Personīgās vs kopīgās akreditācijas

Katrs AkHummer rīcībā esošais akreditācijas dati — API atslēga, tokens, tīmekļa ķermeņa noslēpums — ir mērogs tas nosaka, kura slepenā informācija tiek izmantota rīka izsaukumā. Ir divi darbības lauki: kopīgs un personāls. Izpratne par atšķirībām un to izšķiršanas secību ir atslēga, lai katram aģentam un katram lietotājam nodrošinātu tieši to piekļuvi, kas viņiem jābūt, un ne vairāk.

Abi mērinstrumenti

Aptvars	Pieder	Izmanto, kad
Koplietots	Darba vieta	Darbībai jādarbojas zem viena kopīga konta, neatkarīgi no tā, kas to izraisīja
Personāls	Individuāls lietotājs	Darbība jāpiešķir konkrētas personas pašas pilnvarojumam un jāierobežo ar to.

Abi veidi dzīvo tajā pašā šifrētajā glabātuvē (aploksnes šifrēšana, AES-256-GCM, katra klienta atslēga zem galvenās atslēgas); atšķirība ir tikai tajā, kam noslēpums tiek piešķirts, nevis kā tas tiek glabāts vai aizsargāts.

Lēmums no rīcībā esošā lietotāja, ar darba vietas rezervi

Pagrieziena laikā, kad rīkam nepieciešami akreditācijas dati, AiHummer to atrisina no darbībā esošā lietotāja — persona, par kuru tiek veikta kārta — un atkāpjas atpakaļ pie darba vieta (koplietots) akreditācijas dati, kad lietotājam nav personisku:

need credential ─▶ personal credential for the acting user?
                     ├─ yes ─▶ use the personal credential
                     └─ no  ─▶ fall back to the shared (workspace) credential

Šis vienīgais noteikums sniedz jums elastīgu uzvedību: nodrošiniet tikai koplietojamu akreditācijas datu un visi tos izmanto; ļaujiet indivīdiem pievienot savus un tie automātiski iegūst prioritāti šai personai, kamēr visi pārējie turpina izmantot koplietojamos.

[!NOTE] Personīgais vienmēr uzvar kopīgoto tajā pašā lietotājā. Darba vietas akreditācijas dati ir rezerves variants, nevis pārrakstīšana — lietotājs, kurš ir pieslēdzis savu kontu, darbojas ar viņu pašu atļauju.

Kad izmantot shared

Izvēlies vienu kopīgs pilnvaras, kad:

Darbība pārstāv organizāciju, nevis individuālu personu (uzņēmuma pasta kaste, viena CRM servisa konts, norēķinu atslēga).
Jūs vēlaties konsekventu uzvedību neatkarīgi no tā, kurš aktivizēja aģentu.
Viens slepens tika izsniegts un centrāli rotēts ir vienkāršāk nekā uzstādīšana katram lietotājam atsevišķi.

Kad izmantot personīgo

Izvēlies vienu personāls pilnvaras, kad:

Darbība ir jāpiešķir konkrētam cilvēkam un jāierobežo ar to, ko tas cilvēkam ir atļauts darīt.
Dažādiem lietotājiem vajadzētu redzēt dažādus datus caur vienu un to pašu aģentu un rīku.
Jums nepieciešama lietotāja līmeņa atsaukšana un audits, neatkarīgi no visiem pārējiem.

Personīgie akreditācijas dati parasti ir individuālie konti, ar kuriem darbinieks piesakās pats Savienojumi. No kastes ieslēgti, piemēram, Gmail, Google Calendar, Google Contacts, Google Drive, Google Tasks, YouTube, Outlook Mail, Outlook Calendar, OneDrive, Microsoft To Do, Todoist, Asana, Jira Cloud, ClickUp, GitLab, Linear, monday.com, Fitbit, Oura Ring, Strava, Spotify un Samsung SmartThings — katrs lietotājs darbojas savas autorizācijas ietvaros. Savukārt koplietots akreditācijas dati ir viens darba vietas līmeņa konts (piemēram, uzņēmuma pasta kaste vai CRM pakalpojuma konts), ko visi izmanto.

Tā uzstādīšana praksē

Vienkāršos vārdos:

Viena akreditācija visiem (koplietojama). Operators vienreiz saglabā noslēpumu pie darba vietas līmenis — uz Noslēpumi ekrāns vai kā koplietota savienojuma gadījumā. Tad visi aģenti un lietotāji darbojas zem viena konta (piemēram, a uzņēmuma pastkaste).
Pašreizīgs akreditācijas dokuments katrai personai (personisks). Lietotājs savienojas ar savu kontu, izmantojot Savienojumi (pabeidz OAuth pierakstīšanos) — un kopš tā laika viņu pašu zvani notiek viņu pilnvarojuma ietvaros, kamēr visi citādi saglabā kopīgo.
Kurš drīkst rakstīt aģentam ir iestatīts ne šeit, bet uz Kanāli ekrāns: slēdzis “Atbildēt tikai zināmiem lietotājiem”.
Personīgs tēls/uzvedība konkrētai personai nāk no apvienošanas personiskās saites (šī lapa) ar aģenta iestatījumiem; ievietot uzņēmuma mēroga noteikumus koplietoti bloki.

Nav nepieciešams neko papildus “ieslēgt”: atrisināšanas noteikums (personīgs → citādi kopīgs) darbojas automātiski.

Kā tas mijiedarbojas ar Savienojumiem un glabātuvi

Savienojumi ir visizplatītākais veids, kā personāls lietotāja kredenciāls tiek radīts: lietotājs pabeidz OAuth2 autorizācijas kodu plūsmu, izsniegtais tokens tiek nodots glabātavā, un turpmāk tas tieši ir personīgais kredenciāls, ko risinātājs izvēlas šim lietotājam. Savukārt koplietojams kredenciāls parasti ir noslēpums, ko operators saglabā vienu reizi darba vietas līmenī.

Visos gadījumos noslēpums paliek šifrētajā glabātuvē un nekad neiekļūst modeļa kontekstā, uzvednē vai žurnālos — darbības jomas tikai kontrolē, kuru glabātuves ierakstu izvērš darbinieks.

Kur uz nākamo

Savienojumi (vienam lietotājam paredzēts OAuth2) — kā Personīgās apliecības ir autorizētas.
BYOK un LLM pakalpojumu sniedzēji — atslēgas katram īrniekam modeļa līmenī.
Tirgus pārskats un līmeņi — 2. līmeņa prasmes var izmantot personīgās akreditācijas.