ガイド

エージェントの登録

ディレクトリにアイデンティティを作成し、スポンサーを紐づけ、エージェントが将来保持しうるスコープを宣言する。

エージェントごとに1つのアイデンティティ

短期的で実験的なものも含め、すべてのエージェントに固有のアイデンティティを登録する。複数のエージェント間でアイデンティティを再利用すると帰属が崩壊する——ディレクトリの意義全体は、すべてのアクションが正確に1つのアクターを指し示すことにある。

アイデンティティは、安定したid、人間が読める名前、そのスポンサー、そして要求可能なスコープの上限を持つ。

すべてのアイデンティティは、作成時点で責任を負う人間のスポンサーを必要とする。スポンサーは共有メールボックスではなく、あなたのディレクトリ内の実在の人物でなければならない——彼らはエスカレーションを受け取り、インシデントの際にエージェントについて答える。

所有権が変わったらスポンサーを再割り当てする。その変更は記録されるため、いつの時点でも誰が責任を負っていたかが記録に残る。

登録時に宣言するスコープは許可ではなく上限だ。それらは発行エンジンがこのアイデンティティに対して発行しうる範囲を限定する。個々の認証情報は常により狭く、短期のものになる。

上限は厳しく保つこと。1つのシステムを読むだけのエージェントは、後で誤って発行されうる書き込みスコープを持って登録されるべきではない。

履歴を削除せずに発行を一時停止するにはアイデンティティを一時停止する。すべてを一括無効化するには失効させる。エージェントが廃止されたら退役させる——監査証跡はアイデンティティより長く残る。