Osobiste vs wspólne dane uwierzytelniające

Każde poświadczenie, które posiada AiHummer — klucz API, token, sekret webhooka — ma zakres który decyduje, z czyim tajnym dostępem uruchamiane jest wywołanie narzędzia. Istnieją dwa zakresy: wspólny i osobistyZrozumienie różnicy oraz kolejności rozwiązywania między nimi jest kluczem do przyznania każdemu agentowi i każdemu użytkownikowi dokładnie takiego dostępu, jaki powinni mieć, i nic więcej.

Te dwa zakresy

Zakres	Należy do	Używane, gdy
Udostępnione	Miejsce pracy	Akcja powinna być uruchamiana na jednym wspólnym koncie, niezależnie od tego, kto ją wywołał
Osobisty	Pojedynczy użytkownik	Działanie musi być przypisane do konkretnej osoby i ograniczone jej własnym upoważnieniem

Oba rodzaje żyją w tym samym zaszyfrowanym skarbcu (szyfrowanie w kopercie, AES-256-GCM, klucz dla najemcy pod kluczem głównym); różnica polega wyłącznie na tym, do kogo odnosi się sekret, a nie na tym, jak jest przechowywany lub chroniony.

Rozdzielczość przez działającego użytkownika, z możliwością użycia przestrzeni roboczej jako zapasowej

W czasie tury, gdy narzędzie potrzebuje poświadczenia, AiHummer je rozwiązuje przez działającego użytkownika — osoba, w imieniu której przebiega tura — i cofa się do obszar roboczy (wspólne) poświadczenie, gdy użytkownik nie ma własnego:

need credential ─▶ personal credential for the acting user?
                     ├─ yes ─▶ use the personal credential
                     └─ no  ─▶ fall back to the shared (workspace) credential

Ta pojedyncza zasada daje elastyczne zachowanie: podaj tylko wspólne poświadczenie, a wszyscy go używają; pozwól jednostkom dodać własne i automatycznie będą one miały pierwszeństwo dla tej osoby, podczas gdy wszyscy inni będą dalej korzystać ze wspólnego.

[!NOTE] Dane osobiste zawsze wygrywają nad wspólnymi dla tego samego użytkownika. Poświadczenie przestrzeni roboczej to a fallback, nie nadpisanie — użytkownik, który połączył swoje własne konto, działa z ich własnym upoważnieniem.

Kiedy używać shared

Wybierz a wspólny poświadczenie kiedy:

Działanie reprezentuje organizację, a nie osobę (skrzynka firmowa, pojedyncze konto usługi CRM, klucz rozliczeniowy).
Chcesz spójnego zachowania, niezależnie od tego, kto wywołał agenta.
Wydawanie i rotacja jednej tajemnicy centralnie jest prostsza niż konfiguracja dla każdego użytkownika.

Kiedy używać osobistego

Wybierz a osobisty poświadczenie kiedy:

Działanie musi być przypisane konkretnej osobie i ograniczone przez to, co ta człowiekowi wolno robić.
Różni użytkownicy powinni widzieć różne dane przez tego samego agenta i narzędzie.
Potrzebujesz cofania uprawnień i audytu dla każdego użytkownika, niezależnie od wszystkich innych.

Dane uwierzytelniające osobiste to zazwyczaj indywidualne konta, przez które pracownik się łączy Połączenia. Domyślnie obejmują one na przykład Gmail, Kalendarz Google, Kontakty Google, Dysk Google, Zadania Google, YouTube, Outlook Mail, Kalendarz Outlook, OneDrive, Microsoft To Do, Todoist, Asana, Jira Cloud, ClickUp, GitLab, Linear, monday.com, Fitbit, Oura Ring, Strava, Spotify i Samsung SmartThings — każdy użytkownik działa na podstawie własnej autoryzacji. W przeciwieństwie do tego, współdzielone poświadczenie to jedno konto obejmujące całe środowisko pracy (na przykład firmowa skrzynka mailowa lub konto usługi CRM), z którego korzystają wszyscy.

Konfigurowanie tego w praktyce

Prosto mówiąc:

Jedne poświadczenie dla wszystkich (wspólne). Operator zapisuje sekret raz w poziom przestrzeni roboczej — na Sekrety ekran lub jako połączenie współdzielone. Wtedy wszyscy agenci i użytkownicy działają w ramach jednego konta (np. a skrzynka firmowa).
Poświadczenie na osobę (osobiste). Użytkownik łączy swoje własne konto za pomocą Połączenia (kończy logowanie OAuth) — a od tego czasu ich własne rozmowy odbywają się pod ich autoryzacją, podczas gdy wszyscy inni zachowują wspólny.
Kto może pisać do agenta jest ustawione nie tutaj, lecz na Kanały ekran: przełącznik „Odpowiadaj tylko znanym użytkownikom”.
Osobista persona/zachowanie dla konkretnej osoby pochodzi z łączenia połączenia osobiste (ta strona) z ustawieniami agenta; wprowadź zasady obowiązujące w całej firmie do wspólne bloki.

Nie ma nic dodatkowego do „włączenia”: zasada rozstrzygania (osobiste → w przeciwnym razie wspólne) działa automatycznie.

Jak wchodzi w interakcję z Połączeniami i skarbcem

Połączenia są najczęstszym sposobem osobisty poświadczenie powstaje w momencie: użytkownik kończy proces autoryzacji OAuth2 z użyciem kodu, wydany token jest przechowywany w sejfie, a od tego momentu jest dokładnie osobistym poświadczeniem, które rozwiązywacz wybiera dla tego użytkownika. Z kolei poświadczenie współdzielone jest zazwyczaj tajemnicą, którą operator przechowuje raz na poziomie miejsca pracy.

We wszystkich przypadkach sekret pozostaje w zaszyfrowanym sejfie i nigdy nie wchodzi do kontekstu modelu, promptu ani logów — zakres kontroluje tylko, do którego wpisu w sejfie odwołuje się działający użytkownik.

Dokąd dalej

Połączenia (OAuth2 dla użytkownika) — jak poświadczenia osobiste są autoryzowane.
Dostawcy BYOK i LLM — klucze w modelu na najemcę.
Przegląd rynku i poziomy — Poziom 2 umiejętności mogą używać danych uwierzytelniających osoby.