Cassaforte e accesso
Archivia chiavi e account connessi nella cassaforte e scegli, per ogni connessione, quando un agente può usarli.
La cassaforte contiene le chiavi e gli account collegati che usano i tuoi agenti. Gli agenti richiedono una connessione per nome e la cassaforte rilascia il valore solo quando il livello della connessione lo consente per la persona per cui lavora l'agente, oppure quando una persona approva la richiesta.
Aggiungi una chiave
Apri Impostazioni, Portachiavi e fai clic su Aggiungi una chiave. Assegna un Nome che gli agenti usano per richiederla, come posthog-read, scegli il Portachiavi e la Sensibilità, e incolla il valore. Una chiave può contenere diversi campi, per esempio un ID e un segreto. Dopo aver salvato, la pagina mostra solo i nomi dei campi.
Per collegare un account, come Gmail, Google Calendar, Google Drive, GitHub o un server MCP come Notion o Linear, apri Impostazioni, Connettori e fai clic sul pulsante Connetti del servizio.
Portachiavi
| Portachiavi | Chi lo gestisce | Chi può usarlo |
|---|---|---|
| Mio (personale) | Tu | I tuoi agenti, gli agenti in un canale a cui lo presti e gli agenti di un membro del team con cui lo condividi |
| Area di lavoro | Admin | Agenti a cui un admin lo concede per nome |
| Agente | Admin | Quell'agente |
Un agente del team non usa mai un portachiavi personale. Per permettere agli agenti di un canale di usare una delle tue connessioni personali, prestala al canale.
Condividere una chiave con un membro del team
Apri la chiave, fai clic su Condividi, scegli la persona sotto Condividi con una persona e fai clic su Condividi con passkey. Confermi con una passkey o Face ID. Una password non approva una condivisione. Gli agenti del membro del team usano poi la chiave in base al suo livello, il membro del team approva quegli utilizzi e non vede mai il valore. A livello Consenti i suoi agenti possono leggere il valore, come per qualsiasi chiave Consenti. Fai clic su Rimuovi per terminare la condivisione. Il successivo utilizzo viene rifiutato immediatamente.
laze vault share <name> --with <email>, o un agente che lo chiede per te, crea una condivisione che attende la tua approvazione. Apri Condividi sulla chiave e fai clic su Approva con passkey, oppure su Rifiuta.
Le chiavi Chiedi sempre e Solo persone sono condivise solo dalla pagina Cassaforte. Dalla CLI o da un agente la condivisione viene rifiutata e l'agente ti dice di abbassare prima la chiave ad Automatico o Consenti se vuoi condividerla da lì.
Abbassare il livello di una chiave
Solo tu puoi abbassare il livello di una chiave, nella pagina Cassaforte. La pagina ti chiede di confermare e indica cosa cambia. Da Chiedi sempre o Solo persone confermi anche con una passkey o Face ID. La CLI, le API e gli agenti vengono rifiutati, anche tramite una scheda di approvazione. Alzare un livello funziona da ovunque, laze vault update <name> --level always-ask incluso. Ogni condivisione, rimozione e modifica di livello è nel log di utilizzo della chiave, con chi l'ha effettuata e come.
Livelli di accesso
Ogni connessione ha uno dei quattro livelli. La CLI prende il nome nella seconda colonna, come in laze vault update <name> --level auto.
| Livello | CLI | Cosa succede quando un agente lo chiede |
|---|---|---|
| Consenti | allow | L'agente lo usa senza chiedere |
| Automatico | auto | Un controllo automatico legge la richiesta e la consente, o chiede a una persona quando non è sicuro. Senza un controllo impostato, una persona approva |
| Chiedi sempre | always-ask | Una persona approva ogni utilizzo |
| Solo persone | human-only | Gli agenti non lo usano mai |
Alcune azioni chiedono a una persona indipendentemente dal livello. Inviare email o messaggi fuori dall'azienda diventa sempre una bozza che una persona invia. Una chiamata dall'esterno del computer degli agenti chiede sempre. Se altri dieci chiamanti hanno usato una connessione negli ultimi cinque minuti, anche il successivo utilizzo chiede.
Come sono archiviate le chiavi
| Livello | Archiviazione |
|---|---|
| Consenti e Automatico | Crittografate sul server, in modo che gli agenti possano usarle in modo non presidiato. |
| Chiedi sempre e Solo persone | Crittografia a due serrature: il server non può aprirle da solo, ha bisogno della passkey del tuo dispositivo. |
La crittografia a due serrature richiede una passkey o Face ID registrato in Impostazioni, Cassaforte, Passkey. Una chiave salvata prima di averne registrata una, o prima che questa archiviazione esistesse, mostra Sigilla nell'elenco delle chiavi. Fai clic e conferma con la tua passkey. Alzare una chiave a Chiedi sempre la sigilla a sua volta. Le chiavi dell'area di lavoro, le chiavi inviate tramite il proxy in uscita e gli account collegati sono crittografati sul server a ogni livello.
Quando consenti a un agente di usare temporaneamente una chiave a due serrature, il tuo dispositivo crittografa il valore con la chiave di esecuzione di quell'agente. Il server conserva quella copia, che non può aprire, solo fino alla fine della concessione. Abbassare una chiave a due serrature ad Automatico o Consenti la apre prima sul tuo dispositivo. Una chiave a due serrature che condividi con un membro del team ti chiede l'approvazione per ogni utilizzo, poiché solo il tuo dispositivo può aprirla.
Chi approva una richiesta
Il livello che si applica dipende da chi ha effettuato la richiesta all'agente. Quando il tuo agente personale lavora per te, segue il livello della connessione. Quando un membro del team chiede al tuo agente personale di fare qualcosa con i tuoi account, la richiesta arriva a te. Una pianificazione viene eseguita come la persona che l'ha creata.
Approvare o rifiutare una richiesta
Quando un utilizzo richiede una persona, l'agente pubblica una scheda nel thread in cui sta lavorando, mostrando il comando che vuole eseguire. La persona che decide risponde con una di queste opzioni:
- Consenti: rilascia il valore per questa volta.
- Consenti per questo agente: assegna all'agente una concessione, in modo che possa usare la connessione senza chiedere fino al termine. Una concessione dura al massimo due giorni.
- Rifiuta: rifiuta l'utilizzo, con una nota facoltativa che l'agente legge.
Una scheda senza risposta viene rifiutata dopo 24 ore. Ogni utilizzo e ogni risposta è nel Log di utilizzo della chiave e nel Log di controllo.
Il log di utilizzo
Apri una chiave nella pagina Cassaforte per vedere il suo log di utilizzo, partendo dal più recente. Ogni riga indica chi ha usato la chiave, un agente o una persona, e in che modo: laze vault run, tramite il proxy, rilasciata all'agente o rivelata. Per un agente dice anche se è stato eseguito sul suo computer Laze o su una macchina collegata. Un'approvazione mostra quanti utilizzi ne sono derivati e ognuno di quegli utilizzi indica che è avvenuto in base a un'approvazione. L'Ultimo utilizzo di una riga conta ogni utilizzo da parte di un agente o di una persona. Salvare o modificare una chiave non è un utilizzo. laze vault uses <name> stampa lo stesso log.
Usare una chiave dalla riga di comando
Durante il turno di un agente ospitato, l'agente esegue un comando con i valori di una chiave nel suo ambiente:
laze vault run posthog-read --reason "Count sign-ups from last week for the weekly report" -- python report.pyIl motivo è una semplice frase letta dalla persona che approva. L'output del comando viene redatto, in modo che i valori non finiscano nella chat. Se l'utilizzo viene rifiutato, laze vault run esce con codice 77.
Per usare la cassaforte da Claude Code, Codex o da uno script sulla propria macchina, vedi Cassaforte da Claude Code e Codex.
Per le chiamate API che escono dal computer degli agenti, l'agente ha un segnaposto invece del valore. Il proxy in uscita della cassaforte scambia il segnaposto con il valore reale durante l'uscita.
Visualizzare un valore archiviato
Solo il proprietario di una chiave può rivelarne il valore, dopo aver effettuato di nuovo l'accesso negli ultimi cinque minuti. Il valore viene mostrato per 30 secondi e ogni visualizzazione è registrata nel log di controllo.
Vedi anche: Agenti ospitati, Riferimento CLI.