Saltar al contenido principal

Conexiones

La página Connections es una vista exclusiva para administradores que permite gestionar las claves de API y las credenciales de servicio que los agentes de IA utilizan al llamar a sistemas externos. El subtítulo de la página dice "Manage API keys and service connections across your agents" y muestra el número total de credenciales entre paréntesis cuando existe al menos una conexión.

Las conexiones se aprovisionan automáticamente cuando se importa un agente a través de la página Providers; no pueden crearse manualmente desde esta página. Las acciones disponibles son editar los metadatos y las credenciales de una conexión, y activar o desactivar conexiones individuales.

Cuadrícula de Tarjetas de Conexión​

Las conexiones activas se muestran en una cuadrícula responsiva de tarjetas — una tarjeta por credencial. Cada tarjeta contiene la siguiente información y controles.

Encabezado de Tarjeta​

  • Insignia de estado — Una insignia en línea que muestra Active (color de éxito con un icono de verificación) o Inactive (atenuado con un icono de X) para el estado de activación actual de la credencial.
  • Botón de edición — Aparece al pasar el cursor sobre conexiones que no están gestionadas por una suite. Al hacer clic, abre el formulario de edición en lugar de la cuadrícula de tarjetas.
  • Botón Activar / Desactivar — Un icono de encendido que alterna la conexión entre Active e Inactive sin salir de la página. El icono se colorea con el color de error para desactivar y el color de éxito para activar.
  • Insignia de bloqueo — Las conexiones gestionadas por una suite muestran una insignia de bloqueo en lugar de los controles de edición y alternancia, lo que indica que la credencial pertenece a una suite de agentes instalada y no puede modificarse manualmente.

Cuerpo de Tarjeta​

  • Nombre de la conexión — El nombre para mostrar de la credencial en negrita.
  • Descripción — Una descripción de texto libre opcional sobre el propósito de la credencial, mostrada en hasta dos líneas de texto secundario.
  • Insignia de tipo de autenticación — Una pequeña etiqueta en mayúsculas que muestra el esquema de autenticación (por ejemplo, Api Key, Oauth Client Credentials).
  • Insignia de origen — Si la conexión está gestionada por una suite, una insignia de bloqueo muestra qué suite la posee.

Pie de Tarjeta​

El pie muestra la fecha de creación como "Added [Month Day, Year]" junto a un icono de reloj.

Formulario de Edición de Conexión​

Al hacer clic en el botón de edición de una tarjeta, la cuadrícula se reemplaza por un formulario en línea. El encabezado del formulario muestra Edit Connection y un botón de cierre (X) que regresa a la cuadrícula sin guardar.

El formulario contiene los siguientes campos.

  • Name — Obligatorio. El nombre para mostrar de la conexión, prellenado con el nombre actual.
  • Description — Opcional. Una breve descripción del propósito de la conexión.
  • Authentication Type — Solo lectura al editar una conexión existente. Muestra el esquema seleccionado en el momento de la importación.
  • Credentials — Uno o más campos dinámicos determinados por el tipo de autenticación seleccionado, como API Key, Client ID o Client Secret. Los campos de contraseña enmascaran el valor. Se muestra un marcador de posición •••••••• (leave blank to keep) para que los usuarios sepan que el secreto almacenado se conserva si el campo se deja vacío.

El pie del formulario contiene dos botones.

  • Update Connection — Envía los cambios. Está deshabilitado cuando el nombre o el tipo de autenticación están vacíos, o mientras el guardado está en curso.
  • Cancel — Descarta los cambios y regresa a la cuadrícula de tarjetas.

Qué agente puede usar qué conexión​

Una conexión es un secreto almacenado, por lo que la pregunta de qué agente puede descifrarlo es una cuestión de autorización y no un detalle de configuración. Cada punto en el que Runtime convierte una conexión almacenada en un secreto utilizable verifica ahora que el agente que realiza la solicitud tiene permiso para acceder a ella, y registra el resultado en ambos casos.

Los agentes existentes no se ven afectados. Cada credencial a la que un agente ya estaba vinculado — a través de sus fuentes de datos, sus habilidades o una asignación de conexión — se conservó cuando se introdujo la verificación, por lo que nada a lo que un agente podía acceder ayer quedó inaccesible.

Nota: La verificación se lanza en modo solo observación. Las solicitudes que serían rechazadas se registran y se permite que continúen, de modo que el cambio no puede interrumpir el funcionamiento de un agente. Un administrador mueve un entorno a modo de aplicación una vez que el conjunto registrado está vacío; hasta entonces, el valor de la función es el registro, no el rechazo. Esto es deliberado — un límite de autorización añadido a un sistema ya en uso debe medirse antes de aplicarse.

Cada decisión se escribe en el registro de auditoría de la plataforma con el agente, la conexión, el motivo y si el modo lo hizo vinculante. Ese registro responde a la pregunta "qué agentes están accediendo a qué secretos", que anteriormente no tenía respuesta alguna.

Las ejecuciones desatendidas utilizan la identidad propia del agente​

Cuando un agente se ejecuta de forma desatendida — según una programación, o llamado por otro agente, sin ninguna persona presente — resuelve sus conexiones y credenciales de Hub como sí mismo, utilizando su propia identidad de agente. Ya no presenta la dirección de la persona que lo creó.

Esto es importante porque un agente creado por alguien en marzo y dejado ejecutándose según una programación, de lo contrario continuaría accediendo a sistemas externos como esa persona indefinidamente — incluso después de que cambiara de rol o se marchara, ya que una conexión almacenada no detecta una cuenta desactivada. Lo que el registro de auditoría registraba en ese caso era el nombre de la persona, por acciones que ella no realizó y de las que podría no tener conocimiento.

Las ejecuciones con una persona presente no cambian. Actuar en nombre de un usuario que ha iniciado sesión y está presente para ver el resultado es exactamente para lo que sirve el acceso delegado; solo las ejecuciones desatendidas se restringen.

Si una ejecución desatendida necesita un servidor MCP cuya única conexión pertenece a una persona, se detiene y lo indica — nombrando el servidor y explicando que un agente que actúa solo debe usar su propia conexión — en lugar de utilizar silenciosamente la conexión de esa persona.

Nota: El Hub admite conexiones pertenecientes a una identidad de agente en lugar de a una persona, y una ejecución desatendida usará una cuando exista. La creación de una desde la interfaz del Hub aún no está disponible — hasta que lo esté, un agente que necesite un servidor MCP compartido debe ejecutarse con una persona presente. Consulte Beak Hub · MCP Servers.

Mejores Prácticas​

  • Desactivar en lugar de eliminar conexiones que estén temporalmente sin uso — Desactivar una conexión impide que los agentes la utilicen sin eliminar la credencial, lo que facilita volver a habilitarla más adelante.
  • Dejar los campos de contraseña vacíos al editar solo metadatos — El formulario de Conexiones conserva el secreto almacenado cuando el campo se deja vacío, por lo que puede actualizar el nombre o la descripción sin volver a introducir las credenciales.
  • Revisar las conexiones gestionadas por la suite antes de actualizar una suite — Las conexiones gestionadas por la suite son actualizadas por el asistente de actualización de la suite; verifique los cambios de credenciales esperados en la vista de diferencias antes de confirmar.
  • Usar nombres descriptivos — Cuando varias conexiones comparten el mismo tipo de autenticación, un nombre claro (por ejemplo, Production Salesforce — Service Account) facilita la identificación de la credencial correcta en los registros del agente y en los datos de aprobación.

Páginas Relacionadas​