Sleutels en rechten
Een sleutel is een Moodle-identiteit
Elke MCP-sleutel omvat een Moodle-webservicetoken en de rollen waarmee dat token handelt. Roept een assistent een tool aan, dan voert je Moodle die uit als die gebruiker, dus de rechten van Moodle zelf zijn de buitengrens. Een sleutel die is uitgegeven voor een docent kan de cursus van een andere docent niet lezen, wat de assistent ook vraagt.
Herkende rollen: admin, manager, editingteacher, teacher, student en user. Tools buiten de rollen van een sleutel worden niet aan de assistent getoond en zijn niet uitvoerbaar.
Levenscyclus van een sleutel
Sleutels maak je aan in Organisatie → Moodle → MCP-sleutels of vanuit het onderdeel Gebruikers van de plug-in (die verschijnen als gemaakt door: moodle). De waarde wordt één keer getoond: bewaar hem als een wachtwoord. Daarna kent het paneel alleen de hash, de laatste vier tekens en de status.
| Status | Effect |
|---|---|
| Actief | Werkt normaal. |
| Geschorst | Wordt geweigerd tot heractivering. Omkeerbaar. |
| Ingetrokken | Definitief dood. Niet omkeerbaar: maak een nieuwe sleutel aan. |
| Verlopen | Voorbij de vervaldatum, als die is ingesteld. |
Authenticatie gebeurt bij elk verzoek, dus een statuswijziging werkt vanaf de eerstvolgende aanroep van de assistent — er is geen sessie om af te wachten.
Een sleutel verder inperken
Rollen bepalen het plafond; deze beperkingen verlagen het. Handig wanneer je een sleutel geeft aan een persoon, een afdeling of een automatisering die niet alles mag doen wat het Moodle-account kan.
- Alleen-lezen: de sleutel voert alleen lezende tools uit. Elke wijzigende tool wordt geweigerd, ook als de rol dat toestaat. Het veiligste om uit te delen.
- Toegestane tools: een expliciete lijst met namen. Wat er niet op staat wordt geweigerd, en zo bouw je een smalle sleutel met één concreet doel.
- Toegestane cursussen: een lijst met cursus-id's. Elke aanroep die een cursus buiten de lijst noemt wordt geweigerd, zodat een sleutel tot één opleiding beperkt kan blijven.
- Vervaldatum: een optionele datum waarna de sleutel stopt met werken. Handig voor externen, pilots en demo's.
De beperkingen worden serverzijdig bij elke aanroep afgedwongen, ook bij aanroepen via de gateway-tools: een assistent kan er niet omheen praten, hoe hard hij het ook probeert.
Welke sleutel wat aandrijft
- Een externe assistent gebruikt de sleutel die je in die client hebt ingesteld.
- De AI-chat van het paneel gebruikt de sleutel die een eigenaar of beheerder kiest in Organisatie → Moodle → Chatidentiteit. De rollen van die sleutel worden de Moodle-identiteit van de chat, serverzijdig bepaald bij elk bericht; de waarde van de sleutel bereikt nooit de browser.
- Aanmelden met je Moodle (OAuth) koppelt de assistent aan de identiteit van wie zich heeft aangemeld, zonder sleutel om te kopiëren of te bewaren.
Goede gewoonten
- Eén sleutel per persoon of per integratie: gedeelde sleutels kun je niet selectief intrekken.
- Kies alleen-lezen tenzij de assistent echt iets in Moodle moet wijzigen.
- Geef alles wat tijdelijk is een vervaldatum.
- Bekijk laatst gebruikt in de sleutellijst en trek in wat al een tijd stilligt.
- Trek bij het opzeggen van een lid ook diens sleutels in naast het verwijderen uit de organisatie: dit zijn twee aparte stappen, zie organisaties en leden.
- Vervang de sleutel wanneer iemand vertrekt, in plaats van te vertrouwen dat de mailbox schoon was.