Isiklikud vs jagatud volikirjad

v1.2.x · uuendatud 2026-07-05

Iga AiHummeri omanduses olev volitus — API-võti, token, veebikonksu saladus — omab ulatus mis otsustab, kelle saladust tööriista kutsumine kasutab. On kaks ulatust: jagatav ja isik. Nende vahe mõistmine ja lahenduse järjekord on võti, et anda igale agendile ja igale kasutajale täpselt see juurdepääs, mis neil peaks olema, ja mitte midagi enamat.

Kaks ulatusi

Ulatust	Kuulub	Kasutatakse siis, kui
Jagatud	Tööruum	Tegevus peaks toimuma ühe ühise konto all, sõltumata sellest, kes selle käivitas
Isiklik	Üksik kasutaja	Tegevust tuleb omistada konkreetse isiku enda volitustele ja see peab olema piiratud nendega

Mõlemad tüübid elavad samas krüpteeritud vanglas (ümbriku krüpteerimine, AES-256-GCM, iga üürniku võti pea võtmepõhjal); vahe on puhtalt selles, kellele saladus laheneb, mitte selles, kuidas see on salvestatud või kaitstud.

Otsus ajutise kasutaja poolt, koos töölaua varuvõimalusega

Pööramise ajal, kui tööriist vajab volikirja, lahendab AiHummer selle tegevkasutaja poolt — isik, kelle nimel kord käib — ja langeb tagasi tööruum (jagatud) volitused, kui kasutajal puudub isiklik

need credential ─▶ personal credential for the acting user?
                     ├─ yes ─▶ use the personal credential
                     └─ no  ─▶ fall back to the shared (workspace) credential

See üks reegel annab teile paindliku käitumise: esitage ainult jagatud volitus ja kõik kasutavad seda; las isikud lisavad oma ja need eelistatakse automaatselt selle inimese jaoks, samal ajal kui kõik teised jätkavad jagatud volituse kasutamist.

[!NOTE] Isiklik võidab alati jagatud sama kasutaja puhul. Töölaua volitus on tagavaraline variant, mitte ülekirjutus — kasutaja, kes on oma konto ühendanud, tegutseb omaenda loaga.

Millal kasutada shared

Vali üks jagatav tunnistus, kui:

Tegevus esindab organisatsiooni, mitte üksikisikut (ettevõtte postkast, üks CRM-teenuse konto, arveldusvõti).
Sa tahad ühtlast käitumist, sõltumata sellest, kes agendi käivitas.
Ühe saladuse väljaandmine ja keskselt pöörlemine on lihtsam kui kasutajapõhine seadistus.

Millal kasutada isiklikku

Vali üks isik tunnistus, kui:

Tegevust tuleb omistada konkreetsele inimesele ja see peab olema piiratud sellega, mida see inimesele on lubatud teha.
Erinevad kasutajad peaksid sama agendi ja tööriista kaudu nägema erinevaid andmeid.
Teil on vaja iga kasutaja kohta tühistamist ja auditeerimist, sõltumata kõigist teistest.

Isiklikud volitused on tavaliselt individuaalsed kontod, mille kaudu töötaja end ühendab Ühendused. Karbist välja sisaldab see näiteks Gmaili, Google Calendarit, Google Contactsi, Google Drive’i, Google Taski, YouTube’i, Outlook Maili, Outlook Calendarit, OneDrive’i, Microsoft To Do’d, Todoisti, Asanat, Jira Cloudi, ClickUpi, GitLabi, Lineari, monday.comi, Fitbitit, Oura Ringi, Stravat, Spotifyd ja Samsung SmartThingsi — iga kasutaja tegutseb oma autoriseerimise alusel. Vastupidi, jagatud volitused on üks tööruumiülene konto (näiteks ettevõtte meilbox või CRM-teenuse konto), mida kõik kasutavad.

Selle seadistamine praktikas

Lihtsas keeles:

Üks mandaat kõigile (jagatud). Operaator salvestab saladuse kord ühe korra tööruumi tasand — on Saladused ekraan või kui jagatud ühendusena. Siis tegutsevad kõik agendid ja kasutajad ühe konto all (nt ettevõtte meilikast).
Üks tunnistus inimese kohta (isiklik). Kasutaja ühendab oma konto kaudu Ühendused (täidab OAuth sisselogimise) — ja sellest ajast alates toimuvad nende enda kõned nende volituse all, samal ajal kui kõik muul hoiab jagatud oma.
Kes võib agentile kirjutada on määratud mitte siin, vaid Kanalid ekraan: lüliti “Vasta ainult tuntud kasutajatele”.
Isiklik persona/käitumine konkreetse inimese jaoks tuleb kombineerimisest isiklikud ühendused (see leht) agendi seadistustega; pane ettevõtteülene reeglid sisse jagatud plokid.

Pole midagi lisada „lubamiseks“: lahenduse reegel (isiklik → muu jagatud) töötab automaatselt.

Kuidas see suhtleb ühenduste ja hoiuga

Ühendused on kõige tavalisem viis isik volitusdokument tekib: kasutaja lõpetab OAuth2 autoriseerimiskoodi voo, väljastatud märk tõmmatakse valvuri sisse, ja sellest hetkest alates on see täpselt isiklik volitusdokument, mille lahendaja selle kasutaja jaoks valib. Jagatud volitusdokument on seevastu tavaliselt saladus, mille operaator salvestab korra tööruumi tasemel.

Kõigil juhtudel jääb saladus krüpteeritud kubernerisse ja ei sisene kunagi mudeli konteksti, käsuerida ega logidesse — ulatus kontrollib ainult seda, millise kuberneri kirje tegevkasutaja lahendab.

Kuhu järgmine

Ühendused (kasutajapõhine OAuth2) — kuidas isiklikud volitused on autoriseeritud.
BYOK ja LLM-i teenusepakkujad — üürniku-põhised mudelivõtmed.
Turul ülevaade ja tasemed — Tase 2 oskused saavad kasutada isiklikke volitusi.