Coffre et accès

Stockez les clés et comptes connectés dans le coffre et choisissez, par connexion, quand un agent peut les utiliser.

Le coffre contient les clés et les comptes connectés qu'utilisent vos agents. Les agents demandent une connexion par son nom, et le coffre libère la valeur uniquement lorsque le niveau de la connexion l'autorise pour la personne pour laquelle l'agent travaille, ou lorsqu'une personne approuve la demande.

Ajouter une clé#

Ouvrez Paramètres, Trousseaux et cliquez sur Ajouter une clé. Donnez-lui un Nom que les agents utilisent pour la demander, comme posthog-read. Choisissez le Trousseau et la Sensibilité, puis collez la valeur. Une clé peut contenir plusieurs champs, par exemple un ID et un secret. Après avoir enregistré, la page affiche uniquement les noms des champs.

Pour connecter un compte à la place, comme Gmail, Google Calendar, Google Drive, GitHub ou un serveur MCP comme Notion ou Linear, ouvrez Paramètres, Connecteurs et cliquez sur le bouton Connecter du service.

Trousseaux#

Un agent d'équipe n'utilise jamais un trousseau personnel. Pour laisser les agents d'un canal utiliser l'une de vos connexions personnelles, prêtez-la au canal.

Partager une clé avec un coéquipier#

Ouvrez la clé, cliquez sur Partager, choisissez la personne sous Partager avec une personne et cliquez sur Partager avec une clé d'accès. Vous confirmez avec une clé d'accès ou Face ID. Un mot de passe n'approuve pas un partage. Les propres agents du coéquipier utilisent ensuite la clé selon son niveau, le coéquipier approuve ces utilisations, et le coéquipier ne voit jamais la valeur. Avec Autoriser, ses agents peuvent lire la valeur, comme avec n'importe quelle clé Autoriser. Cliquez sur Supprimer pour mettre fin au partage. La prochaine utilisation est refusée immédiatement.

laze vault share <name> --with <email>, ou un agent qui le demande pour vous, crée un partage qui attend votre approbation. Ouvrez Partager sur la clé et cliquez sur Approuver avec une clé d'accès, ou Refuser.

Les clés Toujours demander et Personnes uniquement sont partagées uniquement depuis la page Coffre. Depuis la CLI ou un agent, le partage est refusé. L'agent vous dit d'abaisser d'abord la clé sur Auto ou Autoriser si vous voulez la partager de là.

Abaisser le niveau d'une clé#

Seul vous pouvez abaisser le niveau d'une clé, sur la page Coffre. La page vous demande de confirmer et indique ce qui change. Depuis Toujours demander ou Personnes uniquement, vous confirmez aussi avec une clé d'accès ou Face ID. La CLI, l'API et les agents sont refusés, même via une carte d'approbation. Augmenter un niveau fonctionne de n'importe où, laze vault update <name> --level always-ask inclus. Chaque partage, suppression et changement de niveau se trouve dans le journal d'utilisation de la clé, avec qui l'a fait et comment.

Niveaux d'accès#

Chaque connexion a l'un des quatre niveaux. La CLI prend le nom dans la deuxième colonne, comme dans laze vault update <name> --level auto.

Certaines actions demandent à une personne quel que soit le niveau. Envoyer un e-mail ou des messages en dehors de l'entreprise devient toujours un brouillon qu'une personne envoie. Un appel depuis l'extérieur de l'ordinateur de vos agents demande toujours. Si dix autres appelants ont utilisé une connexion dans les cinq dernières minutes, la prochaine utilisation demande également.

Comment les clés sont stockées#

Le chiffrement à double verrou nécessite une clé d'accès ou Face ID enregistrée sous Paramètres, Coffre, Clés d'accès. Une clé enregistrée avant que vous en ayez enregistré une, ou avant que ce stockage n'existe, affiche Sceller dans la liste des clés. Cliquez dessus et confirmez avec votre clé d'accès. Passer une clé sur Toujours demander la scelle également. Les clés d'espace de travail, les clés envoyées via le proxy de sortie et les comptes connectés sont chiffrés sur le serveur à tous les niveaux.

Lorsque vous autorisez un agent pour un certain temps sur une clé à double verrou, votre appareil chiffre la valeur avec la clé d'exécution de cet agent. Le serveur conserve cette copie, qu'il ne peut pas ouvrir, uniquement jusqu'à la fin du bail. Abaisser une clé à double verrou sur Auto ou Autoriser l'ouvre d'abord sur votre appareil. Une clé à double verrou que vous partagez avec un coéquipier vous demande toujours pour chaque utilisation, car seul votre appareil l'ouvre.

Qui approuve une demande#

Le niveau qui s'applique dépend de qui a demandé à l'agent. Lorsque votre agent personnel travaille pour vous, il suit le niveau de la connexion. Lorsqu'un coéquipier demande à votre agent personnel de faire quelque chose avec vos comptes, la demande vous parvient. Une planification s'exécute en tant que la personne qui l'a créée.

Autoriser ou refuser une demande#

Lorsqu'une utilisation nécessite une personne, l'agent publie une carte dans le fil dans lequel il travaille, montrant la commande qu'il souhaite exécuter. La personne qui décide répond par l'un des choix suivants :

• Autoriser : libérer la valeur cette fois-ci.
• Autoriser pour cet agent : donner un bail à l'agent, pour qu'il puisse utiliser la connexion sans demander jusqu'à la fin du bail. Un bail dure au maximum deux jours.
• Refuser : refuser, avec une note facultative que l'agent lit.

Une carte sans réponse est refusée après 24 heures. Chaque utilisation et chaque réponse se trouvent dans le Journal d'utilisation de la clé et dans le Journal d'audit.

Le journal d'utilisation#

Ouvrez une clé sur la page Coffre pour voir son journal d'utilisation, du plus récent au plus ancien. Chaque ligne indique qui a utilisé la clé, un agent ou une personne, et comment : laze vault run, via le proxy, libérée à l'agent ou révélée. Pour un agent, elle indique également s'il s'est exécuté sur son ordinateur Laze ou sur une machine connectée. Une approbation montre combien d'utilisations en ont découlé, et chacune de ces utilisations précise qu'elle provient d'une approbation. La Dernière utilisation d'une ligne compte chaque utilisation, par un agent ou une personne. Enregistrer ou modifier une clé n'est pas une utilisation. laze vault uses <name> affiche le même journal.

Utiliser une clé depuis la ligne de commande#

Pendant le tour d'un agent hébergé, l'agent exécute une commande avec les valeurs d'une clé dans son environnement :

laze vault run posthog-read --reason "Count sign-ups from last week for the weekly report" -- python report.py

La raison est une phrase simple que la personne qui approuve lit. La sortie de la commande est masquée, pour que les valeurs ne se retrouvent pas dans la discussion. Si l'utilisation est refusée, laze vault run se termine avec le code 77.

Pour utiliser le coffre depuis Claude Code, Codex ou un script sur votre propre machine, consultez Coffre depuis Claude Code et Codex.

Pour les appels d'API qui quittent l'ordinateur de vos agents, l'agent détient un espace réservé au lieu de la valeur. Le proxy de sortie du coffre insère la vraie valeur en sortant.

Voir une valeur stockée#

Seul le propriétaire d'une clé peut révéler sa valeur, après s'être reconnecté dans les cinq dernières minutes. La valeur s'affiche pendant 30 secondes, et chaque révélation est enregistrée dans le journal d'audit.

Consultez aussi : Agents hébergés, Référence de la CLI.