指南

签发限定范围凭证

申请短期任务限定令牌,设置合理的 TTL,并让轮换自动进行。

按任务申请,而非按会话申请

为智能体承担的每个任务签发一个全新的凭证,并将其精确限定于该任务范围。长期存在的宽泛令牌正是 Mandavo 存在的目的所要消除的故障模式。

签发引擎按需生成凭证并只返回一次。仅在任务存续期间将其存储在内存中。

默认存续时间为五分钟。让 TTL 与任务相匹配:一次快速读取可能只需数秒,一个长时间的批处理任务可以申请数分钟并续期。

越短越安全。一个在泄露前就已过期的凭证不需要手动轮换,也不需要清理。

对于长时间运行的任务,请求一个可续期的凭证。引擎会按计划轮换底层密钥,而任务持有的句柄保持稳定,因此不会积累任何常驻凭证。

轮换事件会被记录,且从不打断正在进行、符合策略的操作。

凭证只能在身份声明的上限范围内签发,并且只能在其自身权限范围内使用。超出范围的请求会在签发时被拒绝;如果令牌被滥用,策略图也会在执行时再次拦截。