> ## Documentation Index > Fetch the complete documentation index at: https://docs.tokios.com/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Tokios exposes private local models through https://api.tokios.com using an outbound-only connector tunnel. > Use 'connector' for the local tokios-connector process. > Use 'deployment' for the public model name in the API model field. > Use 'upstream model id' for the model served by Ollama, llama.cpp, vLLM, LM Studio, or another local backend. > API keys use the prefix sk-tok-. Connector tokens use the prefix ct-tok-. # Automation-Tokens für Agents und Skripte erstellen > Erstellen Sie einen auf Scopes beschränkten, ablaufenden Automation-Token (at-tok-…), damit ein Coding-Agent oder ein Skript Ihren Tokios-Workspace ohne Ihr Passwort über die API einrichten und verwalten kann. Ein **Automation-Token** ermöglicht einem Programm, in Ihrem Workspace das Gleiche zu tun wie Sie in der Konsole: einen Connector paaren, ein Modell veröffentlichen, einen API-Schlüssel erstellen, Nutzung lesen. Sie erstellen ihn in **Settings**, legen genau fest, was er darf, und er läuft an einem von Ihnen gewählten Datum ab. Übergeben Sie ihn einem Coding-Agent wie Claude Code oder Codex, einem CI-Job oder einem Skript, und das Programm kann die gesamte Einrichtung unbeaufsichtigt ausführen. Es ist kein API-Schlüssel. Ein API-Schlüssel (`sk-tok-…`) ermöglicht einem Client, Ihre Modelle aufzurufen. Ein Automation-Token (`at-tok-…`) ermöglicht einem Programm, den Workspace zu verwalten, und damit kann niemals ein Modell aufgerufen werden. Beides überschneidet sich nie. > [!NOTE] > > Automation-Tokens wirken nur auf Ihren eigenen Workspace. Sie können niemals Ihr Passwort oder Ihre E-Mail ändern, einen API-Schlüssel anzeigen oder teilen, das Token eines Connectors rotieren, gespeicherte Prompts lesen, das Request-Logging ändern oder weitere Automation-Tokens erstellen. Diese Aktionen bleiben einer angemeldeten Konsolen-Sitzung vorbehalten. ## Einen Token erstellen Nur ein Workspace-Admin kann Automation-Tokens erstellen, auflisten oder widerrufen. **1. Settings öffnen** Öffnen Sie in der Konsole **[Settings](https://tokios.com/console/settings)** und scrollen Sie zu **Automation tokens**. Klicken Sie auf **Create token**. **2. Nach dem Inhaber benennen** Verwenden Sie einen Namen, den Sie in der Token-Liste und in den Zeilen, die er erstellt, wiedererkennen, zum Beispiel `claude-code on my laptop` oder `ci-deploy`. **3. Preset wählen oder Scopes auswählen** **Setup** ist das richtige Preset für einen Agent, der den Connector installiert und Ihr Modell aufrufbar macht. **Read-only** eignet sich für Monitoring. **Full** gewährt jeden Scope. Haken Sie für alles andere einzelne Scopes an. Siehe [Scopes](#scopes) unten. **4. Ablaufdatum wählen** Jeder Token läuft ab. Wählen Sie 1 Stunde für einen einmaligen Setup-Lauf, länger für einen dauerhaft laufenden Job. Das Maximum beträgt 1 Jahr. **5. Token einmal kopieren** Der Token wird genau einmal angezeigt. Kopieren Sie ihn in den Secret-Store des Programms oder eine Shell-Variable. Wenn Sie ihn verlieren, klicken Sie in der Liste auf **Regenerate**; der alte Wert funktioniert sofort nicht mehr. ## Scopes Ein Scope ist `resource:verb`. Ein `write`-Scope schließt das passende `read` ein. Nichts schließt `keys:rotate` oder `models:reroute` ein. | Scope | Was er erlaubt | | - | - | | `connectors:read` | Connectors auflisten und ihren Live-Status und Host-Statistiken lesen | | `connectors:write` | Pairing starten sowie Connectors genehmigen, umbenennen, widerrufen und löschen. Das Löschen eines Connectors, der noch Modelle bereitstellt, erfordert zusätzlich `models:reroute` | | `models:read` | Modelle, Deployments, Modellgruppen, Preise, Limits und Verbindungsinformationen auflisten | | `models:write` | Modelle erstellen, bearbeiten, pausieren und fortsetzen; Modellgruppen erstellen, bearbeiten und löschen; Preise und Auto-publish festlegen | | `models:reroute` | Ein bestehendes Modell auf einen anderen Connector verschieben, umbenennen oder löschen. Jede dieser Aktionen ändert, welche Maschine den Traffic dieses Modells empfängt, daher ist zusätzlich `models:write` nötig, und der Scope ist in keinem Preset außer **Full** | | `keys:read` | API-Schlüssel auflisten (Fingerabdrücke und Einstellungen, niemals Secrets) | | `keys:write` | API-Schlüssel erstellen, bearbeiten, widerrufen und löschen (das Secret eines neu erstellten Schlüssels wird einmal zurückgegeben) | | `keys:rotate` | Einen bestehenden API-Schlüssel rotieren und sein neues Secret erhalten. Damit übernehmen Sie den Schlüssel von demjenigen, der ihn gerade hält, daher ist der Scope in keinem Preset außer **Full** | | `usage:read` | Nutzung, Ausgaben und das Request-Log lesen (nur Zählungen und Metadaten) | | `playground:run` | Den Playground und Modell-Gesundheitschecks ausführen (sendet Prompts an Ihre Modelle) | | Preset | Scopes | | - | - | | **Setup** | `connectors:read`, `connectors:write`, `models:read`, `models:write`, `keys:read`, `keys:write`, `playground:run` | | **Read-only** | `connectors:read`, `models:read`, `keys:read`, `usage:read` | | **Full** | jeder Scope oben | Ein Aufruf außerhalb der Scopes des Tokens gibt `403` zurück, wobei der fehlende Scope im Fehler genannt wird, sodass ein Programm Ihnen genau mitteilen kann, welche Berechtigung ihm fehlt. ## Einen Token verwenden Senden Sie ihn als Bearer-Token an den Konsolen-Host, nicht an den API-Host. Jeder Management-Aufruf liegt unter `https://tokios.com/account/`. **macOS & Linux** ```bash theme={"theme":{"light":"github-light","dark":"css-variables"}} curl -s https://tokios.com/account/connectors \ -H "Authorization: Bearer at-tok-YOUR_TOKEN" ``` **Windows CMD** ```cmd theme={"theme":{"light":"github-light","dark":"css-variables"}} curl -s "https://tokios.com/account/connectors" -H "Authorization: Bearer at-tok-YOUR_TOKEN" ``` | Antwort | Bedeutung | | - | - | | `401` | Der Token ist ungültig, abgelaufen oder widerrufen, der Admin, der ihn erstellt hat, hat sein Passwort geändert oder zurückgesetzt, oder der Workspace oder dieser Admin ist suspendiert. | | `403` mit `"scope"` | Dem Token fehlt dieser Scope. | | `403` "only available from the console" | Die Aktion ist einer angemeldeten Konsolen-Sitzung vorbehalten. Kein Scope gewährt sie. | | `429` | Mehr als 240 Aufrufe in einer Minute von diesem Token, oder zu viele fehlgeschlagene Token-Versuche von dieser Adresse. Eine Sperre gilt für jeden Token von dieser Adresse, auch für gültige. Warten Sie und versuchen Sie es erneut. | Die vollständige Liste der Aufrufe und die Reihenfolge, in der eine unbeaufsichtigte Einrichtung sie durchführt, finden Sie unter [Tokios von einem Coding-Agenten einrichten lassen](/de/guides/agent-setup.md). ## Einem Agent übergeben Erstellen Sie einen Token mit dem **Setup**-Preset und einem Ablauf von 1 Stunde, dann starten Sie Ihren Agent auf der Maschine, die Ihr Modell ausführt, und senden Sie ihm diesen Prompt: ```text theme={"theme":{"light":"github-light","dark":"css-variables"}} Read https://docs.tokios.com/guides/agent-setup and follow it. The console base URL is https://tokios.com and the automation token is in the TOKIOS_TOKEN environment variable. Never print the token. My model server is Ollama on this machine. When you are done, give me the final report described on that page. ``` Setzen Sie `TOKIOS_TOKEN` in der Shell, bevor Sie den Agent starten, damit das Secret niemals in der Konversation erscheint. Die Guide-Seite teilt dem Agent alles Weitere mit. ## Tokens verwalten Jede Zeile in **Settings** zeigt die Scopes des Tokens, den Fingerabdruck, das Ablaufdatum und wann und von welcher IP-Adresse er zuletzt verwendet wurde. * **Regenerate** ersetzt das Secret. Der alte Wert funktioniert sofort nicht mehr und der neue wird einmal angezeigt. * **Revoke** stoppt den Token endgültig. Erstellen Sie einen neuen als Ersatz. * **Delete** entfernt einen widerrufenen oder abgelaufenen Token aus der Liste. Wenn Sie Ihr Passwort ändern oder zurücksetzen, werden alle Tokens widerrufen, die Sie erstellt haben. Ein Token, der aus einer gestohlenen Sitzung erstellt wurde, funktioniert nicht mehr, sobald Sie Ihr Konto wiederhergestellt haben, und jeder dauerhaft laufende Job braucht danach einen neuen Token. Zeilen, die ein Automation-Token erstellt hat, tragen ein **via token**-Badge auf den Tabs **Connectors**, **Models** und **Keys**, sodass Sie immer erkennen können, was ein Programm getan hat. Das Badge bleibt nach dem Löschen des Tokens bestehen. ## Tokens sicher halten * **Vergeben Sie enge Scopes.** Ein Setup-Token, der seine Aufgabe erledigt hat, sollte widerrufen werden, nicht aufbewahrt. * **Lassen Sie Tokens bald ablaufen.** Verwenden Sie 1 Stunde für interaktive Agent-Sitzungen. Ein langes Ablaufdatum gehört nur zu einem dauerhaft laufenden Job in einem Secret-Store. * **Halten Sie den Token aus Transkripten heraus.** Lesen Sie ihn aus einer Shell-Variable; fügen Sie ihn niemals in einen Chat mit dem Agent ein. * **Achten Sie auf das Badge und die Spalte der letzten Verwendung.** Wenn ein Token von einer Adresse verwendet wurde, die Sie nicht erkennen, widerrufen Sie ihn. * **Bedenken Sie, was ein erstellter Schlüssel bedeutet.** Ein Token mit `keys:write` kann einen API-Schlüssel erstellen, und dieser Schlüssel funktioniert weiter, nachdem der Token abläuft. Jemand, der einen 1-Stunden-Setup-Token stiehlt, kann einen Schlüssel ohne Ablaufdatum erstellen und Ihre Modelle aufrufen, bis Sie es bemerken. Öffnen Sie nach jedem Agent-Lauf den Tab **Keys**, suchen Sie nach Zeilen mit **via token**, und widerrufen Sie alle, die Sie nicht erwartet haben. * **Vergeben Sie `models:reroute` nur, wenn Sie ihn brauchen.** Das Verschieben, Umbenennen oder Löschen eines bestehenden Modells ändert, welche Maschine seinen Traffic empfängt. Ein Token, der auch Connectors pairen kann, könnte eine Maschine pairen, die sein Inhaber kontrolliert, und Ihr Modell dorthin verschieben. Setup braucht ihn nie: Es erstellt Modelle, verschiebt sie aber nie. * **Rechnen Sie damit, dass eine gemeinsame Adresse auch eine Sperre teilt.** Nach 8 fehlgeschlagenen Token-Versuchen von einer IP-Adresse wird jeder Token von dieser Adresse mit `429` für 6 Minuten abgelehnt, auch gültige. Agents hinter demselben Büronetzwerk, NAT-Gateway oder CI-Runner-Pool teilen diese Sperre. Wenn ein Client immer wieder einen falschen Token sendet, stoppen oder reparieren Sie ihn, statt ihn in einer Schleife wiederholen zu lassen. > **[Agent-gesteuerte Einrichtung](/de/guides/agent-setup.md)** > > Die Schritt-für-Schritt-Anleitung, die ein Agent mit einem Setup-Token befolgt. > **[API-Schlüssel](/de/setup/api-keys.md)** > > Die Schlüssel, die Ihre Clients verwenden, um Ihre Modelle aufzurufen. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.