Identität & Secrets

Eine der tragenden Leitplanken: keine langlebigen Secrets in der Sandbox.

Zugriff zur Laufzeit brokern

Statt einem Agenten ein dauerhaftes Passwort mitzugeben, stellt der Secrets-Broker kurzlebige, gescopte Access-Tokens aus — für die Aufgabe, für ihre Dauer.

Krypto-Primitive ja, Protokolle nein

Covey signiert JWTs, verschlüsselt mit AES-GCM und hasht Passwörter mit Argon2id — mit bewährten Libraries. Es baut aber keinen eigenen OAuth/OIDC-Server nach; das übernimmt ein externer Provider.

Pluggable Ports

• IdentityProvider — builtin (JWT/Argon2id) ↔ OIDC
• SecretStore — builtin (AES-GCM-Spalten in Postgres) ↔ Vault

Menschliche Rollen & RBAC

Menschen authentifizieren sich (per SSO möglich) und tragen fein gescopte Rollen: Platform-Admin, Agent-Owner, Security/Compliance, Auditor, Controlling. Jede Aktion ist org-scoped.