Joiner, mover, leaver
Mover — где платформа окупается. Joiner получает чеклист, leaver — срочность; сменивший команду тихо сохраняет оба набора доступов навсегда. Сессия по расписанию находит такие случаи и черновит отзывы.
Решения·IT
Нужно и запускать, и согласовывать. Оба — честно.
Ревью доступов, joiner-mover-leaver, очередь service desk, runbook, который умеет только один человек. IT получает от agent platform больше, чем большинство команд — и это та команда, которая должна сказать «да» первой. Здесь обе половины.
Runbook'иMarkdown в вашем repo, не в голове
ReachВыдаётся на агента, не наследуется
Каждое действиеРазрешено, с паузой или заблокировано
РазвёртываниеОблако, ваш VPC или on-prem
Передача работы
Очередь и runbook, который умеет только один человек.
IT-работа необычно хорошо ложится на это: она процедурная, где-то уже записана — и цена того, что её не делают, невидима до аудита или инцидента.
Access review, который реально делают
Кто что имеет, как долго и когда последний раз пользовался. Выдаёт ревью с рекомендацией на каждой строке — а не таблицу, которую пересылают дважды и утверждают не читая.
Triage service desk и первый черновик
Читает тикет, классифицирует, ищет, отвечает ли ваша документация, и черновит ответ со ссылкой на статью. То, на что не может ответить, маршрутизирует с уже приложенной диагностикой.
Runbook, который живёт в одной голове
Запишите его файлом навыка — сессия сможет исполнить. Это устойчивая версия «спроси у Марты»: переживает отпуск Марты, а улучшение — change request, а не исправленная память.
Сверка лицензий и мест
За что платите, кому назначено и что открывали в этом квартале. Пишет список reclaim по каждому инструменту с датой последнего использования на каждой строке.
Drift конфигурации — отчёт, не правка
Сравнивает, что в документации должно быть настроено, с тем, что настроено фактически, и сообщает разницу. Сообщить о drift — безопасно и полезно. Тихо исправить — ни то ни другое, и не будет.
Результат
Ревью с рекомендацией на каждой строке.
Артефакт, который нужен IT, — не дашборд. Это список с обоснованием на каждой строке, в состоянии, где согласование что-то делает.
Агенты — тоже principal'ы
У Neuro OS реальная модель account, member, group и role с правами на ресурс для людей и агентов. Access review, которое покрывает людей, но не автоматизацию, — половина ревью.
Рекомендация с причиной на строке
Отозвать — потому что сменил команду. Оставить — потому что в release path. Ревью, которое можно согласовать за десять минут, — где reasoning на строке, а не в отдельном документе.
Сообщает; не чинит молча
Отзыв доступа — запись, а записи — там, где вы ставите gate. Дефолт для review-сессии: читать всё, ничего не менять, предлагать.
Куда дотягивается
Ваша инфраструктура — так, как к ней реально достучаться.
IT-стек — самый неоднородный в компании. Подключите каталог; остальное опишите сами. Credential расшифровывается на сервере и не попадает в машину.
Google Workspace и Microsoft 365
Аккаунты, группы, почтовые ящики и календари — субстрат большинства joiner-mover-leaver. Чтение и запись — разные действия с разными ответами.
GitHub
Членство в org и repo — тоже доступ, и чаще всего переживает причину выдачи. Читает состояние org и сообщает, что не совпадает с задокументированными ролями.
Ваш service desk
Основные helpdesk-продукты в Easy connect со своим OAuth. Читает очередь, черновит ответ и обновляет тикет там, где вы разрешили.
Всё с API без записи в каталоге
Так устроена большая часть IT-эстейта. Укажите Neuro OS на OpenAPI или Postman, GraphQL endpoint, bare HTTP base URL или удалённый MCP-сервер. Каждая операция — инструмент со своим Allow, Ask или Block.
Машина, которую вы уже держите
Computer connector открывает туннель к хосту под вашим контролем — сессия достучится до того, что никогда не будет в интернете, без вывода хоста в публичную сеть.
Без притворства
Мы не скажем, что IdP, MDM и сетевой вендор — в один клик. Для IT-эстейта прямые типы коннекторов обычно и есть реальный путь.
Как это работает
Ответьте на тикет сейчас. Запустите ревью каждый квартал.
Та же механика сессий, три способа запуска. В IT scheduled mode приносит больше всего — работу без дедлайна как раз и пропускают.
Вопрос в help-канале
Кто-то упоминает бота в IT-канале. Тред становится сессией, сессия читает вашу документацию, ответ возвращается в тот же тред с цитатой источника.
Останавливается перед изменением доступа
Каждую запись против identity или entitlement — в Ask. Запуск встанет на вызове с точным изменением перед вами и продолжится после согласования. Необратимое — в Block.
Ревью, которое никто не планирует, — по расписанию
Cron открывает квартальный access review и ежемесячную сверку лицензий. Триггеры называют агента, под которым идёт запуск — у unattended-сессии ровно тот же reach, что у attended, не больше.
Контроль
Часть, где вы нас ревьюите.
Вы — команда, которой тоже нужно это одобрить. Вот ответы, включая те, что менее льстивы, чем на типичной landing.
Одна изолированная машина на сессию
Каждая сессия — на своей одноразовой Linux-машине и своей ветке. Сессии не делят filesystem и working tree; машина выбрасывается. Чего не скажем: egress на сети не режется — исходящий доступ из песочницы стоит считать возможным.
Этапы согласования выключены по умолчанию
Из коробки — разрешающий режим: действие идёт, пока вы не сказали иначе. Это самое важное предложение на странице для вас. Явно поставьте Ask и Block — на действие или правилом по паттерну.
Merge запрещён по умолчанию
Работа попадает в main через change request. Агент не мержит, пока админ не выдал разрешение в versioned config — расширение само изменение на ревью, а не тихо сдвинувшаяся настройка.
Два вида credential — и они ведут себя по-разному
Credential коннектора брокерится на сервере и не попадает в песочницу. Runtime secret, который вы даёте сессии, — реальное значение в env внутри неё, читаемое любой командой агента. Оба варианта корректны для своей задачи.
Identity, аудит и где это крутится
Single sign-on — SAML 2.0. Каждый вызов инструмента пишется в audit record. Развёртывание — ваше облако, VPC или on-prem; open source — можно прочитать, что запускаете. Про изолированную топологию — поговорите с нами.
Та же платформа
Другие команды
Один проект, один набор коннекторов, память, которая накапливается. Каждая команда пишет навыки под свою работу — вторую систему не поднимают.
ПродажиИсследование, черновики и гигиена CRM — с согласованием
МаркетингЧерновики, потом «да», потом пост
AI-поиск и аналитикаЧто отвечает AI — и что менять
ОперацииРутины по чеклистам; люди — исключения
ФинансыЗакрытие с прозрачной методикой
ПоддержкаКруглосуточная triage с именованными эскалациями
РазработкаВоспроизвести, починить, открыть change request
HRКоординация — никогда решение о человеке
Data ScienceАнализ, который можно перезапустить — с запросом
ДизайнКартинки, слайды и бренд-борды как задачи
ЮридическоеДела, цитаты и workflows, которыми вы владеете
Персональный ассистентИИ для личной жизни — Telegram, голос, напоминания
«Нужно и запускать, и согласовывать. Оба — честно.»
Сначала security page, потом pitch.
Любая модель, ваши ключи. Neuro OS в вашем облаке, VPC или на вашей инфраструктуре.