Enregistrer des agents

Une identité par agent

Enregistrez une identité distincte pour chaque agent, y compris les agents de courte durée et expérimentaux. Réutiliser une identité entre plusieurs agents effondre l'attribution — tout l'intérêt de l'annuaire est que chaque action nomme exactement un acteur.

Une identité porte un identifiant stable, un nom lisible par un humain, son sponsor, et le plafond des périmètres qu'elle est autorisée à demander.

Lier un sponsor

Chaque identité a besoin d'un sponsor humain responsable dès sa création. Le sponsor doit être une vraie personne dans votre annuaire, pas une boîte mail partagée — il reçoit les escalades et répond de l'agent lors d'un incident.

Réattribuez un sponsor quand la propriété change. Le changement est journalisé, si bien que le registre montre toujours qui était responsable à tout moment.

Déclarer le plafond de périmètre

Les périmètres que vous déclarez à l'enregistrement forment un plafond, pas une autorisation. Ils bornent ce que le moteur d'émission générera jamais pour cette identité ; les identifiants individuels sont toujours plus étroits et de courte durée.

Gardez le plafond serré. Un agent qui ne fait que lire un système ne devrait jamais être enregistré avec des périmètres d'écriture qu'on pourrait lui émettre par erreur plus tard.

Cycle de vie

Suspendez une identité pour mettre l'émission en pause sans supprimer son historique. Révoquez-la pour tout invalider d'un coup. Retirez-la quand l'agent est mis hors service ; la piste d'audit survit à l'identité.