Person人
Principal · first-class identity主体 · 一等身份
Dana: own credentials, own rights.Dana：自己的凭证，自己的权限。
GenAuth
Every agent is bound to a real person, so everything it does can be traced and audited.每个 Agent 绑定一个真人，它做的每一步都可追踪、可审计。
Why do agents need an identity?为什么需要身份？
Thirty years of login, all built for people.Agents have no identity.三十年的登录协议，主语都是人；Agent 没有身份。
LAN局域网AD · Kerberos
WebWebSAML · OAuth 2.0
Mobile & cloud移动与云OIDC
AgentNothing yet协议空白
For people主语：人For people主语：人For people主语：人For agents主语：Agent
So we gave them one.那就给它一个。
GenAuth turns a dozen login protocolsinto one SDK.GenAuth 把十几套登录协议，封装成一个 SDK。
AD / LDAPOAuth 2.0SAMLCASRADIUSKerberosOpenID ConnectDIDWebIDOAuth 2.1
Qoni SDK
Your agent你的 Agent
And more than that,不止如此，
Every agent has its ownemail and phone number.每个 Agent，都有自己的邮箱和手机号。
AGENT
dana.agentVerified agent已认证 Agent
dana@agent.qoni.ai
+1 415 555 0142
On behalf of代表 DanaIssued by签发 Qoni
How does it sign in?它怎么登录？
The same sign-in as people.One app, two doors.和人走同一套登录；一个应用，开两扇门。
Bind · Delegate · Revoke绑定 · 委托 · 撤销Lives in the IdP只在 IdP 里维护
Agent
Delegated · bound to a person派生主体 · 绑定一个真人
dana.agent: rights ⊆ Dana.dana.agent：权限 ⊆ Dana。
Authenticate认证Credentials → token凭证 → 人 Token
On behalf of a person认证 · 代表人sub: agent · act: personsub = Agent · act = 人
IdP
Identity Provider · GenAuth身份提供方 · 就是 GenAuth
Keeps credentials, authenticates subjects, issues tokens. Bindings and policy live here.保存凭证、认证主体、签发 Token；绑定关系和策略也放在这里。
Issue token · Session签发 · 会话Authenticate once, revocable认证一次，会话可撤销
SSO
Single sign-on, for people and agents单点登录 · 人和 Agent 共用
Authenticate once at the IdP, enter every app that trusts it. Revoke once, every session ends.在 IdP 认证一次，所有信任它的应用都能进；撤销时一起下线。
Person's token人 Token
Federated sign-in联邦登录OIDC / SAML · SCIM
Agent's tokenAgent Token
Human door人的入口
Classic login · person's token传统登录 · 认人 Token
Legacy apps have only this door: the agent signs up as a regular user, and the audit chain ties it back to its person.老应用只有这扇门：Agent 注册成普通用户进来，靠审计链接回真人。
Applications · SP应用 · SPOne app, two doors同一个应用，两扇门
Agent doorAgent 的入口
Verifies the agent token认 Agent Token
Knows whose agent it is, who it acts for and what it may do. Every step is logged; escalations go to the person.知道这是谁的 Agent、代表谁、能做什么；每一步留痕，越权去找真人审批。
GenAuth keeps every action in check.GenAuth 管住每一次动作。
Delegate. Authorize. Audit.委托、鉴权、审计，一条链管到底。
One example: Dana asks dana.agent to follow up with Acme.一个例子：Dana 让 dana.agent 跟进客户 Acme。
01Delegate委托
The agent inherits Dana's access, nothing more.Agent 继承 Dana 的权限，
只能做 Dana 允许的事。
02Authorize鉴权
Every step it takes is checked live.它干的每一步，
都被实时裁决。
03Audit审计
Dana revokes it, and every step stays on record.Dana 一键撤销，
每一步都有据可查。
DDanaPerson真人
✳dana.agentBound已绑定
Inherits CRM · Email继承 CRM · 邮件No delete无删除
09:41Read Acme读取 Acme
09:42Send follow-up发送跟进邮件
09:43Delete Acme删除 AcmeBlocked已拦下
09:44 Dana revokesDana 撤销< 1s
On behalf of Dana代表 Dana09:41 read读取 ✓09:42 email邮件 ✓09:43 delete删除 ✕3 / 3 on record3 / 3 已留痕
From then on,从此，
GenAuth is easy and safe.GenAuth 又方便又安全。
Easy方便
Sign in once. Every SaaS opens.认证一次，所有 SaaS 都能进。
✳dana.agentsigned in once认证 1 次6 SaaS
NNotion✓
SSalesforce✓
HHubSpot✓
SSlack✓
FFigma✓
JJira✓
Safe安全
Checked at the protocol layer. Bound to a real person, every step traceable and auditable.协议层把关。绑定真人，每一步可追踪、可审计。
DDanabound绑定✳dana.agent
Authenticate认证OIDC · SAML09:41:01 ✓
Authorize授权OAuth 2.1 · PKCE09:41:02 ✓
Credential凭证JWT · 15 min09:41:03 ✓
Salesforce ✓
All together,合起来，
Agent Identityon one page.Agent Identity，一张图讲清楚。
People人端DDanaFirst-class principal一等主体Sign in once, all apps open认证一次，所有应用都能进 ✳dana.agentDelegated principal派生主体 · 绑定 Danadana@agent.qoni.ai
+1 415 555 0142
3Bind · delegate绑定 · 委托权限Only what Dana allows只能做真人允许的事
AgentsAgent 端+1 415 555 0142
1Sign up / sign in注册 / 登录Email · phone · passkey邮箱 / 手机号 / Passkey
4Claim email & phone申领邮箱 / 手机号Agent ID · key · bindingAgent ID · 密钥 · 校验绑定
Qoni GenAuth · identity hubQoni GenAuth · 身份中枢
- Email · phone · password邮箱 · 手机号 · 密码
- Passkey · MFA · socialPasskey · MFA · 社交登录
- Recovery · deletion找回 · 注销
- Person token · agent token人 Token · Agent Token
- Short-lived, revocable JWTJWT · 短时效 · 可吊销
- Apps verify via the SDK应用用 SDK 校验
- Who the agent acts forAgent 代表哪个真人
- Rights ⊆ the person'sAgent 权限 ⊆ 真人权限
- Unbind = instantly void解绑即失效
- Each step: allow or block每一步放行或拦下
- Over-scope → approval越权申请 → 审批
- Revoke in one click, < 1 s一键撤销，< 1s 生效
- Agent ID · secret keyAgent ID · 密钥
- Agent email · phone numberAgent 邮箱 · 手机号
- The bound person绑定的真人
- Claimed and recycled为 Agent 申领 · 回收
- Codes in · notices out收验证码 · 发通知
- Every use is logged每次使用留痕
- Authn OIDC · SAML · CAS · Kerberos · AD/LDAP · RADIUS认证 OIDC · SAML · CAS · Kerberos · AD / LDAP · RADIUS
- Authz & credentials OAuth 2.0/2.1 · PKCE · JWT · DID · WebID授权与凭证 OAuth 2.0 / 2.1 · PKCE · JWT · DID · WebID
2Person token · SSO人 Token · SSO 登录JWT · OIDC / SAMLJWT · OIDC / SAML
5Agent token · SSOAgent Token · SSO 登录For Dana · scoped · 15 min代表 Dana · 限定范围 · 15 分钟
6Self-register on SaaS自行注册 SaaS 账号Codes return to its inbox验证码回到 Agent 邮箱
Apps & SaaS · sign-in targets应用 & SaaS · 登录目标
- Your app你的应用Qoni SDK · verifies tokens接入 Qoni SDK，校验 Token
- SaaS appsSaaS 应用Notion · Salesforce · Slack …Notion · Salesforce · Slack …
- Web · browser网页 · 浏览器Any website任何网站
- Computer电脑OS sign-in · desktop apps系统登录 · 桌面应用
- CLI · file systemCLI · 文件系统Terminal · local files终端 · 本地文件
- ………Anywhere a sign-in is needed任何需要登录的地方
7Audit chain审计链Every step on record每一步留痕8Approve · revoke审批 · 冻结 · 撤销Rights only shrink权限只减不增Action logs via SDKSDK 回传动作日志Allowed ✓ · blocked ✕放行 ✓ · 拦下 ✕
Admin console · the whole picture管理台 · 纵览全局
- The whole picture纵览全局
- Approve · freeze · revoke审批 · 冻结 · 撤销
- People and agents, counted多少人、多少 Agent
- Active · frozen · retired活跃 · 冻结 · 已注销
- Whose agent, for whom谁的 Agent，代表谁
- Bindings and sub-agents绑定 · 委托 · 子 Agent
- Person → agent · sub-agents人 → Agent · Agent → 子 Agent
- Admin → person管理员 → 人
- Asked · approved · denied申请 · 批准 · 拒绝
- Who, when, on what basis谁批的、何时、依据什么
- Each person & agent step人与 Agent 的每一步
- Allowed ✓ · blocked ✕放行 ✓ · 拦下 ✕
- Codes received收到的验证码
- Notices sent发出的通知
