Kluis en toegang
Sla sleutels en verbonden accounts op in de kluis en kies, per verbinding, wanneer een agent ze mag gebruiken.
De kluis bevat de sleutels en verbonden accounts die je agents gebruiken. Agents vragen om een verbinding op naam. De kluis geeft de waarde pas vrij als het niveau van de verbinding dit toestaat voor de persoon voor wie de agent werkt, of als een persoon het verzoek goedkeurt.
Sleutel toevoegen
Open Instellingen, Sleutelhangers en klik op Sleutel toevoegen. Geef het een Naam die agents gebruiken om erom te vragen, zoals posthog-read, kies de Sleutelhanger en de Gevoeligheid, en plak de waarde. Een sleutel kan meerdere velden bevatten, bijvoorbeeld een ID en een geheim. Na het opslaan toont de pagina alleen veldnamen.
Om in plaats daarvan een account te verbinden, zoals Gmail, Google Calendar, Google Drive, GitHub of een MCP-server zoals Notion of Linear, open je Instellingen, Connectors en klik je op de knop Verbinden van de dienst.
Sleutelhangers
| Sleutelhanger | Wie beheert het | Wie kan het gebruiken |
|---|---|---|
| Van mij (persoonlijk) | Jij | Je eigen agents, agents in een kanaal waaraan je het uitleent, en de agents van een teamgenoot met wie je het deelt |
| Werkruimte | Beheerders | Agents aan wie een beheerder dit op naam toewijst |
| Agent | Beheerders | Die agent |
Een teamagent gebruikt nooit een persoonlijke sleutelhanger. Om de agents van een kanaal een van je persoonlijke verbindingen te laten gebruiken, leen je deze uit aan het kanaal.
Een sleutel delen met een teamgenoot
Open de sleutel, klik op Delen, kies de persoon onder Delen met een persoon en klik op Delen met passkey. Je bevestigt met een passkey of Face ID. Een wachtwoord keurt het delen niet goed. De eigen agents van de teamgenoot gebruiken de sleutel dan volgens het niveau ervan. De teamgenoot keurt dat gebruik goed en ziet de waarde nooit. Bij Toestaan kunnen hun agents de waarde lezen, net als bij elke andere Toestaan-sleutel. Klik op Verwijderen om het delen te beëindigen. Het volgende gebruik wordt meteen geweigerd.
laze vault share <name> --with <email>, of een agent die het voor jou vraagt, deelt de sleutel en wacht op jouw goedkeuring. Open Delen op de sleutel en klik op Goedkeuren met passkey, of Weigeren.
Sleutels op Altijd vragen en Alleen mensen worden alleen gedeeld vanaf de pagina Kluis. Vanaf de CLI of een agent wordt het delen geweigerd. De agent vertelt je om de sleutel eerst te verlagen naar Automatisch of Toestaan als je deze vanaf daar wilt delen.
Het niveau van een sleutel verlagen
Alleen jij kunt het niveau van een sleutel verlagen, op de pagina Kluis. De pagina vraagt je om te bevestigen en vertelt wat er verandert. Vanuit Altijd vragen of Alleen mensen bevestig je ook met een passkey of Face ID. De CLI, de API en agents worden geweigerd, zelfs via een goedkeuringskaart. Een niveau verhogen werkt overal, inclusief laze vault update <name> --level always-ask. Elk delen, elke verwijdering en elke niveauwijziging staat in het gebruikslogboek van de sleutel, inclusief wie het deed en hoe.
Toegangsniveaus
Elke verbinding heeft een van de vier niveaus. De CLI gebruikt de naam in de tweede kolom, zoals in laze vault update <name> --level auto.
| Niveau | CLI | Wat er gebeurt als een agent erom vraagt |
|---|---|---|
| Toestaan | allow | De agent gebruikt het zonder te vragen |
| Automatisch | auto | Een automatische controle leest het verzoek en staat het toe, of vraagt het aan een persoon bij twijfel. Zonder ingestelde controle keurt een persoon het goed |
| Altijd vragen | always-ask | Een persoon keurt elk gebruik goed |
| Alleen mensen | human-only | Agents gebruiken het nooit |
Sommige acties vragen een persoon ongeacht het niveau. E-mail of berichten sturen buiten het bedrijf wordt altijd een concept dat een persoon verstuurt. Een aanroep van buiten de computer van je agents stelt altijd een vraag. Als tien andere aanroepers de afgelopen vijf minuten een verbinding gebruikten, vraagt het volgende gebruik dit ook.
Hoe sleutels worden opgeslagen
| Niveau | Opslag |
|---|---|
| Toestaan en Automatisch | Versleuteld op de server, zodat agents ze zonder toezicht kunnen gebruiken. |
| Altijd vragen en Alleen mensen | Tweeslotsversleuteling: de server kan ze niet alleen openen. Hij heeft de passkey van je apparaat nodig. |
Tweeslotsversleuteling vereist een passkey of Face ID geregistreerd onder Instellingen, Kluis, Passkeys. Een sleutel die is opgeslagen voordat je er een registreerde, of voordat deze opslag bestond, toont Verzegelen in de sleutellijst. Klik erop en bevestig met je passkey. Een sleutel verhogen naar Altijd vragen verzegelt deze ook. Werkruimtesleutels, sleutels die via de egress-proxy worden verzonden en verbonden accounts worden op elk niveau op de server versleuteld.
Wanneer je een agent tijdelijk toestaat op een tweeslotssleutel, versleutelt je apparaat de waarde naar de uitvoeringssleutel van die agent. De server bewaart die kopie, die hij niet kan openen, alleen totdat de lease afloopt. Een tweeslotssleutel verlagen naar Automatisch of Toestaan opent deze eerst op je apparaat. Een tweeslotssleutel die je met een teamgenoot deelt, vraagt jou nog steeds voor elk gebruik, aangezien alleen jouw apparaat deze opent.
Wie een verzoek goedkeurt
Het niveau dat geldt, hangt af van wie het de agent vroeg. Wanneer je persoonlijke agent voor jou werkt, volgt deze het niveau van de verbinding. Wanneer een teamgenoot aan je persoonlijke agent vraagt om iets met je accounts te doen, komt het verzoek naar jou. Een planning wordt uitgevoerd als de persoon die deze heeft gemaakt.
Een verzoek toestaan of weigeren
Wanneer een gebruik een persoon nodig heeft, plaatst de agent een kaart in de thread waarin hij werkt. Deze toont het commando dat hij wil uitvoeren. De persoon die beslist, antwoordt met een van deze opties:
- Toestaan: geef de waarde eenmalig vrij.
- Toestaan voor deze agent: geef de agent een lease. Zo kan hij de verbinding zonder te vragen gebruiken totdat de lease afloopt. Een lease duurt hooguit twee dagen.
- Weigeren: weiger, met een optionele notitie die de agent leest.
Een onbeantwoorde kaart wordt na 24 uur geweigerd. Elk gebruik en elk antwoord staat in het Gebruikslogboek van de sleutel en in het Auditlogboek.
Het gebruikslogboek
Open een sleutel op de pagina Kluis om het gebruikslogboek te zien. De nieuwste staan bovenaan. Elke regel noemt wie de sleutel gebruikte, een agent of een persoon. Ook staat er hoe: laze vault run, via de proxy, vrijgegeven aan de agent, of onthuld. Voor een agent staat er ook of hij draaide op zijn Laze-computer of op een verbonden machine. Een goedkeuring toont hoeveel keren gebruik eronder vielen. Elk van die keren gebruik geeft aan dat het onder een goedkeuring viel. Het veld Laatst gebruikt van een rij telt elk gebruik, door een agent of een persoon. Een sleutel opslaan of wijzigen is geen gebruik. laze vault uses <name> print hetzelfde logboek.
Een sleutel gebruiken via de command line
Tijdens de beurt van een gehoste agent voert de agent een commando uit met de waarden van een sleutel in zijn omgeving:
laze vault run posthog-read --reason "Count sign-ups from last week for the weekly report" -- python report.pyDe reden is één simpele zin die de goedkeurende persoon leest. De output van het commando wordt gecensureerd, zodat de waarden niet in de chat belanden. Als het gebruik wordt geweigerd, stopt laze vault run met code 77.
Om de kluis te gebruiken vanuit Claude Code, Codex of een script op je eigen machine, zie Kluis vanuit Claude Code en Codex.
Voor API-aanroepen die de computer van je agents verlaten, houdt de agent een placeholder vast in plaats van de waarde. De egress-proxy van de kluis wisselt de echte waarde onderweg naar buiten in.
Een opgeslagen waarde bekijken
Alleen de eigenaar van een sleutel kan de waarde onthullen, na binnen de afgelopen vijf minuten opnieuw te zijn ingelogd. De waarde wordt 30 seconden getoond. Elke onthulling wordt vastgelegd in het auditlogboek.
Bekijk ook: Gehoste agents, CLI referentie.