，但没有其他模块调用它们，因此委托尚不限制智能体或控制台的行为。请在您自己的工具中使用这些答案，并把强制执行视为未接通。
tenantsid、name、parentId、createdAt，被暂停时还有 suspendedAt。path / 连接，每次读取时构建。create 在某个父级下添加租户，或为工作区管理员在顶层添加。move 重新挂接子树。环会被拒绝。
delegate 授予主体对某个租户及其下一切的 read、operate 或 。 是单独的标志，绝不由范围隐含。
点击运行，将左侧的请求发送到共享演示工作区。
在共享的演示工作区中使用演示密钥运行：任何人都可以看到其中的内容，因此请勿发送任何私密信息。
一个符合 API 接受格式的请求，以及模块返回格式的示例响应。
GET /api/v1/acp/tenancy/tree Authorization: Bearer av_workspace_•••• → 200 { tenants, valid }
经销商获得对自己租户的 administer 及 canDelegate，并为一位客户指派运维人员。它授予的不能超过自己所持有的。
suspend 一个客户租户，以切断对它及其下一切的访问。解除暂停即可恢复；没有任何东西被删除。
revoke 一项委托，从中衍生的所有委托随之结束。回答会列出没有任何实时委托的租户。
模块是对一件狭窄事情的强力保证。请仅在其确切范围内依赖它。
canDelegate 时才能指派他人。create 和 move 会拒绝环。read < operate < administer，每一级包含前一级。再委托是单独的 canDelegate 标志，因此经销商无需成为管理员就能指派运维人员。
工作区的所有者和管理员持有根，并可以指名 root-admin 主体。带 canDelegate 的受托人可以在自己的范围内创建子租户和委托。只有根可以创建顶层租户。
使用工作区 API 密钥作为 Bearer 令牌进行认证。基础 URL 为 https://api.intramedial.com。
/api/v1/acp/tenancy/tree读取租户树或某个子树及其路径。/api/v1/acp/tenancy/create在某个父级下或顶层创建租户。dual-control.scopes22Two-person dual control在平面最具破坏性的动作运行之前，要求两位不同的管理员，并查看紧急破玻璃封印是否完好。identity.enroll12Agent identity registry在每个智能体行动之前赋予它自己的身份，使每个被准入的动作都可追溯到一个智能体，而绝不是共享账户。
valid{ ok: true }，或在 id 重复、父级缺失或出现环时为 { ok: false, reasons }。delegationsdelegations 路由：每项授予带有 principal、tenantId、scope、canDelegate 和 grantedBy。revokedAtrevokedWhy。administercanDelegatereach 和 can 遍历树和实时委托来判断主体持有什么。行上不存任何标记，因此移动或撤销立即生效。
suspend 切断对该租户整个子树的访问，lift: true 恢复。revoke 结束一项委托及从中衍生的所有委托。
{
"tenants": [
{
"id": "tenant_1a",
"name": "Acme MSP",
"parentId": null,
"createdAt": "2026-10-12T10:00:00.000Z",
"path": "Acme MSP"
},
{
"id": "tenant_2b",
"name": "Superfly",
"parentId": "tenant_1a",
"createdAt": "2026-10-12T10:05:00.000Z",
"path": "Acme MSP / Superfly"
}
],
"valid": {
"ok": true
}
}can 回答某主体是否对某租户持有 operate，reach 列出主体能接触的每个租户。
coordination.admit 的授权和授权书。tenancy/revoke 需要两位管理员的授权令；见 dual-control.scopes。identity.enroll 之后。grantedBy；撤销保留时间和原因但不保留撤销者，移动也不记录行为者。revoke 需要范围 revoke-tenant 的双人控制授权令，然后核对谁授予了该委托或谁持有其来源委托。
delegate 省略 scope 时，默认为 operate。/api/v1/acp/tenancy/suspend/api/v1/acp/tenancy/delegate授予主体对某个租户的范围。/api/v1/acp/tenancy/revoke撤销一项委托及从中衍生的一切。/api/v1/acp/tenancy/delegations列出委托，可按租户、主体或是否有效筛选。/api/v1/acp/tenancy/reach列出主体对每个租户持有的范围。/api/v1/acp/tenancy/can询问主体是否至少持有给定的范围。此模块没有 MCP 操作。请通过 REST 从任何智能体或程序调用它。
coordination.fleetmap11Fleet Map一次调用读取工作区中每个智能体的许可项、租约、等待者和隔离，取材于平台已准入的内容。mcp.shadow13Shadow agent discovery列出 MCP 网关见过的工具调用及其背后的智能体，让无人登记的调用方与已登记的并列显示。civics.presence14Agent presence让智能体看到哪些同伴在线以及各自持有什么，这样沉默的智能体就不会被误认为敌对的智能体。trust.get15Trust scores and autonomy读取智能体的信任分及其赢得的自主等级，使自主权跟随平台实际见到的行为。worldmodel.graph16World model graph查看您的工作区所知道的每个智能体、代码库、租约和具名资源以及它们如何连接，无需先绘制地图。cartographer.map17Cartographer edge review把资源之间的连接放在您掌控的地图上：制图员提出，真人或您编写的边界批准。