Сейф и доступ
Храните ключи и подключенные аккаунты в сейфе и выбирайте для каждого подключения, когда агент может их использовать.
Сейф хранит ключи и подключенные аккаунты, которые используют ваши агенты. Агенты запрашивают подключение по названию, и сейф выдает значение только когда уровень подключения разрешает это для человека, на которого работает агент, или когда человек одобряет запрос.
Добавить ключ
Откройте Настройки, Связки ключей и нажмите Добавить ключ. Укажите Название, которое агенты будут использовать для запроса, например posthog-read, выберите Связка ключей и Чувствительность, и вставьте значение. Ключ может содержать несколько полей, например ID и секрет. После сохранения на странице отображаются только названия полей.
Чтобы подключить аккаунт, например Gmail, Google Calendar, Google Drive, GitHub или MCP-сервер, такой как Notion или Linear, откройте Настройки, Коннекторы и нажмите кнопку Подключить у нужного сервиса.
Связки ключей
| Связка ключей | Кто управляет | Кто может использовать |
|---|---|---|
| Моя (личная) | Вы | Ваши личные агенты, агенты в канале, которому вы ее одолжили, и агенты участника, с которым вы ей поделились |
| Рабочее пространство | Админы | Агенты, которым админ предоставил ее по названию |
| Агент | Админы | Этот агент |
Командный агент никогда не использует личную связку ключей. Чтобы позволить агентам канала использовать одно из ваших личных подключений, одолжите его каналу.
Поделиться ключом с участником
Откройте ключ, нажмите Поделиться, выберите человека в разделе Поделиться с человеком и нажмите Поделиться с ключом доступа. Вы подтверждаете действие ключом доступа или Face ID, пароль не подходит для одобрения. Затем собственные агенты участника используют ключ согласно его уровню, участник одобряет эти использования, и он никогда не видит значение ключа. На уровне Разрешить их агенты могут прочитать значение, как и с любым ключом уровня Разрешить. Нажмите Удалить, чтобы перестать делиться ключом, следующее использование будет сразу отклонено.
laze vault share <name> --with <email> или агент, запрашивающий доступ для вас, создает запрос на предоставление доступа, который ждет вашего одобрения. Откройте Поделиться в настройках ключа и нажмите Одобрить ключом доступа или Отклонить.
Ключами Всегда спрашивать и Только люди можно поделиться только на странице Сейф. Из CLI или от агента запрос будет отклонен, и агент скажет вам сначала понизить уровень ключа до Авто или Разрешить, если вы хотите поделиться им оттуда.
Понижение уровня ключа
Только вы можете понизить уровень ключа на странице Сейф. Страница попросит вас подтвердить действие и покажет, что изменится. С уровней Всегда спрашивать или Только люди вы также подтверждаете изменение ключом доступа или Face ID. Запросы из CLI, API и от агентов отклоняются даже через карточку одобрения. Повышение уровня работает отовсюду, включая laze vault update <name> --level always-ask. Каждое предоставление доступа, удаление и изменение уровня записывается в журнал использования ключа, с указанием того, кто и как это сделал.
Уровни доступа
У каждого подключения есть один из четырех уровней. CLI принимает название из второй колонки, как в laze vault update <name> --level auto.
| Уровень | CLI | Что происходит, когда агент запрашивает доступ |
|---|---|---|
| Разрешить | allow | Агент использует его без спроса |
| Авто | auto | Автоматическая проверка читает запрос и разрешает его, либо спрашивает человека, когда сомневается. Без настроенной проверки действие одобряет человек. |
| Всегда спрашивать | always-ask | Человек одобряет каждое использование |
| Только люди | human-only | Агенты никогда не используют его |
Некоторые действия требуют подтверждения от человека независимо от уровня. Отправка email или сообщений за пределы компании всегда становится черновиком, который отправляет человек. Вызов извне компьютера агентов всегда требует подтверждения. Если десять других вызывающих использовали подключение за последние пять минут, следующее использование также потребует подтверждения.
Как хранятся ключи
| Уровень | Хранение |
|---|---|
| Разрешить и Авто | Зашифрованы на сервере, чтобы агенты могли использовать их без участия человека. |
| Всегда спрашивать и Только люди | Шифрование с двумя замками: сервер не может открыть их самостоятельно, ему нужен ключ доступа вашего устройства. |
Для шифрования с двумя замками нужен ключ доступа или Face ID, зарегистрированный в разделе Настройки, Сейф, Ключи доступа. Ключ, сохраненный до того как вы зарегистрировали один из них или до появления этого хранилища, показывает статус Запечатать в списке ключей: нажмите на него и подтвердите действие вашим ключом доступа. Повышение уровня ключа до Всегда спрашивать также запечатывает его. Ключи рабочего пространства, ключи, отправленные через исходящий прокси-сервер, и подключенные аккаунты зашифрованы на сервере на любом уровне.
Когда вы разрешаете агенту временный доступ к ключу с двумя замками, ваше устройство шифрует значение для ключа запуска этого агента. Сервер хранит эту копию, которую не может открыть, только до окончания срока аренды. Понижение уровня ключа с двумя замками до Авто или Разрешить сначала открывает его на вашем устройстве. Ключ с двумя замками, которым вы делитесь с участником, по-прежнему спрашивает вас при каждом использовании, так как только ваше устройство может его открыть.
Кто одобряет запрос
Применяемый уровень зависит от того, кто обратился к агенту. Когда ваш личный агент работает на вас, он следует уровню подключения. Когда участник просит вашего личного агента сделать что-то с вашими аккаунтами, запрос приходит вам. Расписание запускается от имени человека, который его создал.
Разрешить или отклонить запрос
Когда для использования нужен человек, агент публикует карточку в треде, в котором работает, показывая команду, которую хочет запустить. Человек, принимающий решение, отвечает одним из вариантов:
- Разрешить: выдать значение на один раз.
- Разрешить для этого агента: предоставить агенту аренду, чтобы он мог использовать подключение без спроса до окончания аренды. Аренда длится не более двух дней.
- Отклонить: отказать, с возможностью добавить примечание, которое прочитает агент.
Карточка без ответа отклоняется через 24 часа. Каждое использование и каждый ответ записываются в Журнал использования ключа и в Журнал аудита.
Журнал использования
Откройте ключ на странице Сейф, чтобы увидеть его журнал использования, начиная с самых новых. Каждая строка указывает, кто использовал ключ, агент или человек, и как именно: laze vault run, через прокси, выдано агенту или раскрыто. Для агента также указывается, был ли он запущен на своем компьютере Laze или на подключенной машине. В одобрении показано, сколько использований произошло в его рамках, и каждое из этих использований сообщает, что оно было сделано в рамках одобрения. Поле Последнее использование в строке подсчитывает каждое использование агентом или человеком. Сохранение или изменение ключа не является использованием. Команда laze vault uses <name> выводит тот же журнал.
Использование ключа из командной строки
Во время хода размещенного агента агент запускает команду со значениями ключа в ее окружении:
laze vault run posthog-read --reason "Count sign-ups from last week for the weekly report" -- python report.pyПричина представляет собой одно простое предложение, которое читает одобряющий человек. Вывод команды скрывается, поэтому значения не попадают в чат. Если использование отклоняется, laze vault run завершается с кодом 77.
Чтобы использовать сейф из Claude Code, Codex или скрипта на вашей собственной машине, смотрите Сейф из Claude Code и Codex.
Для вызовов API, которые покидают компьютер ваших агентов, агент хранит плейсхолдер вместо значения, а исходящий прокси-сервер сейфа подставляет реальное значение на выходе.
Просмотр сохраненного значения
Только владелец ключа может показать его значение после повторного входа в систему в течение последних пяти минут. Значение отображается 30 секунд, и каждое раскрытие записывается в журнал аудита.
Также посмотрите: Размещенные агенты, Справочник CLI.