Kho mật khẩu

Xem Markdown

Lưu tài khoản, Token, API Key vào kho mật khẩu rồi cấp quyền cho từng Agent, không cần gửi giá trị dạng rõ trong tin nhắn.

Khi Agent cần đăng nhập vào hệ thống bên ngoài hoặc gọi API của bên thứ ba, nó cần thông tin xác thực (credential). Nếu dán thẳng thông tin xác thực vào tin nhắn, mọi người và Agent xem được tin nhắn đó đều thấy nó. Kho mật khẩu làm theo cách khác: thông tin xác thực chỉ lưu vào kho một lần, rồi cấp quyền cho từng Agent cụ thể; khi đổi giá trị hay thu hồi quyền, bạn cũng không phải gửi lại giá trị dạng rõ.

Những thứ nên đưa vào kho mật khẩu: tài khoản và mật khẩu website, API Key, Token truy cập, chuỗi kết nối cơ sở dữ liệu, v.v.

Thông tin xác thực cá nhân và của tổ chức

Mở “Settings → Vault” (Kho mật khẩu); ở đầu trang bạn có thể chuyển giữa “Personal” (Cá nhân) và “Organization” (Tổ chức).

	Cá nhân	Tổ chức
Ai xem và quản lý được	Chỉ bạn	Chỉ Owner và quản trị viên của tổ chức
Nên lưu gì	Tài khoản của riêng bạn, Key bạn tự đăng ký	Tài khoản dùng chung của nhóm, API Key cấp công ty
Thành viên thường	Có thể tạo và quản lý thông tin xác thực của mình	Không thấy danh sách thông tin xác thực của tổ chức, nút “Organization” không dùng được

Tuy thành viên thường không thấy thông tin xác thực của tổ chức, Agent sau khi được cấp quyền vẫn dùng trực tiếp được. Phần cài đặt của khách (Guest) không có “Vault”.

Settings → Vault: hai thẻ "Personal" và "Organization" quản lý thông tin xác thực riêng biệt

Tạo thông tin xác thực

Mở “Settings → Vault”, bấm “New credential”.
Trong “Scope” (Phạm vi), chọn “Personal” hoặc “Organization”. Chỉ Owner và quản trị viên mới chọn được “Organization”.
Điền “Title” (Tiêu đề), và “Description” (Mô tả) nếu muốn.
Trong “Fields”, thêm tên trường và giá trị, ví dụ username, password, token, api_key, url; bạn cũng có thể dùng “Quick fields”. Trường nào cần ẩn thì đánh dấu “Sensitive value” (Giá trị nhạy cảm). Mỗi thông tin xác thực có tối đa 20 trường, tổng dung lượng không quá 8 KB.
Bấm “Create credential”.

Lưu xong còn xem lại được giá trị không

Giá trị nhạy cảm: không. Sau khi lưu chỉ hiển thị “●●●●●●●●” kèm dòng “Cannot be revealed · replace the value to use a new one”, và không có nút sao chép.
Trường không nhạy cảm: xem được trong “Credential content” ở trang chi tiết thông tin xác thực.

Vì vậy, mật khẩu, Token, Key và những thứ tương tự nhất định phải đánh dấu “Sensitive value”.

Cấp quyền cho Agent

Thông tin xác thực sau khi vào kho sẽ không tự động được Agent nào dùng; bạn phải cấp quyền cho từng Agent. Có hai lối vào:

Cấp quyền từ kho mật khẩu

Trong “Settings → Vault”, mở một thông tin xác thực.
Dưới “Granted to N Agents”, bấm “Grant to Agent”.
Đánh dấu Agent trong danh sách (có thể tìm theo tên Agent hoặc người phụ trách), rồi gửi.

Thông tin xác thực cá nhân do chính bạn cấp quyền, thông tin xác thực của tổ chức do Owner hoặc quản trị viên cấp quyền. Đối tượng được cấp quyền có thể là Agent khác trong tổ chức, không chỉ Agent của bạn.

Cấp quyền từ trang chi tiết Agent

Mở trang chi tiết Agent, vào “Permissions → Authorized credentials”. Chỉ người phụ trách Agent mới thấy trang này.
Bấm “Add grant” → “Select a credential”. Bạn chọn được thông tin xác thực cá nhân của mình; nếu là Owner hoặc quản trị viên, bạn chọn được cả thông tin xác thực của tổ chức.

Mỗi lần cấp quyền chỉ áp dụng cho một Agent. Một thông tin xác thực có thể cấp cho nhiều Agent, các lần cấp độc lập với nhau.

Agent chủ động xin thông tin xác thực: yêu cầu thông tin xác thực

Khi phát hiện mình thiếu một thông tin xác thực, Agent sẽ gửi một thẻ “Credential request” (Yêu cầu thông tin xác thực) trong kênh hoặc tin nhắn riêng (DM), ghi rõ nó cần gì (“Title hint”, “Requested fields”) và “Purpose” (Mục đích).

Thẻ yêu cầu thông tin xác thực do Agent gửi: bấm "Provide a credential" hoặc "Decline"

Các bước xử lý:

Trên thẻ, bấm “Provide a credential”. Nếu không muốn cung cấp thì bấm “Decline”.
Trong hộp thoại “Provide a credential to Research Assistant”, chọn “Credential source” (Nguồn thông tin xác thực):
- Chọn từ kho mật khẩu (“Choose from vault”): tìm và chọn một thông tin xác thực có sẵn. Ở đây chỉ hiển thị tên, mô tả và tên trường, không hiển thị giá trị dạng rõ.
- Tạo mới (“Create credential”): điền trường và giá trị ngay tại chỗ. Giá trị mới điền sẽ được lưu thành thông tin xác thực cá nhân của bạn.
Bấm “Provide”.

Sau khi cung cấp, thông tin xác thực này được cấp quyền cho Agent đã gửi yêu cầu, trạng thái thẻ chuyển từ “Waiting” sang “Provided”, và trang báo “Credential provided and granted to the Agent.”. Giá trị thông tin xác thực không xuất hiện trong Session.

Ai xử lý được yêu cầu thông tin xác thực: bất kỳ ai thấy được thẻ này (Owner, Admin hoặc Member) đều xử lý được, không chỉ người phụ trách Agent. Khách (Guest) không xử lý được. Người đầu tiên xử lý xong thì thẻ kết thúc.

Cũng có thể cung cấp thông tin xác thực của tổ chức: khi “Choose from vault”, thành viên có thể chọn thông tin xác thực của tổ chức để cung cấp cho Agent, không cần là quản trị viên.

Chủ động gửi thông tin xác thực cho Agent

Không cần đợi Agent xin, bạn cũng có thể chọn “Provide a credential” trong menu “+” của ô nhập, chọn Agent và thông tin xác thực rồi bấm “Add to message”; thông tin xác thực sẽ được cấp quyền cho Agent này cùng với tin nhắn đó.

Đổi giá trị, thu hồi quyền và xóa

Trong trang chi tiết thông tin xác thực:

Đổi giá trị: bấm “Edit credential”, điền giá trị mới vào trường cần đổi, bấm “Save changes”. Trường để trống giữ nguyên giá trị cũ. Thay đổi có hiệu lực từ lần tiếp theo Agent sử dụng.
Thu hồi quyền: bấm “Revoke” bên cạnh Agent đã được cấp quyền. Lần dùng tiếp theo của Agent này sẽ thất bại; bản thân thông tin xác thực và quyền của các Agent khác không bị ảnh hưởng. Người phụ trách cũng có thể thu hồi trong “Permissions → Authorized credentials” ở trang chi tiết Agent.
Xóa thông tin xác thực: bấm “Delete credential”. Quyền của mọi Agent mất hiệu lực ngay lập tức, không thể khôi phục.
Chuyển thành thông tin xác thực của tổ chức: Owner hoặc quản trị viên có thể chuyển thông tin xác thực cá nhân của mình thành của tổ chức (“Convert to organization credential”). Các quyền đã cấp giữ nguyên, từ đó về sau do Owner và quản trị viên quản lý. Không có thao tác chuyển ngược lại thành cá nhân.

Nếu trang báo “Change pending”, nghĩa là có Agent đang dùng thông tin xác thực này; phải đợi nó dùng xong mới sửa tiếp được.

Mỗi thông tin xác thực đều có nhật ký “Audit”, cho thấy ai đã tạo, đổi giá trị, cấp quyền, thu hồi quyền vào lúc nào, cùng kết quả của mỗi lần Agent sử dụng.

Khi đổi người phụ trách

Sau khi Agent đổi người phụ trách, các thông tin xác thực trong kho mật khẩu đã cấp quyền cho nó vẫn được giữ. Ảnh hưởng của việc đổi người phụ trách, xem chi tiết tại Agent.

Quan hệ với kết nối MCP

Khóa bí mật của kết nối MCP không chọn từ kho mật khẩu, mà được điền trực tiếp khi cấu hình kết nối MCP và do chính kết nối MCP lưu giữ, không xuất hiện trong danh sách kho mật khẩu. Xem chi tiết tại Kết nối MCP.

Trang liên quan

Giải thích về quyền: ai quản lý được loại thông tin xác thực nào
Bảo mật và quyền
Agent