はじめに
クイックスタート
エージェントを登録し、スコープ限定認証情報を発行し、統制されたコールを行い、失効させる——約10分で。
始める前に
Mandavoワークスペース、Settingsから取得した管理者APIキー、そしてエージェントに到達させたい1つのシステムが必要だ。全体のフローは約10分で完了し、後に何も常設のものを残さない。
あなたのキーを環境変数MANDAVO_API_KEYとして設定する。以下のすべての例はそこから読み込む。
1. エージェントを登録する
ディレクトリにアイデンティティを作成し、人間のスポンサーに紐づける。スポンサーはあなたのチーム内で責任を負う人物であり、エージェントが行うすべてのアクションは両者に帰属する。
POST /v1/identities に、名前、スポンサーのメールアドレス、そしてエージェントが将来要求しうるスコープを送る。レスポンスにはアイデンティティidが返され、以降のあらゆる場所で使用する。
2. スコープ限定認証情報を発行する
発行エンジンに、正確なタスクに限定された認証情報を要求する。このタスクが必要とするものだけを許可する——エージェントは現在のスコープを超えて何にも到達しない。
POST /v1/credentials に、アイデンティティid、スコープ、そして有効期間(TTL)を送る。デフォルトTTLは5分で、認証情報は漏洩する前に失効する。
3. 統制されたコールを行う
対象システム用のコネクタに対して、認証情報をベアラートークンとして使用する。ポリシーグラフはアクションが発生した瞬間にそれをチェックする——低リスクの許可は自律的に実行され、高リスクなものは承認をゲートとする。
すべてのコールは、アイデンティティ、スポンサー、スコープ、ポリシー判断とともに監査ログに記録される。
4. 失効させる
POST /v1/identities/{id}/revoke で、エージェントの認証情報とスコープをあらゆる場所で一括無効化する。封じ込めは数秒で完了し、記録に書き込まれる。
これが全体のループだ——名前を持つアイデンティティ、スコープ限定発行、実行時ポリシー、ワンアクション失効——常設キーは何も残らない。