Ce qu'un agent principal ne peut pas faire

Le problème

Un agent planifiant une modification passe son premier tour à découvrir ce qu’il n’est pas autorisé à faire, habituellement en tentant de le faire. C’est une manière coûteuse de lire un modèle de permissions, et le refus arrive au moment le moins pratique — au milieu d’un plan auquel l’agent s’est déjà engagé.

Comment la plateforme résout le problème

Les limites sont énoncées ici, avant la planification, afin qu’un plan puisse être établi à l’intérieur de celles-ci.

Un agent principal agit à l’intérieur d’un seul locataire. Il n’y a pas de listage, de lecture ou d’écriture inter-locataires ; une requête qui ne nomme pas le locataire n’est pas une requête pour tous. Tout ce qui atteint les enregistrements d’un autre locataire est refusé.

Exécuter n’est pas construire. Le droit d’exécuter un déploiement ne confère pas le droit de produire l’image qu’il exécute. Un agent qui a besoin d’une nouvelle image a besoin de la surface qui les construit et d’un principal qui la détient — les deux rôles sont séparés à dessein, et un principal détenant les deux silencieusement annule cette séparation.

L’état que la plateforme possède n’est pas modifiable. L’identité, la révision, le statut et les horodatages sont attribués par la plateforme. Une description qui tente de les définir est refusée plutôt qu’acceptée et écrasée, de sorte qu’un agent ne croit jamais avoir défini une valeur qu’il n’a pas définie.

Rien ne peut être écrit directement dans le magasin. Chaque règle d’admission réside sur le chemin d’entrée. Un enregistrement écrit en les contournant semble légitime et n’a jamais été vérifié, ce qui est la seule défaillance qui ne laisse aucune preuve d’elle-même.

Les refus sont l’interface, pas une exception. Chaque refus nomme le champ, la valeur reçue, la forme acceptée, pourquoi c’est important et un code stable sur lequel brancher. Branchez-vous sur le code ; ne faites jamais correspondre le message, qui est écrit pour une personne et change lorsque la formulation s’améliore. L’ensemble complet se trouve dans les rejets et altérations.

Not this

Cette page n’énumère pas les outils ni leurs arguments — ceux-ci sont la référence des outils — et elle ne décrit pas comment un principal est émis ou renouvelé, ce qui est une procédure opérationnelle.

Où le voir

• Chaque code de refus et sa signification : rejets et altérations.
• Ce qu’une description peut contenir : manifeste de déploiement.
• La frontière d’isolation elle-même : multilocation et isolation.