Ủy quyền bên thứ ba

Quy trình chỉ diễn ra một lần: chọn dịch vụ, điền thông tin xác thực theo hướng dẫn, và khi lưu, nền tảng gọi lên dịch vụ một lần để xác nhận kết nối. Từ đó ủy quyền này áp dụng cho mọi quy trình của bạn, còn khóa bí mật không xuất hiện trong YAML, tệp xuất hay nhật ký chạy.

Phân công lao động với những “nhà cung cấp kiểu mẫu”

Trang "Tích hợp" có hai phân vùng chứa hai loại nội dung khác nhau:

• Nhà cung cấp mô hình — OpenAI, Anthropic, OpenRouter, v.v. API Key của dịch vụ LLM, dành cho bước Agent để gọi mô hình.
• Ủy quyền bên thứ ba — Ủy quyền tài khoản của hệ thống kinh doanh được sử dụng cho các mô-đun chính thức và các bước code để đọc và ghi dữ liệu bên ngoài. Đó là nội dung của trang này.

Tạo ủy quyền

1. Vào Tích hợp → Ủy quyền bên thứ ba. Hàng thẻ danh mục ở trên giúp thu hẹp danh sách, còn ô tìm kiếm nhận cả tên lẫn mục đích sử dụng.
2. Tìm dịch vụ rồi bấm Ủy quyền. Biểu mẫu được sinh ra từ đặc tả của chính dịch vụ đó — có những trường nào và tên gọi ra sao là do dịch vụ quyết định.
3. Bên dưới mỗi trường được đánh dấu nơi áp dụng và một liên kết trực tiếp đến phần phụ trợ ngược dòng được cung cấp. Chỉ cần làm theo và không cần đọc thêm tài liệu.
4. cứu. Nền tảng ngay lập tức gửi yêu cầu chỉ đọc tới dịch vụ để xác minh bằng thông tin xác thực bạn vừa điền. Sau khi thành công, nó sẽ phản hồi lại tên tài khoản mà nó đã nhận dạng, cho phép bạn xác nhận rằng bạn đang kết nối với đúng tài khoản.

Khi dịch vụ đã được ủy quyền, nút trên thẻ đổi thành Thêm ủy quyền — dùng để nối thêm một tài khoản khác cho cùng dịch vụ, ủy quyền cũ vẫn giữ nguyên.

Những gì cần điền tùy thuộc vào phương thức xác thực của dịch vụ

Các trường được đánh dấu là khóa sẽ không còn được lặp lại sau khi được lưu và chỉ có thể được thay thế toàn bộ; các trường không nhạy cảm như ID ứng dụng và tên miền nền tảng được giữ ở dạng văn bản thuần túy, giúp bạn dễ dàng xác định tài khoản nào thuộc về ủy quyền này trong danh sách.

Mô-đun chính thức sẽ tự động yêu cầu ủy quyền

Mô-đun chính thức tuyên bố dịch vụ nào được yêu cầu trong hợp đồng riêng của nó:

inputs:
  - name: stripe_api_key
    type: "credential:stripe"
    required: true

Khi bạn kéo một mô-đun như thế này vào quy trình làm việc của mình, trình chỉnh sửa sẽ tự động thực hiện ba việc:

1. Đăng ký biến kết nối (ví dụ: conn_stripe) trên quy trình làm việc và hiển thị biến đó làm bộ chọn ủy quyền cho dịch vụ trong bảng cài đặt.
2. Kết nối đầu vào này của mô-đun với biến này và ẩn nó khỏi trình chỉnh sửa đầu vào ban đầu - bạn không cần và không nên dán token theo cách thủ công vào đó.
3. Chỉ có một biến được đăng ký cho cùng một dịch vụ. Một quy trình làm việc có ba mô-đun Stripe và chỉ được cấp phép một lần.

Khi không có ủy quyền nào trong bộ chọn, bạn có thể hoàn thành ủy quyền trực tiếp trên bảng điều khiển mà không cần rời khỏi trình chỉnh sửa; việc kiểm tra trước thông tin xác thực trước khi thực thi cũng sẽ liệt kê các ủy quyền còn thiếu và hoàn thành chúng cùng nhau.

Được sử dụng trong bước code

Bước code không đọc hợp đồng mô-đun và cần khai báo rõ ràng dịch vụ nào được yêu cầu ở cấp cao nhất của quy trình làm việc:

variables:
  conn_stripe: ""

variable_types:
  conn_stripe: credential:stripe

workflow:
  - step: sync_invoices
    code:
      language: javascript
      script: |
        const key = process.env.WF_CREDENTIAL_STRIPE;
        if (!key) throw new Error("Stripe authorization missing");
        // 用 key 调用 Stripe API

• Giá trị được giải mã trong thời gian chạy được đưa vào dưới dạng biến môi trường WF_CREDENTIAL_<PROVIDER>, biến này chỉ hợp lệ trong phạm vi thực thi này.
• Khi chỉ có một trường khóa, khóa đó sẽ được đưa vào; khi nhiều trường khóa (chẳng hạn như tên người dùng + mật khẩu) được thêm vào, một đối tượng JSON sẽ được thêm vào, đối tượng này cần được phân tích cú pháp trong tập lệnh.
• Các trường không khóa (ID ứng dụng, tên miền nền tảng, v.v.) sẽ không được nhập vào các biến môi trường. Khi cần thiết, chúng sẽ được chuyển riêng lẻ cho từng bước dưới dạng các biến quy trình công việc thông thường.
• Khi giá trị biến được để trống, nó sẽ tự động được phân tích cú pháp theo thứ tự cá nhân → nhóm; nếu ủy quyền cụ thể được điền vào, nó sẽ được sử dụng vĩnh viễn.
• Một số kết nối chỉ cho phép truy cập proxy phía máy chủ không xuất văn bản rõ ràng. Quy trình làm việc vẫn giữ quyền nhưng yêu cầu được gửi bởi nền tảng.

Ủy quyền cá nhân và ủy quyền nhóm

• Ủy quyền cá nhân chỉ có thể được sử dụng bởi chính bạn và phù hợp với tài khoản thử nghiệm cá nhân.
• Ủy quyền nhóm được chia sẻ bởi các thành viên có quyền truy cập vào nhóm và phù hợp với tài khoản chính của công ty - đồng nghiệp không cần phải ngược dòng để xin key.
• Khi dòng công việc đang chạy, trước tiên nó sẽ tìm kiếm sự cho phép cá nhân của người khởi tạo, sau đó là sự cho phép của nhóm mà nó thuộc về. Khi chia sẻ quy trình làm việc với đồng nghiệp, vui lòng đảm bảo rằng quy trình đó dựa vào ủy quyền của nhóm, nếu không bên kia sẽ không thể phân tích cú pháp quy trình đó.

Kết nối nhiều tài khoản với cùng một dịch vụ

Có thể tạo nhiều ủy quyền cho cùng một dịch vụ, được phân biệt bằng nhãn, chẳng hạn như "Stripe · Sản xuất" và "Stripe · Hộp cát". Bất kỳ tùy chọn nào được chọn trong bộ chọn kết nối của quy trình làm việc, tham chiếu đến ủy quyền sẽ được lưu chứ không phải văn bản rõ ràng.

Làm cách nào để khắc phục sự cố nếu xác minh không thành công?

ranh giới an ninh

• Khóa chỉ được giải mã tại thời điểm yêu cầu bên ngoài được tập hợp. Nó không ghi nhật ký, không tham gia quy trình làm việc YAML và sẽ không bị đưa ra khỏi quy trình xuất và chia sẻ.
• Mỗi dịch vụ khai báo tên miền mà nó cho phép truy cập và nền tảng sẽ chỉ bắt đầu yêu cầu đối với các tên miền này.
• Việc tạo, cập nhật, xóa và sử dụng sẽ để lại hồ sơ kiểm tra, ghi lại tham chiếu và nguồn của giấy phép này mà không có văn bản rõ ràng.
• Khi bạn nghi ngờ có rò rỉ, trước tiên hãy đến phần phụ trợ ngược dòng để thu hồi khóa thực nhằm chặn quyền truy cập, sau đó quay lại để xóa hoặc thay thế ủy quyền này.

Dịch vụ chưa có trong danh sách

Các mục được đánh dấu "Sớm được hỗ trợ" trong thư mục là các dịch vụ đã được lên lịch và thông số kỹ thuật chưa được đưa ra. Tuyến đường có thể được nhìn thấy, nhưng hiện tại không thể kết nối được.

Các dịch vụ hoàn toàn không có trong danh sách sẽ không ngăn cản bạn: sử dụng bước code để định cấu hình thông tin xác thực chung nhằm điều chỉnh trực tiếp API của nó hoặc đính kèm MCP Server vào Agent. Sự khác biệt là hai phương pháp này yêu cầu bạn phải tự xử lý các chi tiết xác thực và sẽ không có hướng dẫn ứng dụng, lưu và xác minh cũng như phản hồi tài khoản.

Bước tiếp theo

• Nhận diện — Quy tắc lưu trữ, xoay và cấp phép cho khóa mô hình và khóa chung.
• Môđun — Cách đọc hợp đồng của mô-đun chính thức và cách kết nối đầu vào và đầu ra.
• Sự Kết hợp MCP — Gắn MCP Server vào Agent để tận dụng các khả năng ngoài danh sách.