Bóveda y acceso
Guarda claves y cuentas conectadas en la bóveda y elige, por conexión, cuándo puede usarlas un agente.
La bóveda guarda las claves y cuentas conectadas que usan tus agentes. Los agentes piden una conexión por nombre, y la bóveda libera el valor solo cuando el nivel de la conexión lo permite para la persona para la que trabaja el agente, o cuando una persona aprueba la solicitud.
Agregar una clave
Abre Configuración, Llaveros y haz clic en Agregar una clave. Dale un Nombre que los agentes usen para pedirla, como posthog-read, elige el Llavero y la Sensibilidad, y pega el valor. Una clave puede contener varios campos, por ejemplo un ID y un secreto. Después de guardar, la página muestra solo los nombres de los campos.
Para conectar una cuenta, como Gmail, Google Calendar, Google Drive, GitHub o un servidor MCP como Notion o Linear, abre Configuración, Conectores y haz clic en el botón Conectar del servicio.
Llaveros
| Llavero | Quién lo administra | Quién puede usarlo |
|---|---|---|
| Mío (personal) | Tú | Tus propios agentes, agentes en un canal al que se lo prestas y los agentes de un compañero con el que lo compartes |
| Espacio de trabajo | Administradores | Agentes a los que un administrador se lo concede por nombre |
| Agente | Administradores | Ese agente |
Un agente de equipo nunca usa un llavero personal. Para dejar que los agentes de un canal usen una de tus conexiones personales, préstasela al canal.
Compartir una clave con un compañero
Abre la clave, haz clic en Compartir, elige a la persona en Compartir con una persona y haz clic en Compartir con passkey. Confirmas con una llave de acceso o Face ID; una contraseña no aprueba compartir. Los propios agentes del compañero luego usan la clave bajo su nivel, el compañero aprueba esos usos y el compañero nunca ve el valor. En Permitir, sus agentes pueden leer el valor, como con cualquier clave Permitir. Haz clic en Eliminar para dejar de compartir; el siguiente uso se rechaza de inmediato.
laze vault share <name> --with <email>, o un agente que te lo pide, crea un recurso compartido que espera tu aprobación. Abre Compartir en la clave y haz clic en Aprobar con llave de acceso, o Rechazar.
Las claves Preguntar siempre y Solo personas se comparten solo desde la página de Bóveda. Desde la CLI o un agente, la acción de compartir se rechaza, y el agente te dice que bajes la clave a Automático o Permitir primero si quieres compartirla desde allí.
Bajar el nivel de una clave
Solo tú puedes bajar el nivel de una clave en la página de Bóveda. La página te pide confirmar y dice qué cambia. Desde Preguntar siempre o Solo personas también confirmas con una llave de acceso o Face ID. A la CLI, la API y los agentes se les rechaza, incluso mediante una tarjeta de aprobación. Subir un nivel funciona desde cualquier lugar, incluido laze vault update <name> --level always-ask. Cada vez que se comparte, se elimina y se cambia de nivel aparece en el registro de uso de la clave, con quién lo hizo y cómo.
Niveles de acceso
Cada conexión tiene uno de cuatro niveles. La CLI toma el nombre en la segunda columna, como en laze vault update <name> --level auto.
| Nivel | CLI | Qué pasa cuando un agente pide |
|---|---|---|
| Permitir | allow | El agente lo usa sin preguntar |
| Automático | auto | Una revisión automática lee la solicitud y la permite, o le pregunta a una persona cuando no está segura; sin una revisión configurada, una persona aprueba |
| Preguntar siempre | always-ask | Una persona aprueba cada uso |
| Solo personas | human-only | Los agentes nunca lo usan |
Algunas acciones le preguntan a una persona sin importar el nivel. Enviar correos electrónicos o mensajes fuera de la empresa siempre se convierte en un borrador que una persona envía. Una llamada desde fuera de la computadora de agentes siempre pregunta. Si otros diez llamadores usaron una conexión en los últimos cinco minutos, el siguiente uso también pregunta.
Cómo se guardan las claves
| Nivel | Almacenamiento | | --- | --- | --- | | Permitir y Automático | Cifrado en el servidor, para que los agentes puedan usarlas sin supervisión. | | Preguntar siempre y Solo personas | Cifrado de dos candados: el servidor no puede abrirlas solo, necesita la llave de acceso de tu dispositivo. |
El cifrado de dos candados necesita una llave de acceso o Face ID registrado en Configuración, Bóveda, Llaves de acceso. Una clave guardada antes de que registraras una, o antes de que este almacenamiento existiera, muestra Sellarlo en la lista de claves: haz clic en él y confirma con tu llave de acceso. Subir una clave a Preguntar siempre también la sella. Las claves de espacio de trabajo, las claves enviadas a través del proxy de salida y las cuentas conectadas se cifran en el servidor en todos los niveles.
Cuando permites un agente por un tiempo en una clave de dos candados, tu dispositivo cifra el valor para la clave de ejecución de ese agente. El servidor guarda esa copia, que no puede abrir, solo hasta que termina la concesión. Bajar una clave de dos candados a Automático o Permitir la abre primero en tu dispositivo. Una clave de dos candados que compartes con un compañero todavía te pregunta por cada uso, ya que solo tu dispositivo la abre.
Quién aprueba una solicitud
El nivel que aplica depende de quién le pidió al agente. Cuando tu agente personal trabaja para ti, sigue el nivel de la conexión. Cuando un compañero le pide a tu agente personal que haga algo con tus cuentas, la solicitud te llega a ti. Una programación se ejecuta como la persona que la creó.
Permitir o rechazar una solicitud
Cuando un uso necesita a una persona, el agente publica una tarjeta en el hilo en el que está trabajando, y muestra el comando que quiere ejecutar. La persona que decide responde con una de estas opciones:
- Permitir: liberar el valor por esta vez.
- Permitir para este agente: darle una concesión al agente, para que pueda usar la conexión sin preguntar hasta que termine la concesión. Una concesión dura como máximo dos días.
- Rechazar: rechazar, con una nota opcional que el agente lee.
Una tarjeta sin responder se rechaza después de 24 horas. Cada uso y cada respuesta están en el Registro de uso de la clave y en el Registro de auditoría.
El registro de uso
Abre una clave en la página de Bóveda para ver su registro de uso, desde el más reciente. Cada línea nombra quién usó la clave, un agente o una persona, y cómo: laze vault run, a través del proxy, liberada al agente o revelada. Para un agente también dice si se ejecutó en su computadora de Laze o en una máquina conectada. Una aprobación muestra cuántos usos ocurrieron bajo esta, y cada uno de esos usos dice que provino de una aprobación. El Último uso de una fila cuenta cada uso, por un agente o una persona; guardar o cambiar una clave no es un uso. laze vault uses <name> imprime el mismo registro.
Usar una clave desde la línea de comandos
Dentro del turno de un agente alojado, el agente ejecuta un comando con los valores de una clave en su entorno:
laze vault run posthog-read --reason "Count sign-ups from last week for the weekly report" -- python report.pyEl motivo es una oración simple que lee la persona que aprueba. La salida del comando se censura, de modo que los valores no terminan en el chat. Si el uso se rechaza, laze vault run sale con el código 77.
Para usar la bóveda desde Claude Code, Codex o un script en tu máquina propia, consulta Bóveda desde Claude Code y Codex.
Para las llamadas a la API que salen de tu computadora de agentes, el agente tiene un marcador de posición en lugar del valor, y el proxy de salida de la bóveda lo cambia por el valor real al salir.
Ver un valor guardado
Solo el propietario de una clave puede revelar su valor, después de volver a iniciar sesión en los últimos cinco minutos. El valor se muestra durante 30 segundos y cada vez que se revela se guarda en el registro de auditoría.
Consulta también: Agentes alojados, Referencia de la CLI.