Registrando agentes

Uma identidade por agente

Registre uma identidade distinta para cada agente, incluindo os de curta duração e experimentais. Reutilizar uma identidade entre agentes destrói a atribuição — todo o propósito do diretório é que cada ação nomeie exatamente um ator.

Uma identidade carrega um id estável, um nome legível por humanos, seu patrocinador, e o teto de escopos que pode solicitar.

Vinculando um patrocinador

Cada identidade precisa de um patrocinador humano responsável no momento da criação. O patrocinador deve ser uma pessoa real no seu diretório, não uma caixa de e-mail compartilhada — ele recebe escalonamentos e responde pelo agente em um incidente.

Reatribua um patrocinador quando a propriedade mudar. A mudança é registrada, então o registro sempre mostra quem era responsável em qualquer ponto no tempo.

Declarando o teto de escopo

Os escopos que você declara no registro são um teto, não uma concessão. Eles limitam o que o Motor de Emissão jamais emitirá para esta identidade; credenciais individuais são sempre mais restritas e de curta duração.

Mantenha o teto apertado. Um agente que só lê um sistema nunca deveria ser registrado com escopos de escrita que poderiam ser emitidos por engano depois.

Ciclo de vida

Suspenda uma identidade para pausar a emissão sem excluir seu histórico. Revogue-a para invalidar tudo de uma vez. Aposente-a quando o agente for desativado; a trilha de auditoria sobrevive à identidade.