{ "schema": "lazurio.documentation.content-index.v1", "canonicalBaseUrl": "https://documentation.lazurio.ai", "sourceRepository": "https://github.com/Lazurio/documentation", "sourceCommit": "214edd325da2df1d2b65f2e2d8bdf698d3fc069b", "sourceTreeDirty": false, "generatedAt": "2026-11-11T11:24:05Z", "defaultLocale": "en", "supportedLocales": [ "en", "cs" ], "sources": [ { "id": "openai-browser", "title": "ChatGPT Browser", "url": "https://learn.chatgpt.com/docs/browser", "publisher": "OpenAI" }, { "id": "composio-authentication", "title": "Composio authentication", "url": "https://docs.composio.dev/docs/authentication", "publisher": "Composio" }, { "id": "mcp-local-servers", "title": "Connect to local MCP servers", "url": "https://modelcontextprotocol.io/docs/2026-07-28/develop/connect-local-servers", "publisher": "Model Context Protocol" }, { "id": "google-third-party-connections", "title": "Manage third-party connections", "url": "https://support.google.com/accounts/answer/13533235", "publisher": "Google" }, { "id": "lazurio-readme", "title": "Lazurio README", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md", "publisher": "Lazurio" }, { "id": "lazurio-architecture", "title": "Lazurio architecture", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md", "publisher": "Lazurio" }, { "id": "lazurio-collaboration-model", "title": "Lazurio collaboration and access model", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md", "publisher": "Lazurio" }, { "id": "lazurio-external-apps", "title": "External application integration standard", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md", "publisher": "Lazurio" }, { "id": "lazurio-secret-custody", "title": "Local secret custody standard", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md", "publisher": "Lazurio" }, { "id": "lazurio-license", "title": "Lazurio license", "url": "https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md", "publisher": "Lazurio" }, { "id": "wispr-flow", "title": "Wispr Flow downloads and product documentation", "url": "https://wisprflow.ai/downloads", "publisher": "Wispr Flow" }, { "id": "codexbar", "title": "CodexBar official website", "url": "https://codexbar.app/", "publisher": "CodexBar" }, { "id": "amphetamine", "title": "Amphetamine on the Mac App Store", "url": "https://apps.apple.com/app/amphetamine/id937984704", "publisher": "William Gustafson" }, { "id": "microsoft-copilot-architecture", "title": "Microsoft Learn: What is Microsoft Copilot? (service tiers; Premium grounds in Microsoft Graph and Work IQ, Copilot Chat and Basic in web data; renamed from Microsoft 365 Copilot)", "url": "https://learn.microsoft.com/en-us/copilot/plan/copilot-overview", "publisher": "Microsoft Learn" }, { "id": "microsoft-copilot-data-protection", "title": "Microsoft Learn: Microsoft Copilot data protection architecture (Microsoft 365 service boundary, sensitivity labels and encryption, audit records)", "url": "https://learn.microsoft.com/en-us/copilot/plan/architecture-data-protection-auditing", "publisher": "Microsoft Learn" }, { "id": "microsoft-copilot-privacy", "title": "Microsoft Learn: Data, Privacy, and Security for Microsoft Copilot (no training on prompts, responses or Graph data; stored interactions; Purview; agent terms; third-party models)", "url": "https://learn.microsoft.com/en-us/copilot/plan/microsoft-365-copilot-privacy", "publisher": "Microsoft Learn" }, { "id": "microsoft-copilot-requirements", "title": "Microsoft Learn: Microsoft Copilot requirements (prerequisite and Copilot licenses, Entra ID accounts, Exchange Online for mailbox grounding, *.cloud.microsoft, recommended SharePoint Advanced Management and Purview)", "url": "https://learn.microsoft.com/en-us/copilot/plan/microsoft-copilot-requirements", "publisher": "Microsoft Learn" }, { "id": "microsoft-copilot-extensibility", "title": "Microsoft Learn: What is a Microsoft 365 Copilot plugin? (declarative agents and skills, configuration or references for connectors and remote MCP servers; publish, share and govern)", "url": "https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/plugins-overview", "publisher": "Microsoft Learn" }, { "id": "wispr-context-privacy", "title": "Wispr Flow Context Awareness and privacy controls", "url": "https://docs.wisprflow.ai/articles/4678293671-Context-Awareness", "publisher": "Wispr" }, { "id": "codexbar-permissions", "title": "CodexBar macOS permissions", "url": "https://github.com/steipete/CodexBar/blob/d34fbb47afe73f81dd591bae28a60f72c39a9fe4/README.md#macos-permissions-why-theyre-needed", "publisher": "CodexBar" }, { "id": "lazurio-decision-0162", "title": "Lazurio decision register at release v0.1.20: decision 0162 with its addenda (Integrations, one path each), and decisions 0170, 0172 and 0175", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0162--integrations-applications-connected-to-an-environment-one-path-each", "publisher": "Lazurio" }, { "id": "lazurio-external-apps-0162", "title": "LazurioPlatform Integrations at release v0.1.20: one path per app, the path rule, whether Composio is allowed, ChatGPT apps and Executor's approvals", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md#the-path-rule", "publisher": "Lazurio" }, { "id": "lazurio-composio-runbook", "title": "LazurioPlatform Integrations at release v0.1.20: Composio, the Composio organization of an Environment and the Team's account", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md#the-composio-organization-of-an-environment", "publisher": "Lazurio" }, { "id": "lazurio-platform-tools-decisions", "title": "LazurioPlatform decisions F17, F18 and F19 at release v0.1.20, with their addenda: the user's tools, enabled tools of the Environment, the curated sign-in and team accounts on a Team Environment", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f18--enabled-tools-of-the-environment", "publisher": "Lazurio" }, { "id": "lazurio-platform-decision-f19", "title": "LazurioPlatform decision F19 at release v0.1.20: curated installation and login of catalog tools", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f19--curated-installation-and-login-of-catalog-tools", "publisher": "Lazurio" }, { "id": "lazurio-platform-environment-tools", "title": "LazurioPlatform environment tools and user sign-ins at release v0.1.20: the catalog, where a tool is offered and what the Organization decides", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/environment-tools.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-release-v0-1-7", "title": "LazurioPlatform release v0.1.7 (published 2026-09-27, the latest final release on 2026-10-06)", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.7", "publisher": "Lazurio" }, { "id": "lazurio-platform-release-v0-1-8-rc-35", "title": "LazurioPlatform release candidate v0.1.8-rc.35 (published 2026-10-06, commit 1a4a99b2c586359e80e1663a3d66ee3d61730f2f)", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.35", "publisher": "Lazurio" }, { "id": "lazurio-platform-tools-screen-review", "title": "LazurioPlatform Launchpad Settings, Tools section", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#tools-section", "publisher": "Lazurio" }, { "id": "lazurio-platform-composio-write-gate-question", "title": "LazurioPlatform open question: Composio write gate and whether tool filters hold on every execution path", "url": "https://github.com/Lazurio/LazurioPlatform/issues/39", "publisher": "Lazurio" }, { "id": "lazurio-platform-composio-custody-question", "title": "LazurioPlatform question on Composio data custody: findings of 2026-10-07 on log retention and Zero Data Retention; the recommendation to Organizations is open", "url": "https://github.com/Lazurio/LazurioPlatform/issues/40", "publisher": "Lazurio" }, { "id": "lazurio-platform-composio-shared-connections-question", "title": "LazurioPlatform question: two Machines signed in to the same Composio account and organization share connections (answered 2026-10-07 from documentation and source, without a live run)", "url": "https://github.com/Lazurio/LazurioPlatform/issues/45", "publisher": "Lazurio" }, { "id": "composio-token-custody", "title": "Composio token custody architecture", "url": "https://docs.composio.dev/docs/security/token-custody", "publisher": "Composio" }, { "id": "lazurio-environment-network-decisions", "title": "Lazurio decision register at release v0.1.20: decisions 0146 (names and entry of hosted Environments), 0154 (a personal Environment in a tailnet), 0192 (an Admin-approved device) and 0213 (an Organization may switch from tailnet to public DNS)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0213--network-for-people-an-organization-may-switch-from-tailnet-to-public-dns", "publisher": "Lazurio" }, { "id": "lazurio-environment-access-model", "title": "LazurioPlatform Environment access model, the public authority since 2026-11-01: the network condition of entry, Admin approval of each device per Organization, the public-DNS exception and removing one's own lost device (decision 0192, approved 2026-10-06; the transition is not complete)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/508a3a4493f4e9451c38b230adbe614adcb8ad00/docs/environment-access.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-decision-f41", "title": "LazurioPlatform decision F41 with its addenda of 2026-10-09 and 2026-10-12: the offline guide on an Environment's addresses, and why its service worker is always updatable", "url": "https://github.com/Lazurio/LazurioPlatform/blob/508a3a4493f4e9451c38b230adbe614adcb8ad00/docs/decisions.md#f41--the-offline-guide-a-service-worker-on-the-shells-origins-shows-how-to-reach-the-environment-and-is-always-updatable", "publisher": "Lazurio" }, { "id": "headscale-project", "title": "Headscale: an open source, self-hosted implementation of the Tailscale control server", "url": "https://github.com/juanfont/headscale", "publisher": "Headscale project" }, { "id": "tailscale-fast-user-switching", "title": "Tailscale: Fast user switching (one active account per device, switching on macOS, Windows, iOS and Android)", "url": "https://tailscale.com/docs/features/client/fast-user-switching", "publisher": "Tailscale" }, { "id": "tailscale-install-windows", "title": "Tailscale: Install Tailscale on Windows (the system tray icon and its menu)", "url": "https://tailscale.com/kb/1022/install-windows", "publisher": "Tailscale" }, { "id": "google-chrome-secure-dns", "title": "Google Chrome Help: Manage Chrome safety and security (Use secure DNS, no fallback with a custom provider)", "url": "https://support.google.com/chrome/answer/10468685", "publisher": "Google" }, { "id": "tailscale-android-private-dns-request", "title": "Tailscale issue 17655: Android Private DNS cannot be used together with MagicDNS (public feature request)", "url": "https://github.com/tailscale/tailscale/issues/17655", "publisher": "Tailscale public issue tracker" }, { "id": "webkit-storage-cap", "title": "WebKit: Full Third-Party Cookie Blocking and More (the 7-day cap on script-writable storage, service worker registrations included)", "url": "https://webkit.org/blog/10218/full-third-party-cookie-blocking-and-more/", "publisher": "WebKit" }, { "id": "lazurio-platform-release-v0-1-8-rc-41", "title": "LazurioPlatform release candidate v0.1.8-rc.41 (published 2026-10-08, commit 9bdf1db23ef9d0b54bbf3dbeb829c8614390dcc8): the offline guide of decision F41", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.41", "publisher": "Lazurio" }, { "id": "lazurio-external-apps-current", "title": "External application integration standard: the order of routes, what stays excluded, ChatGPT apps off in an Environment and the Organization's integration catalog", "url": "https://github.com/HumanAndMachines/Lazurio/blob/46867061e6d0abf7781f9f9d0b93791be32da4d9/manual/external-app-integrations.md", "publisher": "Lazurio" }, { "id": "composio-data-retention", "title": "Composio: Data retention and handling (logs up to one year on every plan, staged files 24 hours, where data goes)", "url": "https://docs.composio.dev/docs/security/data-retention", "publisher": "Composio" }, { "id": "composio-zero-data-retention", "title": "Composio: Zero Data Retention (paid plans for a usage-based price, included on Enterprise, what it does not cover)", "url": "https://docs.composio.dev/docs/security/zero-data-retention", "publisher": "Composio" }, { "id": "composio-pricing", "title": "Composio pricing: the plans, and the Data Processing Addendum on Pro and Enterprise", "url": "https://composio.dev/pricing", "publisher": "Composio" }, { "id": "lazurio-platform-release-current", "title": "LazurioPlatform release v0.1.20 (published 2026-11-04, the latest final release on 2026-11-06, commit 5edbc2b7ebf53aec4e116663db60021d24593dbe)", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20", "publisher": "Lazurio" }, { "id": "lazurio-product-vocabulary", "title": "Lazurio product vocabulary: decisions 0170, 0175, 0179, 0185 and 0207 with their addenda", "url": "https://github.com/HumanAndMachines/Lazurio/blob/6416d27786296583baf08b75526cff225e2673f7/manual/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-microsoft-365-company-app", "title": "Microsoft 365 company app runbook (Czech): one single-tenant public client with delegated Graph permissions, the IT procedure, Conditional Access, revocation and the verification on a real tenant that is still open", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365.md", "publisher": "Lazurio" }, { "id": "lazurio-microsoft-365-for-it", "title": "Microsoft 365 page for an Organization's IT (Czech): permissions, data path, Conditional Access, revocation and audit", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365-for-it.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-microsoft-365-company-app", "title": "LazurioPlatform Integrations: the Microsoft 365 company app, its pinned specs and scopes, where the user signs in, Executor's approvals and the IT consent", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/integrations.md#the-microsoft-365-company-app", "publisher": "Lazurio" }, { "id": "lazurio-platform-decision-f45", "title": "LazurioPlatform decision F45: Organization settings reach the Environment through its relay or from Git and are recorded in the Folder", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f45--organization-settings-reach-the-environment-asked-through-its-relay-recorded-in-the-folder-reported-back", "publisher": "Lazurio" }, { "id": "lazurio-platform-release-v0-1-9", "title": "LazurioPlatform release v0.1.9 (published 2026-10-19), the first final release with the Microsoft 365 company app", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.9", "publisher": "Lazurio" }, { "id": "lazurio-manifest-family-settings", "title": "Lazurio manifest family: the Microsoft 365 setting settings.integrations.microsoft365 and the rule that readers ship first", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/lazurio-manifest-family.md#microsoft-365-company-app-settingsintegrationsmicrosoft365", "publisher": "Lazurio" }, { "id": "lazurio-decision-register-gen4", "title": "Lazurio decision register for GEN3 and GEN4 in LazurioPlatform: the decisions cited by the IT and Admin pages", "url": "https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-first-organization-rollout", "title": "First Organization rollout runbook (Czech): the GitHub access baseline and its read-back before the first Builder", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/first-client-organization-rollout.md", "publisher": "Lazurio" }, { "id": "lazurio-organization-install", "title": "Organization install runbook (Czech): Lazurio for GitHub with All repositories, the access baseline, Read on Design Systems and role-scoped installation", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/organization-install.md", "publisher": "Lazurio" }, { "id": "lazurio-root-agent-rules", "title": "Lazurio Root rules for agents (Czech): Publication, Release, issues and Design System access", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/AGENTS.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-folder-roles", "title": "LazurioPlatform Folder manual: the Organization roles Admin, Steward, Builder and User", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/manual.ts#L888-L904", "publisher": "Lazurio" }, { "id": "lazurio-platform-decision-f31", "title": "LazurioPlatform decision F31 with its addendum of 2026-10-05: a named person publishes from a Team Environment", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f31--a-team-environment-publishes-under-the-teams-identity", "publisher": "Lazurio" }, { "id": "lazurio-platform-team-github", "title": "LazurioPlatform environment tools: gh on a Team Environment works through Lazurio for GitHub and refuses personal sign-ins", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/environment-tools.md#gh-on-a-team-environment", "publisher": "Lazurio" }, { "id": "lazurio-github-app-broker", "title": "Lazurio for GitHub broker 0.14.0: one-repository installation tokens, permission tiers chosen by the Team's live grant, and the public-issue limitation", "url": "https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md", "publisher": "Lazurio" }, { "id": "lazurio-github-app-public-issues", "title": "Lazurio for GitHub issue 23: any installation token can open issues in public repositories, whatever permissions it asks for (observed 2026-10-17)", "url": "https://github.com/Lazurio/github-app/issues/23", "publisher": "Lazurio" }, { "id": "lazurio-external-apps-org-steps", "title": "External application standard (Czech), revision of 2026-11-01: order of routes, organization-side admin steps and the live standard", "url": "https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/external-app-integrations.md", "publisher": "Lazurio" }, { "id": "lazurio-provider-runbooks", "title": "Lazurio provider runbooks (Czech): Google Workspace (2026-08-07), Slack, Atlassian and Canva (2026-09-02), LinkedIn (2026-07-24) and Composio (2026-10-09 with addenda)", "url": "https://github.com/HumanAndMachines/Lazurio/tree/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations", "publisher": "Lazurio" }, { "id": "composio-create-organization-request", "title": "Composio issue 4949: create and rename an organization from the CLI (opened 2026-10-17, open on 2026-11-01)", "url": "https://github.com/ComposioHQ/composio/issues/4949", "publisher": "Composio public issue tracker" }, { "id": "microsoft-entra-permissions-consent", "title": "Overview of permissions and consent in the Microsoft identity platform", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-permissions-reference", "title": "Microsoft Graph permissions reference", "url": "https://learn.microsoft.com/en-us/graph/permissions-reference", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-app-consent-policies", "title": "Manage app consent policies: the Microsoft-managed default consent setting and its excluded permissions", "url": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-app-consent-policies", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-grant-admin-consent", "title": "Grant tenant-wide admin consent to an application", "url": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-delegate-app-roles", "title": "Delegate application management administrator permissions: who can register applications", "url": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/delegate-app-roles", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-register-app", "title": "How to register an app in Microsoft Entra ID", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-add-redirect-uri", "title": "How to add a redirect URI to your application", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/how-to-add-redirect-uri", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-enterprise-app-properties", "title": "Properties of an enterprise application: Enabled for users to sign in and Assignment required", "url": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/application-properties", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-redirect-uri", "title": "Redirect URI (reply URL) best practices and limitations", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/reply-url", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-desktop-app-configuration", "title": "Configure desktop apps that call web APIs: Allow public client flows", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/scenario-desktop-app-configuration", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-auth-code-flow", "title": "Microsoft identity platform and OAuth 2.0 authorization code flow", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-auth-code-flow", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-access-tokens", "title": "Access tokens in the Microsoft identity platform: default lifetime", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-refresh-tokens", "title": "Refresh tokens in the Microsoft identity platform: lifetime and revocation", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-revoke-user-access", "title": "Revoke user access in an emergency in Microsoft Entra ID", "url": "https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-revoke-sign-in-sessions", "title": "user: revokeSignInSessions (Microsoft Graph v1.0)", "url": "https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-session-lifetime", "title": "Conditional Access adaptive session lifetime policies: sign-in frequency", "url": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-session-lifetime", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-error-codes", "title": "Microsoft Entra authentication and authorization error codes", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/reference-error-codes", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-noninteractive-sign-ins", "title": "Non-interactive sign-in logs in Microsoft Entra ID", "url": "https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-noninteractive-sign-ins", "publisher": "Microsoft Learn" }, { "id": "microsoft-purview-audit", "title": "Learn about auditing solutions in Microsoft Purview", "url": "https://learn.microsoft.com/en-us/purview/audit-solutions-overview", "publisher": "Microsoft Learn" }, { "id": "microsoft-entra-publisher-verification", "title": "Publisher verification overview", "url": "https://learn.microsoft.com/en-us/entra/identity-platform/publisher-verification-overview", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-create-event", "title": "Create event (Microsoft Graph v1.0): invitations to attendees", "url": "https://learn.microsoft.com/en-us/graph/api/user-post-events", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-event-cancel", "title": "event: cancel (Microsoft Graph v1.0)", "url": "https://learn.microsoft.com/en-us/graph/api/event-cancel", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-driveitem-createlink", "title": "Share a file with a link (Microsoft Graph v1.0)", "url": "https://learn.microsoft.com/en-us/graph/api/driveitem-createlink", "publisher": "Microsoft Learn" }, { "id": "microsoft-graph-driveitem-invite", "title": "driveItem: invite (Microsoft Graph v1.0)", "url": "https://learn.microsoft.com/en-us/graph/api/driveitem-invite", "publisher": "Microsoft Learn" }, { "id": "microsoft-work-iq-permissions", "title": "Work IQ API permissions reference", "url": "https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/permissions", "publisher": "Microsoft Learn" }, { "id": "microsoft-work-iq-overview", "title": "Work IQ overview", "url": "https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/", "publisher": "Microsoft Learn" }, { "id": "github-organization-roles", "title": "Roles in an organization", "url": "https://docs.github.com/en/organizations/managing-peoples-access-to-your-organization-with-roles/roles-in-an-organization", "publisher": "GitHub Docs" }, { "id": "github-base-permissions", "title": "Setting base permissions for an organization", "url": "https://docs.github.com/en/organizations/managing-user-access-to-your-organizations-repositories/managing-repository-roles/setting-base-permissions-for-an-organization", "publisher": "GitHub Docs" }, { "id": "github-install-app", "title": "Installing a GitHub App from a third party", "url": "https://docs.github.com/en/apps/using-github-apps/installing-a-github-app-from-a-third-party", "publisher": "GitHub Docs" }, { "id": "github-protected-branches", "title": "About protected branches", "url": "https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/about-protected-branches", "publisher": "GitHub Docs" }, { "id": "github-rulesets", "title": "About rulesets", "url": "https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/about-rulesets", "publisher": "GitHub Docs" }, { "id": "github-code-owners", "title": "About code owners", "url": "https://docs.github.com/en/repositories/managing-your-repositorys-settings-and-features/customizing-your-repository/about-code-owners", "publisher": "GitHub Docs" }, { "id": "github-repository-collaborators", "title": "REST API endpoints for collaborators", "url": "https://docs.github.com/en/rest/collaborators/collaborators", "publisher": "GitHub Docs" }, { "id": "github-rest-pull-requests", "title": "REST API endpoints for pull requests: availability of draft pull requests by plan", "url": "https://docs.github.com/en/rest/pulls/pulls", "publisher": "GitHub Docs" }, { "id": "google-oauth-audience", "title": "Manage App Audience: user type, publishing status and the seven-day expiry in Testing", "url": "https://support.google.com/cloud/answer/15549945", "publisher": "Google" }, { "id": "google-oauth2-refresh-token-expiration", "title": "Using OAuth 2.0 to Access Google APIs: refresh token expiration", "url": "https://developers.google.com/identity/protocols/oauth2#expiration", "publisher": "Google" }, { "id": "google-workspace-mcp-servers", "title": "Configure the Google Workspace MCP servers (Developer Preview)", "url": "https://developers.google.com/workspace/guides/configure-mcp-servers", "publisher": "Google" }, { "id": "slack-mcp-server", "title": "Slack MCP server: endpoint, app identity, confidential OAuth and admin approval", "url": "https://docs.slack.dev/ai/slack-mcp-server/", "publisher": "Slack" }, { "id": "atlassian-mcp-get-started", "title": "Get started with the Atlassian MCP server", "url": "https://support.atlassian.com/atlassian-ai-gateway/docs/get-started-with-the-atlassian-remote-mcp-server/", "publisher": "Atlassian" }, { "id": "atlassian-mcp-settings", "title": "Control Atlassian MCP server settings: domains, API tokens and IP allowlists", "url": "https://support.atlassian.com/security-and-access-policies/docs/control-atlassian-mcp-server-settings/", "publisher": "Atlassian" }, { "id": "canva-mcp-access", "title": "Canva MCP: access and permissions", "url": "https://www.canva.dev/docs/apps/mcp/access/", "publisher": "Canva" }, { "id": "canva-mcp-tools", "title": "Canva MCP: tools and rate limits", "url": "https://www.canva.dev/docs/apps/mcp/tools/", "publisher": "Canva" }, { "id": "linkedin-api-access", "title": "Getting Access to LinkedIn APIs: open permissions and partner programs", "url": "https://learn.microsoft.com/en-us/linkedin/shared/authentication/getting-access", "publisher": "LinkedIn" }, { "id": "linkedin-authorization-code-flow", "title": "LinkedIn 3-Legged OAuth Flow: access token lifetime", "url": "https://learn.microsoft.com/en-us/linkedin/shared/authentication/authorization-code-flow", "publisher": "LinkedIn" }, { "id": "linkedin-share-api", "title": "Share on LinkedIn: w_member_social and daily rate limits", "url": "https://learn.microsoft.com/en-us/linkedin/consumer/integrations/self-serve/share-on-linkedin", "publisher": "LinkedIn" }, { "id": "linkedin-user-agreement", "title": "LinkedIn User Agreement: prohibition of scraping and automated access", "url": "https://www.linkedin.com/legal/user-agreement", "publisher": "LinkedIn" }, { "id": "lazurio-onboarding-decision-register", "title": "Lazurio decision register: decisions 0062, 0089, 0103, 0162, 0169, 0170, 0172, 0175, 0179, 0185, 0188, 0189, 0192, 0201, 0207 and 0211 (roles, Buddy, pull requests and Publication, Integrations, Henry, vocabulary, full access, the shell, the first start, entry and questions)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-folder-agent-rules", "title": "LazurioPlatform Folder generator: the agent instructions (AGENTS.md) on worktrees, Draft pull requests, Publication only with the user's consent, the question tool, Files links and Integrations", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/render.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-folder-manual", "title": "LazurioPlatform Folder generator: the agents' manual (glossary, roles, the handoff, Publication, where knowledge belongs, work-only Work Environments)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/manual.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-launchpad-texts", "title": "LazurioPlatform Apps and Settings texts in English and Czech: Getting started, the tour, Apps, Files, Integrations, Vault and Recovery", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/launchpad/messages.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-getting-started", "title": "LazurioPlatform Getting started: the steps checked from the Environment's own state, AI before GitHub, the Organization's download after GitHub", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/launchpad/start-view.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-shell-column-head", "title": "LazurioPlatform shell: the header of the left column with the Environment, its Settings gear, the Chat, Apps and Automate switch and the setup prompt", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/shell/view.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-shell-texts", "title": "LazurioPlatform shell texts in English and Czech: the Settings of each kind of Environment and Finish setting up", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/shell/messages.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-onboarding-decisions", "title": "LazurioPlatform decisions F24, F35, F36, F42, F51 and F56: Organization applications as Modules, Files, the shell, Integrations, Chat starting in the Folder and the page guide", "url": "https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md", "publisher": "Lazurio" }, { "id": "github-about-pull-requests", "title": "GitHub Docs: About pull requests (draft pull requests, ready for review, the Files changed tab)", "url": "https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/proposing-changes-to-your-work-with-pull-requests/about-pull-requests", "publisher": "GitHub" }, { "id": "github-reviewing-pull-requests", "title": "GitHub Docs: Reviewing proposed changes in a pull request", "url": "https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/reviewing-changes-in-pull-requests/reviewing-proposed-changes-in-a-pull-request", "publisher": "GitHub" }, { "id": "lazurio-root-operator-machine-access", "title": "Lazurio Root, access between one person's Machines (Czech): device and server names, the services Environment per server and IPv4 ranges per Conglomerate Host", "url": "https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/operator-machine-access.md", "publisher": "Lazurio" }, { "id": "lazurio-root-conglomerate-owner-administration", "title": "Lazurio Root, administration of a Conglomerate Host by the Organization's Owners (Czech)", "url": "https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/conglomerate-owner-administration.md", "publisher": "Lazurio" }, { "id": "lazurio-root-hosted-machine-handover", "title": "Lazurio Root, handover of a hosted Machine and the user's onboarding (Czech): the two separate outcomes", "url": "https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/hosted-machine-handover.md", "publisher": "Lazurio" }, { "id": "lazurio-environment-access-model-device-approval", "title": "Lazurio Environment access model: device approval by the Organization Admin in Dashboard, the reviewed fallback and no access before approval (addendum to decision 0192 of 2026-11-01)", "url": "https://github.com/HumanAndMachines/Lazurio/blob/46867061e6d0abf7781f9f9d0b93791be32da4d9/manual/environment-access-model.md", "publisher": "Lazurio" }, { "id": "lazurio-device-node-names", "title": "Lazurio operator machine access: names of user device nodes (-) and no renaming of approved devices", "url": "https://github.com/HumanAndMachines/Lazurio/blob/46867061e6d0abf7781f9f9d0b93791be32da4d9/manual/operator-machine-access.md", "publisher": "Lazurio" }, { "id": "headscale-connect-apple", "title": "Headscale: Connect Apple devices (iOS custom coordination server, macOS login)", "url": "https://headscale.net/stable/usage/connect/apple/", "publisher": "Headscale project" }, { "id": "headscale-connect-android", "title": "Headscale: Connect Android devices (alternate server)", "url": "https://headscale.net/stable/usage/connect/android/", "publisher": "Headscale project" }, { "id": "tailscale-custom-control-server", "title": "Tailscale: Configure Tailscale clients to use a custom control server (macOS, Windows, iOS, Android; last validated 2026-09-21)", "url": "https://tailscale.com/docs/how-to/set-up-custom-control-server", "publisher": "Tailscale" }, { "id": "tailscale-machine-names", "title": "Tailscale: Machine names (derived from the OS hostname, -1 suffix on conflict)", "url": "https://tailscale.com/docs/concepts/machine-names", "publisher": "Tailscale" }, { "id": "tailscale-install-ios", "title": "Tailscale: Install Tailscale on iOS (iOS 15 or later, Get Started, VPN configuration)", "url": "https://tailscale.com/docs/install/ios", "publisher": "Tailscale" }, { "id": "tailscale-install-android", "title": "Tailscale: Install Tailscale on Android (Android 8.0 or later, Get Started, VPN configuration)", "url": "https://tailscale.com/docs/install/android", "publisher": "Tailscale" }, { "id": "tailscale-install-macos", "title": "Tailscale: Install Tailscale on macOS (macOS Ventura 13.0 or later, Standalone and App Store variants)", "url": "https://tailscale.com/docs/install/mac", "publisher": "Tailscale" }, { "id": "tailscale-system-policies", "title": "Tailscale: Customize Tailscale using system policies (LoginURL and Hostname; mobile hostnames usually only name the manufacturer and model; last validated 2026-09-29)", "url": "https://tailscale.com/docs/features/tailscale-system-policies", "publisher": "Tailscale" }, { "id": "tailscale-android-package", "title": "Tailscale for Android 1.104.5, official package from Tailscale's package server (tailscale-android-universal-1.104.5.apk, SHA-256 a517f94006b90a9dbd7383221cbd05ff4acf5ea680335b9b0318e3fbf086d4c9), run without an account on Android 16 in an emulator on 2026-11-03 for the Guide screenshots", "url": "https://pkgs.tailscale.com/stable/#android", "publisher": "Tailscale" }, { "id": "tailscale-install-windows-msi", "title": "Tailscale: Install Tailscale on Windows with an MSI (the installation path defaults to C:\\Program Files\\Tailscale)", "url": "https://tailscale.com/kb/1189/install-windows-msi", "publisher": "Tailscale" }, { "id": "tailscale-cli-login-output", "title": "Tailscale 1.104.5 source: tailscale login switches to a new profile and runs up, which prints \"To authenticate, visit:\" with the sign-in address and \"Success.\" when it is done", "url": "https://github.com/tailscale/tailscale/blob/v1.104.5/cmd/tailscale/cli/up.go", "publisher": "Tailscale" }, { "id": "microsoft-powershell-call-operator", "title": "Microsoft Learn: about_Operators, call operator & (a quoted path is printed as a string unless it is run with &)", "url": "https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_operators", "publisher": "Microsoft" }, { "id": "microsoft-windows-terminal-interaction", "title": "Microsoft Learn: Windows Terminal interaction settings (detected URLs open with Ctrl+click; right-click copies a selection). How the older console window copies is not stated there.", "url": "https://learn.microsoft.com/en-us/windows/terminal/customize-settings/interaction", "publisher": "Microsoft" }, { "id": "lazurio-agent-manual-device-enrollment", "title": "Lazurio Platform v0.1.20 agent manual: tailnet registration grants no access yet; the Organization Admin approves the exact device through the network administrator's managed procedure; do not assume a device list in the Organization overview", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/src/folder/manual.ts#L2584", "publisher": "Lazurio" }, { "id": "lazurio-decision-register-admin-ai", "title": "Lazurio decision register on 2026-11-05: the Organization Admin as a Lazurio role (0228), the AI source of a Work Environment (0229), device approval (0192), ChatGPT pairing (0215) and public DNS (0213)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-launchpad-texts-pairing", "title": "Launchpad message catalog on 2026-11-05: Getting started's AI step and Settings → Connections (phone pairing, computer)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/src/launchpad/messages.ts", "publisher": "Lazurio" }, { "id": "lazurio-decision-0230-request", "title": "Decision 0230 in the register: people ask the Organization Admin through Lazurio, and the interim request as an issue in the root repository", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5348a7c0fd8e71fe11c5b3e5a3744f9e82fa5341/docs/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-module-standard-v0-1-20", "title": "Lazurio Module Standard at release v0.1.20: a Module is one Git repository, where Organization and personal Modules live, a Module without an App, who creates a Module and how its plan is confirmed", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/module-standard.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-module-standard-v0-1-21", "title": "Lazurio Module Standard at v0.1.21-rc.1: the generation names the data layer, the data repository /-data, at most two generations, existing Modules keep their directory until a planned transition", "url": "https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/module-standard.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-stack-profiles", "title": "LazurioPlatform stack profiles at v0.1.21-rc.1: the data layer of each generation, app-data and app-database, no scaffold or template for app/v4 yet", "url": "https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/stack-profiles.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-module-parts-f14", "title": "LazurioPlatform decision F14, the skill new-module: a module is a UI for people, a place for data and for agents, its own processes and skills, a Git repository of its own", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f14--agent-manuals-live-in-the-lazurio-folder", "publisher": "Lazurio" }, { "id": "lazurio-platform-decision-f52", "title": "LazurioPlatform decision F52: one module generator, a person's own modules in their Personalspace", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f52--one-module-generator-in-the-platform-a-persons-own-modules-in-their-personalspace", "publisher": "Lazurio" }, { "id": "lazurio-platform-content-sync-v0-1-20", "title": "LazurioPlatform content synchronization at release v0.1.20: at start and every hour, an attempt that a blocked root or a denied or failed operation stops, an absent declared module cloned once it is readable, not a restricted slot and not on a Team Environment, and revoked access preserving local content", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/content-sync.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-new-module-tile-v0-1-20", "title": "LazurioPlatform Apps at release v0.1.20: who is offered New module (a live Owner of the Organization, the holder of a personal space)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/src/launchpad/apps-view.ts#L947", "publisher": "Lazurio" }, { "id": "lazurio-platform-texts-v0-1-20", "title": "LazurioPlatform Launchpad texts at release v0.1.20: New module, Create with an agent, Marketplace, App templates, Add to Organization", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/src/launchpad/messages.ts", "publisher": "Lazurio" }, { "id": "lazurio-platform-prompt-handoff-v0-1-20", "title": "LazurioPlatform Launchpad development at release v0.1.20: New module opens Chat with the prepared prompt, not sent; the Environment browser in the right panel", "url": "https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#prompt-hand-off-to-chat", "publisher": "Lazurio" }, { "id": "lazurio-platform-release-v0-1-20", "title": "LazurioPlatform release v0.1.20 (published 2026-11-04, the latest final release on 2026-11-05, commit 5edbc2b7ebf53aec4e116663db60021d24593dbe)", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20", "publisher": "Lazurio" }, { "id": "lazurio-platform-release-v0-1-21-rc-1", "title": "LazurioPlatform release candidate v0.1.21-rc.1 (published 2026-11-05, commit d1d8917cdf1afdf49c5091115ca9d615abc0c376): the Marketplace reads the registry Lazurio/marketplace", "url": "https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.21-rc.1", "publisher": "Lazurio" }, { "id": "lazurio-platform-marketplace-v0-1-21", "title": "LazurioPlatform Marketplace at v0.1.21-rc.1: the entry at the bottom of Apps, today's offers and what Add to Organization does", "url": "https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/marketplace.md", "publisher": "Lazurio" }, { "id": "lazurio-marketplace-registry", "title": "Lazurio Marketplace registry: one record per template; a listing grants no access, installs nothing and is no consent to publish", "url": "https://github.com/Lazurio/marketplace/blob/bc5839deb5c2156464cbafa1867bf9bd515c4191/README.md", "publisher": "Lazurio" }, { "id": "lazurio-template-adoption", "title": "Mission Control template 4.0.0, adoption: the agent shows a plan, an active Owner creates the Module, otherwise the agent prepares a request", "url": "https://github.com/LazurioTemplates/mission-control/blob/8d29a8deaa03694be4358dcf293c19945d302d3e/docs/adoption.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-register-modules", "title": "Lazurio decision register at v0.1.21-rc.1: decisions 0162, 0171, 0172, 0186, 0192, 0193, 0196, 0198, 0203, 0209, 0213 and 0228", "url": "https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/decision-register.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-environment-access-v0-1-21", "title": "LazurioPlatform Environment access at v0.1.21-rc.1: the three conditions of entry, the approved device, public DNS mode, the transition is not complete", "url": "https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/environment-access.md", "publisher": "Lazurio" }, { "id": "lazurio-platform-app-database-connection-question", "title": "LazurioPlatform open question: no defined way to give an app/v4 App its Dolt connection without .env", "url": "https://github.com/Lazurio/LazurioPlatform/issues/818", "publisher": "Lazurio" }, { "id": "lazurio-decision-0234-role-names", "title": "Decision 0234 in the register on 2026-11-08: the names of access roles in Czech and English, their identifiers and the deployed values they map to (amends the names in 0228, 0231 and 0232)", "url": "https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent", "publisher": "Lazurio" }, { "id": "lazurio-documentation-readme", "title": "Lazurio documentation README: app generation app/v2 and data generation data/v2 in one repository", "url": "https://github.com/Lazurio/documentation/blob/5a7c2884c64757e26dc9330625231b30c5fb235f/README.md", "publisher": "Lazurio" } ], "documents": [ { "stableId": "lazurio-doc-agents", "locale": "cs", "route": "/cs/agents/", "canonicalUrl": "https://documentation.lazurio.ai/cs/agents/", "sourcePath": "data/v2/docs/cs/agents.md", "title": "Dokumentace pro AI agenty", "summary": "Jak najít a načíst dokumentaci přes llms.txt a JSON index.", "audience": [ "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture" ], "markdown": "Pro automatické vyhledávání použijte textový nebo JSON index. Oba vycházejí\nze stejných stránek, které čtou lidé.\n\n## Jak obsah najít a načíst\n\n- [`/llms.txt`](/llms.txt) nabízí stručný seznam hlavních stránek a jejich\n shrnutí.\n- [`/content-index.json`](/content-index.json) je verzovaný strukturovaný\n index. U každého dokumentu obsahuje stabilní ID, cestu, cílové skupiny,\n datum kontroly, kanonickou URL, veřejnou cestu ke zdrojovému souboru, odkazy\n na podklady a celý obsah v Markdownu.\n- [`/sitemap-index.xml`](/sitemap-index.xml) je mapa webu pro vyhledávače a\n indexovací roboty. Vzniká při sestavení webu.\n- Stránky určené lidem zůstávají hlavním místem pro výklad obsahu.\n\nVyhledání podle stabilního ID ve výchozím nastavení vrací anglický dokument.\nAgent si může výslovně vyžádat jiný publikovaný jazyk; kanonická cesta vždy\nvede na konkrétní jazykovou verzi stránky.\n\nVšechny tyto výstupy vznikají z `data/v2/docs` ve veřejném\n[repozitáři dokumentace](https://github.com/Lazurio/documentation). Index uvádí\npřesný zdrojový commit a informaci, zda náhled vznikl z lokálních\nnecommitnutých změn. Produkční nasazení odmítne takto vytvořený obsah i commit,\nkterý neprošel požadovaným schválením.\n\n## Doporučený postup pro agenty\n\n1. Začněte v `llms.txt` a vyberte odpovídající stránku.\n2. Potřebujete-li odkaz uchovat, použijte stabilní ID z\n `content-index.json`; cesta se může při další lokalizaci změnit.\n3. Před převzetím bezpečnostně důležitého tvrzení projděte `sourceRefs` a\n odpovídající veřejné podklady.\n4. Rozlišujte doložené tvrzení poskytovatele od hodnocení Lazuria.\n5. Pokud záleží na aktuálnosti, uveďte datum kontroly stránky a zdrojový commit.\n6. Jestliže tvrzení v dokumentaci chybí nebo závisí na konkrétním nasazení,\n otevřeně to přiznejte a nedoplňujte odpověď odhadem.\n\n## Plánovaný MCP server\n\nMCP server pro tuto dokumentaci zatím není dostupný. Pokud vznikne, má\nzpřístupnit stejný obsah jako JSON index, pouze pro čtení. Nemá zapisovat do\ndokumentace ani číst soukromá data. Do té doby používejte odkazy uvedené výše." }, { "stableId": "lazurio-doc-architecture", "locale": "cs", "route": "/cs/architecture/", "canonicalUrl": "https://documentation.lazurio.ai/cs/architecture/", "sourcePath": "data/v2/docs/cs/architecture.md", "title": "Architektura", "summary": "Jak do sebe zapadají lidé, zařízení, Prostředí, Organizace, moduly a služby okolo, co jde na GitHub a kde má modul data.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-standard-v0-1-21", "lazurio-platform-module-parts-f14", "lazurio-platform-decision-f52", "lazurio-platform-content-sync-v0-1-20", "lazurio-platform-release-v0-1-20", "lazurio-platform-release-v0-1-21-rc-1", "lazurio-platform-marketplace-v0-1-21", "lazurio-platform-stack-profiles", "lazurio-platform-register-modules", "lazurio-platform-environment-access-v0-1-21", "lazurio-platform-app-database-connection-question", "lazurio-documentation-readme", "lazurio-decision-register-admin-ai" ], "markdown": "Tato stránka je pro IT a Adminy Organizace. Člověk vstupuje do **Prostředí**\nze schváleného zařízení. Prostředí je počítač, na kterém pracují agenti.\n**Organizace** je jedna GitHub organizace a každý **modul** v ní má vlastní\nrepozitář. Stejný model bez technických pojmů vysvětluje stránka\n[Moduly](/cs/guide/modules/).\n\n
\n \n \n \"Člověk\n \n
Plné části fungují dnes. Přerušované části jsou rozhodnuté, ale nenasazené.
\n
\n\n## Vrstvy\n\n**Člověk a zařízení.** Ve výchozím stavu má vstup tři podmínky: síť (Tailscale\nve správném tailnetu Headscale, ze zařízení schváleného Adminem Organizace),\naktivní členství v Organizaci a oprávnění k celému Prostředí nebo k jedné\naplikaci. Takový je cílový model\n[rozhodnutí 0192](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/environment-access.md)\na přechod na něj není dokončený: jak se zařízení dostane dovnitř dnes, se může\nv jednotlivých tailnetech lišit. Organizace v režimu veřejného DNS (rozhodnutí\n0213, nasazené částečně) podmínku sítě a schválení zařízení nemá. Lidé se pak\ndo webového rozhraní dostanou přes vstup serveru a přihlásí se účtem Lazuria.\n\n**Prostředí.** Počítač, na kterém pracují agenti: Osobní, Pracovní nebo Týmové\nProstředí. Agenti v něm pracují s plným přístupem, bez sandboxu a bez\nschvalování jednotlivých příkazů (rozhodnutí 0172). Hranicí je Prostředí, takže užší práva\nznamenají samostatné Prostředí s vlastními přihlášeními a GitHub granty. Běží\ntu aplikace modulů a **Soubory** jsou složka Dokumenty tohoto Prostředí.\n\n**Organizace.** Jedna GitHub organizace. Její kořenový repozitář deklaruje\nmoduly: každý modul je položka v `modules.manifest.json` a Team je údaj u této\npoložky, ne složka.\n\n**Modul.** Jeden Git repozitář se souborem `lazurio.module.json` v kořeni.\nPostup je `AGENTS.md` se skilly v `.agents/skills/`. Aplikace je balíček\nv `app/v/`. Kde leží data, plyne z generace, viz [níže](#kde-má-modul-data).\nModul nemusí mít aplikaci vůbec. Modul Organizace je soukromý repozitář\n`/`. Osobní modul je soukromý repozitář\n`/` na vlastním účtu člověka, bez Organizace a bez Teamů.\n\n**Okolo Prostředí.**\n\n- **Integrace** jsou aplikace připojené k Prostředí, každá právě jednou cestou\n (rozhodnutí 0162).\n- **Trezor** drží tajné údaje. Každé Prostředí má v trezoru vlastní identitu\n a hodnoty nikdy nejdou do chatu, Gitu, logů ani pull requestů (rozhodnutí\n 0193, 0198 a 0203).\n- **Poskytovatel AI** provozuje modely. Oba zdroje popisuje stránka\n [Zdroj AI](/cs/guide/ai-source/).\n- **Služby serveru** má každý server Organizace jen jedny a každá služba má svůj\n kontejner. Vstupují do nich jen Admini Organizace; Vlastník Organizace,\n který není zároveň Adminem Organizace, ne (rozhodnutí 0209 a 0228). Stav:\n rozhodnuto, zatím\n nenasazeno.\n\n## Jeden zdroj, synchronizované kopie\n\nJediným zdrojem modulu je GitHub. Každé Prostředí, které modul smí číst, drží\njeho pracovní kopii. Počet kopií odpovídá Prostředím, ne lidem: dvacet lidí\nv jednom Týmovém Prostředí sdílí jednu kopii. Ať je jich kolik chce, jsou to kopie\njednoho repozitáře, ne oddělené sady dat.\n\nNainstalované Lazurio aktualizuje čisté kopie při startu a potom každou hodinu. Od\nvydání v0.1.20 stejná synchronizace naklonuje i deklarovaný modul nebo datový\nrepozitář, jakmile ho identita tohoto Prostředí smí číst. Výjimkou je položka\nvyhrazená Adminům Organizace a Týmové Prostředí. Vyhrazenou položku takto nedostane\nani Admin Organizace, zůstává výslovnou instalací. Každé kolo je pokus: kořen,\nkterý neskončí aktuální, zastaví svou Organizaci a odepřená nebo neúspěšná operace\nnechá repozitář beze změny do dalšího kola.\n\nOpačným směrem jde změna jako Publikace:\nsloučený pull request, u dat v repository-db commit a push nepublikované změny.\n\n## Přístupy po Teamech\n\nKteré Teamy k modulu dosáhnou, určuje živý grant na GitHubu (rozhodnutí 0186).\n`teams` v manifestu Organizace je jen výchozí nastavení při založení modulu\na založení dá každému uvedenému Teamu právo Write. Přehled Organizace mění grant\npřes GitHub aplikaci Lazurio Administration Access s vlastními právy člověka,\nkterý změnu dělá, takže ho audit GitHubu jmenuje. Změna, o kterou požádá\nSprávce modulu, je žádost, kterou schvaluje Admin Organizace.\n\nOdebrání přístupu zastaví operace s repozitářem, ale nesmaže, co už Prostředí má.\nKopie zůstane, agent s přístupem do tohoto Prostředí ji přečte a přestane se\naktualizovat. Manifest Organizace uvádí všechny moduly, takže samotné jméno skryté\nnení.\n\nLazurio řídí vstup do modulu a předává mu ověřenou identitu. Co smí který člověk\nuvnitř, jsou vlastní pravidla Organizace v jejím kódu a datech (rozhodnutí 0196).\n\n## Co jde na GitHub a co ne\n\n| Co | Kde to je | Na GitHubu |\n| --- | --- | --- |\n| Postup, skilly a kód aplikace | Repozitář modulu | Ano |\n| Obsah modulu `v2` | `data/v2/` v repozitáři modulu | Ano |\n| Záznamy modulu `v3` | Datový repozitář `-data` | Ano |\n| Schéma modulu `v4` | Repozitář modulu | Ano, po nasazení |\n| Řádky modulu `v4` | Databáze ve Službách serveru | Ne, po nasazení |\n| Tajné údaje | Trezor | Ne |\n| Soubory | Složka Dokumenty jednoho Prostředí | Ne |\n| Přihlášení nástrojů | Počítač, na kterém Prostředí běží | Ne |\n| Data v připojených aplikacích | Tyto aplikace | Ne, pokud je agent nezkopíruje do modulu |\n\n## Kde má modul data\n\nGenerace aplikace, tedy složka `app/v`, říká, kde leží data, ne jak je\naplikace dobrá (rozhodnutí F69, v kandidátu vydání v0.1.21-rc.1).\n\n| Generace | Kde data leží | Kdy se to hodí | Veřejný příklad | Stav |\n| --- | --- | --- | --- | --- |\n| `v1` | Obsah je součástí aplikace. Datová vrstva není. | Modul nemá vlastní záznamy. | Šablony Design System a Prezentace | K dispozici |\n| `v2` | Obsah leží vedle aplikace ve stejném repozitáři, v `data/v2/`. Vlastní datová vrstva není. | Obsahu je hodně, mění se občas a upravují ho agenti. | [Tato dokumentace](https://github.com/Lazurio/documentation) | K dispozici |\n| `v3` | Záznamy leží v datovém repozitáři `/-data`, spravuje je repository-db a je připojený jako `db/`. Úprava člověka je nepublikovaná změna; publikace je jeden commit a push. | Záznamy se mění denně a chcete historii a schvalování. Výchozí volba pro nový modul s daty. | Šablona Mission Control | K dispozici |\n| `v4` | Záznamy leží v databázi Dolt ve Službách serveru Organizace. Na GitHubu je aplikace, postup a schéma, řádky ne. | Zapisuje mnoho lidí najednou, přístup se liší uvnitř dat, osobní údaje se musí dát smazat nebo zapisuje služba zvenku. | Zatím žádný | **Rozhodnuto, nenasazeno** |\n\nK tabulce tři poznámky:\n\n- **Před v0.1.21.** Ve vydání v0.1.20 začíná nový modul s daty v `app/v1`, data\n má v repository-db. Od v0.1.21 začíná v `app/v3`. Existující modul si složku\n ponechá a posune se při nejbližším plánovaném přechodu.\n- **Posun výš.** Modul začíná co nejníž. Přechod je plánovaný krok: nová generace\n vedle staré, převod dat a nakonec přepnutí výchozí aplikace, o kterém rozhoduje\n Správce modulu nebo uživatel. Modul drží nejvýš dvě generace.\n- **`v4` dnes.** Šablona neexistuje, `lazurio module create` pro ni nemá stack\n a jak aplikace dostane připojení bez `.env`, je [otevřená\n otázka](https://github.com/Lazurio/LazurioPlatform/issues/818). Rozhodnutý\n návrh počítá s primární databází na jednom serveru, horkou zálohou na druhém\n serveru, pokud ho Organizace má, a s kopií celé databáze každých 15 minut do\n Google Cloud Storage ve vlastním projektu Organizace v EU. Prostředí se\n připojuje jen ke službám svého serveru. Databáze Dolt mimo server je nastavení\n připojení `v4`, ne `v5`.\n\n## Modul, nebo Integrace\n\nCizí systém zůstává tam, kde je. Agent se k němu dostane jako k Integraci,\nnapříklad přes vlastní MCP server v Executoru, a vidí to, co mu připojení\ndovolí. Data zůstávají v tomto systému. Databáze `v4` slouží vnitřní práci\nOrganizace; produkční aplikace a databáze, které obsluhují její zákazníky, jsou\nsamostatné systémy mimo ni (rozhodnutí 0209).\n\nNaše hodnocení, ne technický limit: vlastní modul se vyplatí, když chcete vlastní\npostup a aplikaci, Integrace, když z velké části používáte cizí aplikaci.\n\n## Kdo co udělal\n\nZměna v repozitáři je Git commit s autorem a pull request si drží své review.\nAudit GitHubu jmenuje člověka, který změnil grant Teamu (rozhodnutí 0186). U `v4`\nje plánovanou publikací commit v Doltu s autorem a zprávou; stack profil to\noznačuje za návrh, který je třeba ověřit na prototypu, ne za ověřené chování.\n\n## Zdroje\n\n- [Lazurio Module Standard](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/module-standard.md) ve vydání v0.1.20 a [ve verzi v0.1.21-rc.1](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/module-standard.md) pro generace.\n- [Stack profily](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/stack-profiles.md) ve verzi v0.1.21-rc.1: datová vrstva každé generace, `app-data` a `app-database`.\n- [Synchronizace obsahu](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/content-sync.md) ve vydání v0.1.20.\n- [Přístup k Prostředí](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/environment-access.md) ve verzi v0.1.21-rc.1.\n- [Rejstřík rozhodnutí](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/decision-register.md) ve verzi v0.1.21-rc.1: rozhodnutí 0162, 0171, 0172, 0186, 0192, 0193, 0196, 0198, 0203, 0209, 0213 a 0228.\n- [Rozhodnutí F14](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f14--agent-manuals-live-in-the-lazurio-folder) (co modul drží) a [F52](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f52--one-module-generator-in-the-platform-a-persons-own-modules-in-their-personalspace) (jeden generátor, osobní moduly)." }, { "stableId": "lazurio-doc-data-access-security", "locale": "cs", "route": "/cs/data-access-security/", "canonicalUrl": "https://documentation.lazurio.ai/cs/data-access-security/", "sourcePath": "data/v2/docs/cs/data-access-security.md", "title": "Přístup k datům a bezpečnost", "summary": "Která data může agent použít a jak otestovat skutečná omezení přístupu.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Před nasazením ověřte, pod jakým účtem agent pracuje, které soubory a služby\nmůže použít a kdo schvaluje jeho výsledky. Samotné pokyny v chatu přístup\nneomezí. Technickou ochranu zajišťují oprávnění operačního systému,\nrepozitářů a služeb a případný sandbox AI nástroje. Lazurio k nim nepřidává\nvlastní univerzální sandbox.\n\n## Hranice důvěry\n\nHranice důvěry určuje, kam může dosáhnout přístup nebo napadený proces.\nOddělené složky například pomáhají uspořádat práci, ale samy nezabrání\nprogramu se stejnými právy číst jejich obsah.\n\n### Principál a Task Agent\n\nTask Agent pracuje jménem přihlášeného Principála a nemá vlastní oprávnění.\nPrompt mu nevytvoří přístup k repozitáři ani ke službě. Text pravidel zároveň\nneodebere schopnost, kterou už proces klienta má: čitelný soubor, aktivní\nrelace nebo zpřístupněný přihlašovací údaj mohou být pro klienta použitelné.\n\n### Organizace\n\nOrganizace představuje hranici dat a přístupů jedné firmy. V dokumentovaném\nmodelu zůstávají jednotlivé Organizace oddělenými repozitáři a organizacemi v\nGitHubu. Mezi nimi lze přenášet veřejné a obecně použitelné postupy, nikoli\ntajné údaje, zákaznická data, obchodní strategii nebo soukromé vrstvy\nkonkrétní firmy. Jedno zařízení je však stále jedna doména důvěry: adresáře a\nrepozitáře nejsou izolací od jiného procesu se stejným přístupem v operačním\nsystému. Kde kompromitace nesmí překročit hranici firmy, použijte samostatná\nzařízení nebo rovnocennou infrastrukturu.\n\n### Personalspace\n\nPersonalspace je soukromý prostor jednoho Principála, nikoli sdílené firemní\núložiště. Firemní informace, které potřebují další Kolegové, patří do\nschváleného úložiště Organizace. Personalspace nesmí sloužit k přenosu dat\nmezi přístupovými hranicemi.\n\n### Externí aplikace\n\n[Standard integrací](https://github.com/HumanAndMachines/Lazurio/blob/6416d27786296583baf08b75526cff225e2673f7/manual/external-app-integrations.md)\npro nové propojení upřednostňuje oficiální MCP server, potom oficiální CLI,\npovolené Composio, prověřené open-source řešení a nakonec prohlížeč pod\ndohledem uživatele. Vlastní MCP servery v Lazuriu spravuje Executor.\nPři práci s již připojenou aplikací agent použije její nástroj, Executor nebo\nComposio podle evidované cesty, v tomto pořadí.\n\nComposio je povolený zprostředkovatel jen tam, kde jeho použití dovoluje\nOrganizace nebo uživatel Osobního Prostředí. Composio uchovává přihlašovací\núdaje a zpracovává obsah volání. Připojené účty patří účtu a organizaci\nv Composiu; nepředpokládejte jejich oddělení podle zařízení. V Týmovém\nProstředí připojujte jen týmové účty.\n\nNové konektory ChatGPT nebo claude.ai, jiné sdílené brokery a servery založené\nna scrapingu nebo opětovném použití relace prohlížeče standard nepovoluje.\nVzdálený MCP přímo od poskytovatele je přípustný, pokud jeho konfiguraci\na token pro dané zařízení lze samostatně odvolat.\n\nZápis může vyžadovat oprávnění ke čtení i zápisu u poskytovatele. Už návrh\nuložený v připojené aplikaci může přenášet data. Podmínky účtů, uložení tokenů\na omezení zápisu ověřte podle [návodu k propojení aplikací](/cs/environment-app-connections/).\n\n### Tajné a přihlašovací údaje\n\n[Standard správy tajných údajů](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md)\nudržuje skutečné přihlašovací údaje mimo Git. Lokální úložiště jsou oddělená\npodle vlastníka nebo Organizace a verzované soubory obsahují pouze schémata,\nnázvy proměnných a pokyny. Konkrétní nasazení musí zajistit zabezpečení zařízení, ochranu záloh,\nobměnu přihlašovacích údajů a postup při incidentu. Samotný standard\ntato opatření nezaručuje. Vedle vyhrazených cest mimo Git\nlze použít schválené úložiště poskytovatele.\n\n## Hrozby, které je potřeba otestovat\n\n| Hrozba | Navržená ochrana | Přejímací test |\n| --- | --- | --- |\n| Zadání požaduje data jiné firmy | Oddělení Organizací a přístup pouze k vybranému kontextu | Ověřte zamítnutí v GitHubu pro identitu bez oprávnění a zvlášť otestujte hranici přístupu zvoleného klienta k lokálním souborům. |\n| Agent se pokusí zveřejnit nebo nasadit neschválenou změnu | Oprávnění v GitHubu nebo jiné službě a výslovný souhlas Principála | Pokuste se změnu sloučit nebo nasadit bez potřebného oprávnění či kontroly. |\n| Přihlašovací údaj se dostane do repozitáře | Vyhrazená úložiště mimo Git a skutečně zapnuté kontroly | Ověřte, které skenování je aktivní, a ve schváleném testovacím repozitáři vyzkoušejte neškodný testovací řetězec. |\n| Integrace má příliš široká oprávnění | Rozsah oprávnění nastavený u poskytovatele a samostatné odvolání každého přístupu | Načtěte aktuální oprávnění OAuth nebo aplikace a jedno z nich odvolejte, aniž ovlivníte ostatní. |\n| Prompt se pokusí změnit rozsah práce | Omezený kontext, skutečná oprávnění a schvalovací brány | Vložte neškodný canary a ověřte, že agent nerozšíří kontext ani nic nezveřejní bez příslušné brány. |\n| Zařízení se ztratí | Zabezpečení zařízení, šifrování, odvolání přístupů a postup obnovy | Proveďte interní cvičení pro odchod uživatele nebo ztrátu zařízení. |\n| Dokumentace přestane odpovídat chování systému | Odkazy na přesnou revizi zdrojů, data kontroly a validace v CI | Změňte použitý zdroj nebo nechte skončit jeho platnost a ověřte, že sestavení dokumentace selže. |\n\nKontroly tohoto repozitáře dokumentace zachycují úzký seznam známých\nsoukromých značek a vzorů lokálních cest. Nejde o obecné vyhledávání tajných\núdajů, statickou analýzu kódu (SAST) ani ochranu před únikem dat (DLP) pro\nvšechny Organizace. Zaznamenejte skutečně zapnuté ochrany; test jednoho\nrepozitáře není zárukou pro celý produkt.\n\n## Poskytovatel modelu a hostované služby\n\nVybrané prompty, soubory a výsledky nástrojů přenáší klient agenta a\nposkytovatel modelu, nikoli Lazurio. V podkladech k nasazení pojmenujte také\nklienta a způsob přihlášení.\n\nLazurio lze používat s různými klienty a poskytovateli AI modelů. Tato\ndokumentace proto nemůže dát jeden obecný příslib ohledně uchovávání dat nebo\njejich využití k trénování. Provozovatel musí u konkrétního nasazení uvést\nzvoleného poskytovatele, typ účtu, případný region, zapnutou telemetrii,\npodmínky uchovávání dat a případnou dohodu o nulové retenci. Tyto vlastnosti se\nod poskytovatele automaticky nepřenášejí na Lazurio jako celek.\n\nDashboard, hostovaný týmový workspace a osobní služby Resident/Buddy jsou\nvolitelné nebo se nasazují samostatně. U každé zapnuté služby určete\nprovozovatele, identitu, úložiště, síťovou cestu, zpracovatele dat, logy, dobu\nuchování, zálohy, mazání a postup při incidentu. Přítomnost zdrojového kódu\nnedokazuje, že služba běží.\n\n## Požadavky na auditní stopu\n\nV Gitu dohledáte změny souborů, pull requesty a schválení. Záznamy o nasazení\nukážou, která verze byla uvedena do provozu. Tyto záznamy ale samy nepokrývají\npřečtení lokálních souborů, požadavky na model ani volání externích API.\n\nU každého typu akce určete, kde se zaznamenává účet, cíl a výsledek a jak\ndlouho záznam zůstane dostupný. Pokud log chybí, uveďte to v posouzení nasazení.\n\n## Zbytkové riziko\n\nAni správně nastavená oprávnění nevyloučí všechny chyby. Oprávněný uživatel\nmůže zveřejnit citlivou informaci, schválit škodlivou změnu nebo povolit\nnástroji příliš široký přístup. Model se může řídit škodlivým obsahem a koncové\nzařízení může být napadené. Už návrhová větev nebo návrh u poskytovatele může\npřenášet data před konečným zveřejněním. Lazurio tato rozhodnutí vymezuje a zpřehledňuje,\nale nenahrazuje princip nejmenších oprávnění, zabezpečení zařízení, posouzení\ndodavatelů, testování ani odpovědnost lidí. Přesné veřejné zdroje a jejich\nlimity najdete v části [Bezpečnost a podklady k ověření](/cs/public-evidence/)." }, { "stableId": "lazurio-doc-deployment-operations", "locale": "cs", "route": "/cs/deployment-operations/", "canonicalUrl": "https://documentation.lazurio.ai/cs/deployment-operations/", "sourcePath": "data/v2/docs/cs/deployment-operations.md", "title": "Nasazení a provoz", "summary": "Jak připravit nasazení, určit odpovědné osoby a ověřit obnovu i odebrání přístupu.", "audience": [ "it-admin", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Nasazení Lazuria nemá jedinou podobu. V popsané verzi provozovatel spravuje\nlokální pracovní kopie a jednotlivé moduly. Sepište zařízení, repozitáře, AI nástroje, poskytovatele modelů a připojené\nslužby. U každé položky určete odpovědnou osobu.\n\n## Dostupné součásti a budoucí cíle\n\nNásledující stav odpovídá odkazované revizi zdrojů, ne automaticky nejnovější\nverzi produktu.\n\n| Součást | Stav | Co to znamená pro provoz |\n| --- | --- | --- |\n| Zdrojová pracovní kopie s Gitem a Bunem | Dostupná | Provozovatel spravuje přístupy k repozitářům, závislosti a aktualizace. |\n| Launchpad, Guide a Doctor | Dostupné | Lokální nástroje pro hledání a spouštění aplikací, návody a kontrolu instalace. Naslouchání na loopback adrese samo neověřuje identitu volajícího. |\n| CLI v0 | Experimentální | Používejte pevně určené verze a otestujte produkční automatizaci, která na CLI závisí. |\n| Balíčkované CLI a generovaný root bez Gitu | Budoucí cíl | Nezahrnujte je do seznamu dnes nasazovaných součástí. |\n| Dashboard, hostovaný workspace a Resident/Buddy | Volitelné, samostatně nasazované | U každé zapnuté služby evidujte vlastní identitu, síť, úložiště a provozovatele. |\n\n## Součásti nasazení\n\n1. **Zařízení Principála:** koncové zařízení, na kterém pracuje Kolega nebo AI\n Kolega.\n2. **Lokální root Lazuria:** rozhraní a spouštěcí prostředí nad povolenými\n pracovními kopiemi Organizací.\n3. **Repozitář Organizace:** hranice jedné firmy, její konfigurace a sdílené\n autoritativní podklady.\n4. **Workspace Moduly:** aplikace s vlastními technickými podmínkami,\n závislostmi, kontrolami a cílem nasazení.\n5. **GitHub:** systém identit a oprávnění pro repozitáře, Teamy, historii\n kontrol a vynucování pravidel větví v dokumentovaném výchozím modelu.\n6. **Klient a poskytovatel AI modelu:** jejich výběr závisí na konkrétním\n nasazení a každý z nich má vlastní obchodní a datové podmínky.\n7. **Externí aplikace:** jednotlivě povolené MCP servery, nástroje příkazové\n řádky nebo řízené postupy v prohlížeči s oprávněními u daného poskytovatele.\n\nNe každý modul musí běžet na veřejném serveru. Některé jsou lokální nástroje,\njiné interní služby a další zpřístupňují veřejný web, například tuto\ndokumentaci. O způsobu provozu a návratu k předchozí verzi se rozhoduje pro\nkaždý modul samostatně.\n\n## Postup zavedení\n\n### 1. Vymezte Organizaci\n\nUrčete organizaci v GitHubu, repozitáře, Teamy, administrátory a vlastníka\nprocesu pro odebírání přístupů. Zároveň stanovte, která firemní data do\nOrganizace patří a která jsou z ní výslovně vyloučená.\n\n### 2. Stanovte minimální zabezpečení zařízení\n\nZdokumentujte vlastnictví zařízení, šifrování, aktualizace, dohled nad\nkoncovými zařízeními, lokální zálohy, vzdálené smazání a reakci na incident.\nRozumným výchozím bodem je jedna Organizace na zařízení. Více Organizací na\njednom zařízení je vědomá výjimka uvnitř jedné domény důvěry, ne tvrdé oddělení\ntenantů. I zařízení vlastněné Principálem musí při práci s firemními daty\nsplňovat pravidla Organizace.\nPřihlášení k poskytovatelům musí být samostatně pojmenovaná a odvolatelná.\n\n### 3. Vyberte klienta a poskytovatele modelu\n\nZaznamenejte používaného klienta, poskytovatele modelu, typ účtu, způsob\npřihlášení, pravidla pro zpracování a uchovávání dat, telemetrii a smluvního\nvlastníka. Posouzení zopakujte při změně klienta, poskytovatele nebo typu účtu.\n\n### 4. Povolte jen potřebné repozitáře a integrace\n\nZačněte jedním jasně vymezeným scénářem. Principál má mít přístup pouze k\nrepozitářům a rozsahům oprávnění, které pro něj potřebuje. Postupujte podle\nveřejného [standardu pro externí aplikace](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md)\na vyzkoušejte také odebrání přístupu.\n\n### 5. Nastavte schvalování výsledků\n\nPro každý repozitář nastavte ochranu větví, povinné kontroly a review. U zpráv,\ninfrastruktury, plateb, tajných údajů a nevratných operací pojmenujte skutečné\noprávnění nebo potvrzení na straně poskytovatele. Pokud žádné neexistuje,\nuveďte, že schválení musí zajistit pracovní postup, nikoli software.\n\n### 6. Proveďte přejímací testy\n\nOvěřte běžný průběh úkolu, zamítnutý přístup k repozitáři, hranici přístupu\nklienta k lokálním souborům, odvolání přihlašovacího údaje, selhání CI, návrat\nk předchozí verzi, odebrání přístupů a eskalaci incidentu.\nVýsledky testů uložte spolu s rozhodnutím o nasazení.\n\n## Aktualizace a návrat k předchozí verzi\n\nZdrojové soubory Lazuria, konfigurace Organizace a jednotlivé moduly se\nverzují nezávisle. Aktualizace mají posouvat čisté primární pracovní kopie,\nprojít deklarovanými kontrolami a vstoupit do produkce z přesně určeného\nzkontrolovaného commitu. Návrat k předchozí verzi se týká jen dotčeného\nrepozitáře nebo nasazení; nesmí obnovit odvolané přihlašovací údaje ani\nzastaralá oprávnění.\n\n## Otázky, které musí zodpovědět provozovatel\n\n- Kdo spravuje koncová zařízení, Teamy v GitHubu, závislosti a externí integrace?\n- Který poskytovatel modelu a jaké podmínky účtu platí?\n- Kde běží jednotlivé moduly a ze kterých sítí jsou dostupné?\n- Jaké auditní záznamy vznikají, jak dlouho se uchovávají a kdo řeší incidenty?\n- Jak se lokální data a přihlašovací údaje zálohují, mažou a obnovují?\n- Které součásti jsou stabilní, experimentální, volitelné nebo zatím pouze plánované?\n- Kdo poskytuje podporu a jaká doba reakce je případně smluvně přislíbená?\n\nOdpovědi uložte k podkladům pro schválení nasazení. Pokud některá chybí,\nurčete, kdo ji doplní, ještě před zahájením produkčního provozu." }, { "stableId": "lazurio-doc-environment-app-connections", "locale": "cs", "route": "/cs/environment-app-connections/", "canonicalUrl": "https://documentation.lazurio.ai/cs/environment-app-connections/", "sourcePath": "data/v2/docs/cs/environment-app-connections.md", "title": "Napojení Prostředí na aplikace", "summary": "Jak vybrat propojení, schválit oprávnění a později přístup odvolat.", "audience": [ "builder", "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-decision-0162", "lazurio-external-apps-0162", "lazurio-composio-runbook", "lazurio-platform-tools-decisions", "lazurio-platform-environment-tools", "lazurio-platform-decision-f19", "lazurio-platform-release-v0-1-7", "lazurio-platform-release-v0-1-8-rc-35", "lazurio-platform-release-current", "lazurio-platform-release-v0-1-9", "lazurio-platform-tools-screen-review", "lazurio-platform-composio-write-gate-question", "lazurio-platform-composio-custody-question", "lazurio-platform-composio-shared-connections-question", "composio-authentication", "composio-token-custody", "composio-data-retention", "composio-zero-data-retention", "composio-pricing" ], "markdown": "Vy rozhodujete, ke kterým aplikacím se vaše Prostředí připojí. Agenti v něm\njednají všude, kam sahají přihlášení na jeho zařízení. Organizace může pro svá\nProstředí vypnout Composio; nic dalšího Lazurio centrálně nevynucuje. Před\nprvním připojením si přečtěte [podmínky a rizika](#co-přijímáte-před-prvním-připojením)\na ověřte [stav popsaných funkcí](#co-je-dostupné-dnes).\n\n**Prostředí** je místo, kde pro vás pracují agenti. Může běžet na vašem\npočítači nebo být hostované jako Osobní, Pracovní či Týmové Prostředí.\n**Machine** je technické označení počítače nebo virtuálního počítače, na kterém\nProstředí běží. **Uživatel** je člověk, pro kterého a se kterým agenti pracují\na který Prostředí a jeho agenty ovládá. **Integrace** je aplikace nebo služba\npřipojená k Prostředí. Pravidla níže platí pro každý druh Prostředí.\n\n## Model v kostce\n\nPříkaz `lazurio` a rozhraní Apps (ve zdrojích Launchpad) používají stejné\njádro. Spravují nástroje Prostředí a připravují instrukce pro agenty.\nCodex, Claude Code, `gh`, Composio i další nástroje jsou programy příkazové\nřádky nainstalované a přihlášené na zařízení. Jedno Prostředí může sloužit pro\npráci ve více Organizacích. Agenti v něm pracují s plným přístupem: smějí\nvšechno, co jim Prostředí dovolí, bez sandboxu a bez schvalování jednotlivých\npříkazů. Potřebujete-li užší práva nebo oddělené kontexty, založte další\nProstředí a přihlaste v něm jiné účty.\n\n## Kterou cestou aplikace jde\n\nKaždá Integrace má právě jednu cestu. GitHub CLI `gh` je povinné v každém\nProstředí.\n\n1. **Vlastní nástroj** z Nastavení → Nástroje, třeba `gh` pro GitHub nebo\n `wacli` pro WhatsApp.\n2. **Přímo přes Executor**, MCP bránu Prostředí. Lazurio ji instaluje\n a provozuje a odpovídá jen na localhostu. Tudy jde aplikace, u které je stejně\n snadný její oficiální MCP server, nebo firemní aplikace, kterou nastavila vaše\n Organizace.\n3. **Přes Composio** s vaším vlastním účtem Composia, kde to Organizace dovolí.\n\nAgenti je používají v tomto pořadí a dostanou je všichni agenti a boti\nProstředí. Aplikace, která už je připojená, si svou cestu ponechá. Kde Prostředí\nExecutor nemá, jako dnes na vašem počítači, jde aplikace další cestou.\n\nAgenti Integraci nikdy nepřipojují sami, protože přihlášení je váš souhlas.\nPošlou vám odkaz na její kartu v **Apps → Integrace**. Vlastní MCP server patří\ndo Executoru Prostředí a přidává se jen na váš výslovný pokyn.\n\nFiremní aplikace je volbou celé Organizace a pak se připojuje přímo. Dnes je to\nMicrosoft 365, který Lazurio podporuje od vydání v0.1.9. Jeho nastavení se\npřidává pull requestem s review do repozitáře Organizace, protože úprava\nv Přehledu Organizace je rozhodnutá, ale zatím nenasazená. Viz\n[Microsoft 365 pro IT a Admina Organizace](/cs/microsoft-365/). Google Workspace jako firemní\naplikace je rozhodnutý, ale zatím neimplementovaný, takže aplikace Googlu jdou\ncestami výše.\n\nU připojení, které Apps → Integrace nenabízí, navrhuje standard integrací Lazuria\ntoto pořadí. Vyhrává první cesta, která funguje, a poslední slovo máte vy:\n\n1. **oficiální MCP server** poskytovatele, vzdálený nebo vlastní, přidaný do\n Executoru;\n2. **oficiální CLI** poskytovatele;\n3. **Composio**, když poskytovatel nemá vhodný oficiální MCP server ani CLI\n a Composio je povolené;\n4. **prověřený open-source MCP server nebo CLI**, připnutý na konkrétní vydání\n nebo commit, s ověřeným vydavatelem a licencí;\n5. **prohlížeč** pod vaším dohledem, když nic z předchozího neexistuje.\n\nV žádném kroku nejsou dovolené: scraping webu, opakované použití cookies\nz prohlížeče, jiné sdílené brokery než Composio, klíče a tokeny v chatu, Gitu\nnebo logu a nové konektory ChatGPT nebo claude.ai.\n\n**Pravidlo.** Aplikace, pluginy a konektory ChatGPT, které harness nabízí, agenti\nnepoužívají, dokud je nepovolí Organizace, v Osobním Prostředí vy, a i pak jen pro\naplikace mimo Integrace. Pravidlo dostávají v instrukcích Folderu. Přepínač\nOrganizace je rozhodnutý, ale zatím nenasazený.\n\n**Co Lazurio dělá technicky.** Kde povolené nejsou, přidá Lazurio v Prostředí na\nserveru do konfigurace Codexu dvě vlastní nastavení: aplikace ve výchozím stavu\nvypnuté a žádné návrhy pluginů. Je to pojistka, ne záruka:\n\n- Aplikace, kterou konfigurace zapíná jménem, zůstává zapnutá. Lazurio ji hlásí\n jako výjimku.\n- Konfiguraci, kterou Lazurio neumí přečíst nebo nepodporuje, třeba soubor, který\n nejde zpracovat, nezmění a nahlásí.\n- Kde jsou aplikace povolené, Lazurio svá nastavení zase odebere.\n- Týká se to jen Codexu v Prostředí na serveru. Váš vlastní počítač Lazurio nikdy\n nemění, konektor tam může běžet dál.\n\nSkutečný stav ukazuje spodní část Apps → Integrace → Vše, která varuje, když\naplikace povolené nejsou a Codex je přesto má. Pro IT a agenty vypíše totéž\n`lazurio integrations chatgpt-apps`.\n\n## Katalog nástrojů\n\nKatalog uvádí nástroje, které lze agentům určit k používání. Každý má\n**úroveň** a **způsob nastavení**.\n\n| Nástroj | Příkaz | Úroveň | Způsob nastavení |\n| --- | --- | --- | --- |\n| GitHub CLI | `gh` | Povinný: vždy zapnutý, nejde vypnout | Launchpad |\n| Executor | `executor` | Povinný; nabízí se v Prostředí na serveru s Linuxem | Vlastní nastavení Lazuria |\n| Composio | `composio` | Doporučený | Launchpad |\n| Bitwarden CLI | `bw` | Doporučený; nabízí se v Prostředí na serveru s Linuxem | Vlastní postup |\n| wacli | `wacli` | Volitelný | Launchpad |\n| gogcli | `gog` | Volitelný; nabízí se na počítači a v Osobním Prostředí na serveru, ne v Pracovním | Agent |\n| Neon CLI | `neon` | Volitelný | Agent |\n\n- **Nastavení v Launchpadu** má připravenou instalaci a přihlášení, v Launchpadu\n i na příkazové řádce. Viz [Připojení nástroje](#připojení-nástroje).\n- **Nastavení agentem** vám dá připravený prompt. Zkopírujete ho do nového chatu\n s agentem; ten nástroj nainstaluje a provede vás přihlášením.\n\nKaždá položka katalogu říká agentovi, jak má být nainstalovaný nástroj nastavený.\nKdyž připravená instalace selže, Lazurio nabídne prompt, kterým ji dokončí agent.\nNástroj, který Prostředí nenabízí, se do instrukcí agentů nedostane a nejde\nzapnout.\n\nV Prostředí Organizace mají přednost nastavení Organizace. Kde Composio nepovolují,\nagenti ho nepoužívají, ať jste zvolili cokoli: Nastavení → Nástroje ukáže jeho\npřepínač zamčený a nenabídne přidání ani přihlášení.\n\n## Připojení nástroje\n\nV Launchpadu otevřete **Nastavení → Nástroje**. Každý nástroj má řádek se svým\nskutečným názvem, jednou větou o tom, k čemu slouží, a stavem: **Připojeno jako**\núčet, nebo **Nepřipojeno**. Řádek nabízí jednu akci:\n\n- **Přidat a připojit**, když nástroj ještě není nainstalovaný;\n- **Připojit**, když je nainstalovaný, ale nepřihlášený;\n- **Propojit SSH klíč**, když je `gh` přihlášené, ale klíč zařízení není propojený;\n- **Odpojit**, když je přihlášený;\n- **Připojit s pomocí agenta** u nástroje, který nastavuje agent.\n\nPro IT a agenty: stejný postup běží na příkazové řádce přes\n`lazurio tools install `, `lazurio tools login `\na `lazurio tools logout `.\n\nInstalace proběhne pro aktuálního uživatele, bez administrátorských práv,\nz oficiálního zdroje nástroje; Composio se instaluje jako vlastní sestavení jeho\nCLI od Lazuria. Nástroje, který už funguje, se nedotkne. API klíč nikdy\nnekopírujete a přihlášení můžete dokončit na libovolném zařízení:\n\n- **`gh`** ukáže jednorázový kód a stránku GitHubu pro přihlášení zařízení.\n Otevřete stránku a kód zadejte. Lazurio pak propojí SSH klíč zařízení\n s vaším účtem.\n- **`composio`** ukáže odkaz. Otevřete ho a přihlaste se. Prostředí Organizace\n pak pracuje v organizaci Composia pojmenované po této Organizaci: Lazurio ji\n vybere samo, a když ještě neexistuje, ukáže jeden krok, kterým ji založíte.\n Osobní Prostředí používá výchozí organizaci účtu, kterou zvolíte při přihlášení.\n- **`wacli`** ukáže QR kód, který naskenujete ve WhatsAppu, nebo se místo toho\n spáruje přes vaše telefonní číslo.\n\nOdpojení `gh` nebo `composio` zapomene přihlášení jen na tomto zařízení. Má-li\npřístup skončit i u poskytovatele, zrušte ho i tam. Odpojení `wacli` zařízení\nod účtu odpojí. Každé přihlášení na zařízení jde ukončit samostatně.\n\nPřipravené postupy běží na Linuxu a macOS. Na Windows se odmítnou a místo nich\nse nabídne připravený prompt pro agenta.\n\n## Co dělá přepínač „Používají agenti“\n\nKaždý řádek má přepínač **Používají agenti**. Nástroj, který v Launchpadu\npřipojíte, ho zapne sám, aby ho agenti mohli rovnou použít; vypnout ho můžete\nkdykoli. Pro IT a agenty: na příkazové řádce ho ovládají `lazurio tools enable`\na `lazurio tools disable`.\n\nNástroj, který agenti používají, se zapíše do instrukcí pro agenty v Lazurio\nFolderu na tomto zařízení. **Lazurio Folder** je složka, jejíž vygenerované\ninstrukce a manuál agenti čtou při startu. Executor spravuje MCP servery\na zpřístupňuje je agentům. Kde Prostředí Executor nemá, agenti používají MCP\nservery dostupné v jejich klientovi.\n\nPřepínač mění instrukce pro agenty. Neuděluje přístup, nic neinstaluje,\nnepřihlašuje účet ani nepřipíná verzi. Vypnutí nástroj z instrukcí odebere.\nNeodhlásí vás a neodpojí žádnou aplikaci: přístup odeberete odpojením aplikace\nv Apps → Integrace nebo odpojením nástroje.\n\nK nástroji, který agenti používají, můžete v jeho podrobnostech přidat krátkou\npoznámku, třeba „pošta zákazníků jen ke čtení“. Agenti ji čtou v manuálu Folderu.\nPoznámka agenty instruuje, ale přístup technicky neomezuje. Vypnutím nástroje\nse poznámka odebere.\n\n## Připojení aplikace\n\n1. Rozhodněte, které Prostředí připojujete. V Pracovním a Týmovém Prostředí platí\n pravidla Organizace, v Osobním rozhodujete vy.\n2. Otevřete **Apps → Integrace** a najděte aplikaci. Odkaz na její kartu vám může\n poslat agent.\n3. Zvolte **Připojit**. Když aplikace jde přes Composio a to ještě není přihlášené,\n přihlásíte se nejdřív do Composia.\n\n
\n \"Stránka\n
Karta ukazuje cestu aplikace. Účty na obrázku jsou příklady.
\n
\n\n4. Přihlaste se přímo v aplikaci účtem, který mají agenti používat.\n5. Na kartě ověřte, že je připojený správný účet.\n\n
\n \"Karta\n
Připojená aplikace ukazuje svou cestu a účet.
\n
\n\n6. Pokud agenti nemají mít celou aplikaci, omezte připojení dřív, než jim\n předáte práci.\n\n[Lekce 6 úvodního kurzu](/cs/guide/course/connected-apps/) vysvětluje záložky a co\nsmějí agenti s připojenou aplikací dělat a [Propojení\nnástrojů](/cs/guide/tool-connections/) provede běžnými připojeními.\n\n\n\n### Účet Prostředí\n\nPřipojení přes Composio patří účtu Composia a jeho organizaci, ne zařízení. Dvě\nProstředí přihlášená stejným účtem a stejnou organizací v Composiu sdílejí svá\npřipojení. Plyne to z dokumentace Composia a zdrojového kódu jeho CLI, [ověřeno\n7. 10. 2026](https://github.com/Lazurio/LazurioPlatform/issues/45) bez živého\ntestu. Samostatné zařízení proto neberte jako oddělení připojených účtů. Když se\nmají přístupy lišit, použijte samostatný účet Composia.\n\n\n\n### Týmové Prostředí\n\nTýmové Prostředí sdílejí členové Teamu, takže účty v něm přihlášené\npatří celému Prostředí. Může je používat každý člen Teamu i každý agent v něm.\n\n- **GitHub.** Týmové Prostředí pracuje v GitHubu přes GitHub App Organizace,\n Lazurio for GitHub. Osobní účty GitHubu se v něm nepřihlašují.\n- **Composio.** Týmové Prostředí se přihlašuje týmovým účtem Composia, nikdy\n osobním účtem člověka.\n- **Ostatní aplikace.** Přihlašujte jen týmové účty, třeba sdílenou schránku nebo\n kalendář, které smí používat celý Team. Osobní účty připojujte ve svém\n Prostředí. Launchpad na to před přihlášením upozorní a agent se před připojením\n aplikace zeptá, který týmový účet připojit.\n\n## Doporučení pro Adminy Organizace\n\nKromě nastavení Organizace Lazurio nevynucuje ani nesleduje, jak uživatel své\nProstředí připojuje.\n\n- **Nastavení Organizace.** Zda je Composio povolené, je nastavení Organizace.\n Kde říká ne, žádná aplikace jejích Prostředí přes Composio nejde.\n- **Účty a organizace v Composiu.** Každý uživatel se přihlašuje vlastním účtem\n Composia a pracuje ve své vlastní organizaci Composia pojmenované po Organizaci\n Lazuria, ve které nikdo další není. Týmové Prostředí používá týmový účet.\n Lazurio nedrží žádný klíč organizace Composia a nezakládá sdílené organizace.\n Názvy pomáhají vybrat správné připojení; skutečný přístup ověřte u poskytovatele.\n- **Integrace sdílené celou Organizací** patří do sledovaného katalogu integrací\n Organizace přes pull request s review. Katalog drží příkazy, adresy a názvy\n proměnných prostředí, nikdy jejich hodnoty. Je to doporučení a sdílená definice,\n ne brána: nástroj, který uživatel používá jen ve svém Prostředí, se do něj\n nezapisuje.\n\n## Zápisy a Publikace\n\nPřipojená aplikace je agentům dostupná celá, včetně zápisu a mazání, dokud ji\nneomezíte. Možnost zapisovat není souhlas s publikací. Navenek viditelný zápis,\ntřeba odeslání e-mailu nebo změnu sdíleného kalendáře, agent udělá jen na váš\npokyn. Plný přístup uvnitř Prostředí na tom nic nemění.\n\nDnes je to pracovní pravidlo, které agenti dodržují. Lazurio zápis přes připojenou\naplikaci neblokuje. Executor umí volání pozastavit ke schválení, ale znovu ho\nspustí sám agent, podle stejného pravidla. Zda vlastní filtry Composia platí na\nvšech cestách, je [otevřená otázka](https://github.com/Lazurio/LazurioPlatform/issues/39).\nFiremní aplikace Microsoft 365 má jeden technický limit: nemá oprávnění\n`Mail.Send`, takže agent přes ni připraví koncept, ale poštu neodešle. Odesílání\nby Organizace musela vědomě přidat jako samostatné oprávnění se souhlasem správce;\nnastavení pro to je rozhodnuté, ale zatím nenasazené.\n\n## Co přijímáte před prvním připojením\n\nPřed připojením si projděte tyto podmínky a rizika:\n\n- **Tokeny a obsah volání drží třetí strana.** U Composia drží tokeny aplikací\n a obsah volání Composio, pokud Organizace neprovozuje vlastní instalaci.\n [Dokumentace Composia ke správě tokenů](https://docs.composio.dev/docs/security/token-custody)\n říká, že ve výchozím cloudovém nasazení má přihlašovací údaje v držení Composio.\n Jako alternativy popisuje privátní VPC, vlastní hostování a klíče spravované\n zákazníkem a uvádí, že i s vlastní OAuth aplikací Composio tokeny připojených\n účtů ukládá. Lazurio tyto možnosti, jejich podmínky ani cenu neověřilo.\n- **Composio si drží logy.** Jeho [stránka o uchování\n dat](https://docs.composio.dev/docs/security/data-retention), přečtená 6. 11.\n 2026, říká, že logy spuštění nástrojů zůstávají až rok na všech tarifech a že\n soubory připravené pro nástroj se mažou po 24 hodinách. [Zero Data\n Retention](https://docs.composio.dev/docs/security/zero-data-retention) přestane\n ukládat obsah krytých volání. Je dostupné na placených tarifech za cenu podle\n využití, v Enterprise je v ceně a nezastavuje zpracování během volání. Aplikace\n připojené přes vlastní OAuth aplikaci Composia kryje jen v Enterprise.\n- **Kde data jsou a za jakých podmínek.** Veřejné stránky Composia přečtené téhož\n dne neuvádějí region hostování a pro seznam subdodavatelů a podmínky zpracování\n odkazují na jeho Trust Center. [Ceník](https://composio.dev/pricing) uvádí\n Data Processing Addendum u tarifů Pro a Enterprise, ne u Hobby. Lazurio tyto\n podmínky neprověřilo a zda Organizacím doporučit Zero Data Retention, je\n [stále otevřené](https://github.com/Lazurio/LazurioPlatform/issues/40).\n- **Přihlášení sahá všude, kam sahá účet.** Agenti mohou použít všechno, co smí\n přihlášený účet, nejen to, co potřebuje aktuální úkol.\n- **Více Organizací na jednom zařízení je jedno Prostředí.** Agenti volí nástroj\n té Organizace, pro kterou pracují, a data mezi Organizacemi nepřenášejí. Je to\n pracovní pravidlo, ne technická hranice. Kde hranice platit musí, použijte\n oddělená Prostředí.\n- **Organizace do vaší organizace v Composiu nevidí.** Nikdo další v ní není\n a Lazurio k ní nedrží žádný klíč.\n\n\n\n## Stav vydání k 6. listopadu 2026\n\nPoslední finální vydání [LazurioPlatform](https://github.com/Lazurio/LazurioPlatform)\nje [v0.1.20](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20)\nze 4. 11. 2026.\n\n| Funkce | Stav | Doklad |\n| --- | --- | --- |\n| Katalog s úrovněmi a způsoby nastavení; `lazurio tools list`, `enable`, `disable`, `note` a `prompt`; nástroje v instrukcích Folderu | Vydáno od v0.1.7 (27. 9. 2026) | [Rozhodnutí F18](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f18--enabled-tools-of-the-environment), [vydání v0.1.7](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.7) |\n| Připravená instalace a přihlášení nástrojů `gh`, `composio` a `wacli` na Linuxu a macOS | Vydáno od v0.1.7 (27. 9. 2026) | [Rozhodnutí F19](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f19--curated-installation-and-login-of-catalog-tools), [nástroje Prostředí](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/environment-tools.md) |\n| **Nastavení → Nástroje** s akcemi Připojit a Odpojit, přihlášení, které zapne přepínač **Používají agenti**, propojení SSH klíče zařízení přes `gh`, `gh` v Týmovém Prostředí přes Lazurio for GitHub | Poprvé v kandidátech v0.1.8 ([v0.1.8-rc.35](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.35), 6. 10. 2026); ve v0.1.20 | [Sekce Nástroje](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#tools-section) |\n| **Apps → Integrace**, Executor v Prostředí na serveru, sestavení Composia od Lazuria, nastavení Composia v Organizaci, dvě nastavení Codexu proti aplikacím ChatGPT v Prostředí na serveru, s výjimkami popsanými výše | Ve v0.1.20 | [Integrace](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md) |\n| Firemní aplikace Microsoft 365 (Outlook, OneDrive, SharePoint) bez `Mail.Send`, nastavená pull requestem s review | Podporováno od [v0.1.9](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.9) (19. 10. 2026), s [otevřenými kontrolami](/cs/microsoft-365/) | [Integrace](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md#the-microsoft-365-company-app) |\n| Přepínač Organizace pro aplikace ChatGPT; nastavení Microsoftu 365 v Přehledu Organizace včetně odesílání pošty | Rozhodnuto, zatím nenasazeno | [Rozhodnutí 0162](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0162--integrations-applications-connected-to-an-environment-one-path-each) |\n| Google Workspace jako firemní aplikace | Rozhodnuto, zatím neimplementováno | [Integrace](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md), [rozhodnutí 0162](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0162--integrations-applications-connected-to-an-environment-one-path-each) |\n| Předání připraveného promptu nástroje rovnou do chatu s agentem (dnes se ukáže ke zkopírování); připravené postupy na Windows | Plánováno, není postaveno | [Rozhodnutí F19](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f19--curated-installation-and-login-of-catalog-tools) |\n\nOvěřte, kterou verzi vaše Prostředí skutečně používá. Starší verze může tyto akce\npojmenovávat jinak nebo je nemít: v0.1.7 je nazývá **Nainstalovat a přihlásit**,\n**Přihlásit** a **Odhlásit** a přepínač sama nezapne.\n\n## Zdroje\n\n- [Rejstřík rozhodnutí Lazuria](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md) ve vydání v0.1.20: rozhodnutí 0162 s dodatky, 0170 (Prostředí), 0172 (plný přístup uvnitř Prostředí) a 0175 (uživatel).\n- [Integrace](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md) ve vydání v0.1.20: pravidlo cest, organizace Composia v Prostředí, aplikace ChatGPT a schvalování v Executoru.\n- [Standard napojení externích aplikací](https://github.com/HumanAndMachines/Lazurio/blob/46867061e6d0abf7781f9f9d0b93791be32da4d9/manual/external-app-integrations.md): pořadí cest, co zůstává vyloučené a katalog integrací Organizace.\n- [Rozhodnutí F17, F18 a F19 v LazurioPlatform](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f18--enabled-tools-of-the-environment) s jejich dodatky: nástroje uživatele, katalog, instrukce Folderu, poznámka, připravené přihlášení, `gh` v Týmovém Prostředí a týmové účty.\n- [Nástroje Prostředí](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/environment-tools.md): katalog, kde se nástroj nabízí, co rozhoduje Organizace a příkazy `lazurio tools`.\n- [Sekce Nástroje v Launchpadu](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#tools-section): co sekce ukazuje a jaké nabízí akce.\n- LazurioPlatform [vydání v0.1.20](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20), [vydání v0.1.7](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.7) a [kandidát vydání v0.1.8-rc.35](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.35).\n- [Přihlášení v Composiu](https://docs.composio.dev/docs/authentication), [správa tokenů](https://docs.composio.dev/docs/security/token-custody), [uchování dat](https://docs.composio.dev/docs/security/data-retention), [Zero Data Retention](https://docs.composio.dev/docs/security/zero-data-retention) a [ceník](https://composio.dev/pricing): jak přihlášení, přihlašovací údaje, logy a podmínky popisuje samo Composio." }, { "stableId": "lazurio-doc-faq", "locale": "cs", "route": "/cs/faq/", "canonicalUrl": "https://documentation.lazurio.ai/cs/faq/", "sourcePath": "data/v2/docs/cs/faq.md", "title": "Časté otázky", "summary": "Odpovědi k produktu, přístupům, datům a schvalování výsledků.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody", "microsoft-copilot-architecture" ], "markdown": "## Je Lazurio vlastní AI model?\n\nNe. Lazurio poskytuje prostředí pro práci s firemními podklady a aplikacemi.\nSamotnou AI zajišťuje zvolený nástroj a poskytovatel modelu. Jejich ceny,\nzabezpečení a podmínky zpracování dat posuzujte samostatně.\n\n## Je Lazurio hotový balíčkovaný produkt?\n\nNe. V odkazované revizi se Lazurio spouští ze zdrojové pracovní kopie\ns Gitem a Bunem. CLI v0 je experimentální a balíčkovaná instalace je plánovaná. Lazurio je momentálně dostupné pod licencí\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md);\npodrobnosti o licenci a zralosti produktu najdete v části [Bezpečnost a\npodklady k ověření](/cs/public-evidence/#podoba-produktu-a-jeho-zralost).\n\n## Nahrazuje Lazurio Microsoft Copilot?\n\nNe ve všech situacích. Microsoft Copilot je určený především pro práci v\nprostředí Microsoft 365. Lazurio se soustředí na řízenou a dohledatelnou práci\nnapříč repozitáři a dalšími nástroji. Organizace může používat jedno řešení,\nnebo obě s jasně oddělenými rolemi. Podrobnosti najdete ve [srovnání Lazuria a\nMicrosoft Copilotu](/cs/lazurio-vs-microsoft-copilot/).\n\n## Dostane se agent ke všemu, kam se dostane uživatel?\n\nZáleží na nastavení. Agent může použít soubory, účty a nástroje dostupné\njeho běžícímu procesu. Rozhodují oprávnění operačního systému, sandbox AI\nnástroje, pracovní prostor a přístupy ke službám. Prompt nová práva neudělí\na sám ani neodebere ta existující. Otestujte, co agent smí i co má být zamítnuto.\n\n## Jsou všechna data Lazuria uložená lokálně?\n\nNe vždy. Kořen Lazuria a pracovní kopie repozitářů jsou v popsaném modelu\nlokální. Git repozitáře, požadavky odesílané poskytovateli modelu, externí\naplikace a nasazené Moduly však mohou využívat infrastrukturu dalších\nposkytovatelů. Mapa datových toků proto musí být součástí schválení konkrétního\nnasazení.\n\n## Kde Lazurio ukládá tajné a přihlašovací údaje?\n\nSkutečné tajné údaje se nemají ukládat do Gitu. Patří do vyhrazených lokálních\núložišť mimo verzované soubory nebo do schváleného úložiště poskytovatele.\nRepozitář obsahuje pouze schémata, požadované názvy proměnných a pokyny. Více\nuvádí veřejný [standard správy tajných údajů](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md).\n\n## Co brání agentovi zveřejnit škodlivou změnu?\n\nLazurio odděluje editovatelný návrh od jeho zveřejnění nebo nasazení. U změn v\nGitu rozhodují oprávnění k repozitáři, pravidla větví, povinné kontroly a\nschválení. Ostatní služby musí mít odpovídající oprávnění a schvalovací\nmechanismy na straně poskytovatele. Tato opatření snižují riziko, ale\nnezaručují, že člověk nikdy neschválí škodlivý výsledek.\n\n## Splňuje Lazurio konkrétní normu nebo certifikaci?\n\nTato dokumentace žádnou konkrétní certifikaci ani obecnou shodu s regulatorním\nrámcem netvrdí. Organizace musí posoudit skutečnou podobu svého nasazení,\npoužité dodavatele, zavedená opatření a vlastní právní povinnosti.\n\n## Existuje auditní stopa?\n\nPro změny v Gitu ano: lze je spojit s commity, pull requesty, schváleními a\nzáznamy o nasazení. Akce u poskytovatelů a na zařízeních vyžadují vlastní logy. Lazurio\nautomaticky nezaznamenává přečtení lokálních souborů ani požadavky na model. Organizace by proto měla určit, který systém\nzaznamenává každou důležitou akci a jak dlouho se záznam uchovává.\n\n## Jsou Organizace na jednom zařízení od sebe izolované?\n\nJsou to samostatné hranice repozitářů a GitHubu, nikoli oddělená prostředí operačního systému. Jedno zařízení je jedna doména důvěry. Pokud kompromitovaný proces\nnesmí přejít z jedné firmy do druhé, použijte oddělená zařízení nebo\nrovnocennou infrastrukturu.\n\n## Má dokumentace vlastní MCP server?\n\nZatím ne. AI agenti mohou už dnes použít [llms.txt](/llms.txt) a strukturovaný\n[content-index.json](/content-index.json). Plánovaný MCP server bude pouze\nzpřístupňovat stejný veřejný obsah pro čtení; nemá se stát druhým zdrojem\ndokumentace.\n\n## Kde má IT s posouzením začít?\n\nZačněte [přehledem pro správce IT](/cs/it-administrators/). Potom porovnejte\nstránky [Přístup k datům a bezpečnost](/cs/data-access-security/) a [Nasazení a\nprovoz](/cs/deployment-operations/) s navrhovanou konfigurací vaší organizace." }, { "stableId": "lazurio-doc-github-baseline", "locale": "cs", "route": "/cs/github-baseline/", "canonicalUrl": "https://documentation.lazurio.ai/cs/github-baseline/", "sourcePath": "data/v2/docs/cs/github-baseline.md", "title": "GitHub pro novou Organizaci", "summary": "Nastavení GitHubu, které Vlastník Organizace připraví a ověří před prvním Přispěvatelem modulu: aplikace, výchozí oprávnění none, Team builders, infra jen pro Adminy Organizace, chráněná main a merge.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-gen4", "lazurio-decision-register-admin-ai", "lazurio-decision-0234-role-names", "lazurio-first-organization-rollout", "lazurio-organization-install", "lazurio-root-agent-rules", "lazurio-platform-folder-roles", "lazurio-platform-decision-f31", "lazurio-platform-team-github", "lazurio-github-app-broker", "github-organization-roles", "github-base-permissions", "github-install-app", "github-protected-branches", "github-rulesets", "github-code-owners", "github-repository-collaborators", "github-rest-pull-requests" ], "markdown": "O přístupu ke zdrojovému kódu Organizace rozhoduje v Lazuriu jen GitHub.\nČlenství, Teamy, granty k repozitářům a pravidla větví určují, kdo čte,\nzapisuje, schvaluje a merguje; Lazurio žádný druhý seznam přístupů nevede.\nJedna Organizace v Lazuriu je jedna GitHub Organization a jedna hranice\npřístupů. Než první Přispěvatel modulu nainstaluje Lazurio pro novou\nOrganizaci, Vlastník Organizace nastaví základ popsaný níže a ověří ho proti\nmanifestu Organizace (rozhodnutí 0150).\n\nDo Prostředí lidé vstupují Lazurio účtem a účet na GitHubu k tomu\nnepotřebují. O tom, co se s repozitáři smí dělat a co se smí publikovat, ale\ndál rozhoduje GitHub. U účtů propojených s GitHubem odpovídá členství\nv Organizaci v Lazuriu živému členství v GitHub Organization. Tento model\nvstupu je cílem rozhodnutí 0192; přechod na něj zatím není dokončený.\n\n## Základ\n\n| Položka | Požadovaný stav | Co ho vynucuje |\n| --- | --- | --- |\n| GitHub Organization | Jedna pro každou Organizaci v Lazuriu. Dnes jsou Admini Organizace její aktivní Vlastníci Organizace. Cílově Vlastníci Organizace jmenují Adminy Organizace jako roli Lazuria (rozhodnutí 0228, zatím nenasazené). | Dnes role owner v GitHubu; cílovou roli Admina Organizace bude držet Lazurio Auth (rozhodnutí 0228, zatím nenasazené) |\n| Kořenový repozitář | Kořenový repozitář Organizace na `main`, podle konvence `/_GEN3`, s manifestem `lazurio.organization.json`. | Lazurio ho čte, přístup řídí GitHub |\n| Lazurio for GitHub | Vlastník Organizace aplikaci nainstaluje s přístupem ke **All repositories**. „Only select repositories“ je podporovaná výjimka; musí zahrnout kořenový repozitář a každý repozitář, který Lazurio obsluhuje, a nikdy se nevydává za celou Organizaci. | Rozsah instalace v GitHubu |\n| Výchozí oprávnění k repozitářům | `none` (v API `default_repository_permission`). Samotné členství neotevře žádný soukromý repozitář. | GitHub |\n| Team `builders` | Zápis do repozitářů Organizace dává schváleným lidem právě jeden Team. Jeho úplný seznam členů se rovná schválenému seznamu a každý je aktivním členem GitHub Organization, ne čekající pozvánkou. | Členství v GitHubu |\n| Granty Teamu `builders` | Výslovný zápis (Write, v API `push`) do kořenového repozitáře a do každého aktivního repozitáře, který není omezený. Nový repozitář dostane grant ve stejném kroku, ve kterém vznikne nebo se aktivuje. | Granty v GitHubu |\n| Omezené repozitáře | Žádný grant pro `builders` ani pro jeho členy, kteří nejsou Admini Organizace, k `infra` ani k žádnému repozitáři, který manifest deklaruje jako `default_access: restricted` nebo `private`. | Granty v GitHubu |\n| Design Systemy | Každý člověk i účet v Organizaci včetně účtů Prostředí s automatizacemi má k Design Systemům Organizace alespoň Read. | Proces: kontroluje Admin Organizace |\n\nGitHub neumí vyjádřit „všechny současné i budoucí repozitáře kromě `infra`“,\nproto každý nový běžný repozitář potřebuje vlastní grant pro `builders`. Zda je\nrepozitář omezený, plyne jen z jeho deklarace v manifestu, nikdy z názvu nebo\ncesty (rozhodnutí 0143). Vlastníci Organizace na omezené repozitáře dosáhnou\ndíky roli owner v GitHubu; Lazurio to eviduje jako výjimku této role, nikdy\njako grant Teamu `builders`.\nZměna členů, Teamů, grantů nebo instalací aplikací je zápis do GitHubu, který\npotřebuje výslovný pokyn uživatele; agent ji připraví a stav ověří.\n\nOrganizace, která provozuje automatizovanou práci v Prostředí\ns automatizacemi (Henry), přidá svou personu: strojový účet s dvoufázovým\nověřením, Člena Organizace a nikdy Vlastníka Organizace, v každé Organizaci\njiný. Pracuje přes Team `steward` s oprávněním Maintain, tedy jako Správce\nmodulu, ke všem repozitářům kromě `infra`. K `infra` smí dostat jen přímý\nzápis, nikdy přes Team a nikdy oprávnění `admin` v GitHubu, jako jmenovaný\nreviewer pull requestů do `infra`, až na to Organizace přepne svá pravidla\nreview (rozhodnutí 0169 a 0093).\n\n## Ověření před prvním Přispěvatelem modulu\n\nVlastník Organizace porovná živý stav s aktivními repozitáři v manifestu, ne\ns ručně vedeným seznamem. Neznámý stav (`unknown`), neúplná data od GitHubu\nnebo člen `builders`, který chybí nebo přebývá, instalaci zastaví\n(rozhodnutí 0150).\n\n```sh\ngh api \"orgs/\" --jq '{login, id, default_repository_permission}'\ngh api \"orgs//teams/builders\" --jq '{name, slug, id, privacy}'\ngh api --paginate \"orgs//teams/builders/members?role=all&per_page=100\" \\\n --jq '.[].login'\ngh api --paginate \"orgs//teams/builders/repos?per_page=100\" \\\n --jq '.[] | {name, push: .permissions.push}'\ngh api --paginate \"repos//infra/collaborators?affiliation=all&per_page=100\" \\\n --jq '.[] | {login, role_name}'\n```\n\nPoslední příkaz zopakujte pro každý omezený repozitář. Seznam collaboratorů\nv GitHubu zahrnuje i Vlastníky Organizace a členy GitHub Organization, kteří\nmají přístup přes Team nebo výchozí oprávnění, takže ukazuje výsledný\npřístup, ne jeho původ. Porovnejte ho s rolí každého člověka v Organizaci:\nkdo není Vlastník Organizace, se v něm objevit nesmí, kromě přímého zápisu\npersony do `infra` popsaného výše.\n\nKdyž Organizaci instaluje Pracovní Prostředí nebo počítač člověka, příkaz\n`lazurio organization install ` nejdřív ověří živou roli tohoto\nčlověka na GitHubu. Přispěvatel modulu i Správce modulu přeskočí repozitáře\njen pro Adminy Organizace a role, kterou nejde ověřit, instalaci zastaví\n(rozhodnutí 0188).\n\n## Role\n\nSamotný název role nic neopravňuje; rozhodují živá práva člověka na GitHubu\n(rozhodnutí 0062). Každá role říká svou úroveň a její český a anglický název,\nidentifikátor i nasazenou hodnotu, na kterou se mapuje, určuje rozhodnutí 0234.\n\n| Role | Co role dělá | Na GitHubu dnes |\n| --- | --- | --- |\n| Vlastník Organizace | Vlastní GitHub Organization a jmenuje a odvolává Adminy Organizace. Sám tím do Prostředí přístup nemá (rozhodnutí 0228). | Role owner |\n| Admin Organizace | Role Lazuria, kterou jmenuje Vlastník Organizace (rozhodnutí 0228, zatím nenasazené); do nasazení je Adminem Organizace aktivní Vlastník Organizace. Spravuje členy, Teamy, granty, omezené repozitáře, instalace aplikací a pravidla větví a také Prostředí, zařízení a zdroj AI Organizace. Svůj pull request smí mergnout, kde to GitHub dovolí (rozhodnutí 0095). | Role owner |\n| Člen Organizace | Každý další člověk v Organizaci. Co smí, plyne z jeho rolí v modulech a aplikacích; bez role v modulu nic neinstaluje a používá aplikace, které mu někdo zpřístupnil (rozhodnutí 0060 a 0231). | Členství v GitHub Organization |\n| Čtenář modulu | Čte zdrojový kód modulu a nic nemění. Sama tato role nedává žádnou roli v aplikaci. | `pull` |\n| Přispěvatel modulu | Staví modul a navrhuje změny a smí mergovat mladou `main`, která je zatím vědomě otevřená. | `push` tam, kde repozitář smí mít pravidla větví |\n| Správce modulu | Navíc smí mergovat chráněnou `main` modulu a typicky ho vydává. | `maintain`, nebo `push` tam, kde repozitář pravidla větví mít nemůže (rozhodnutí 0232) |\n| Admin aplikace, Uživatel aplikace | Dvě role v aplikaci modulu. Co smějí, určuje pravidlo Organizace v kódu modulu (rozhodnutí 0231, zatím nenasazené). | Žádná; modulový kit Lazuria bude hlásit `appRole: \"admin\"` nebo `\"user\"` |\n\nSlugy Teamů `builders` a `steward` a hodnoty volby instalace `--role builder`,\n`--role steward` a `--role reader` jsou identifikátory a jména si nechávají;\nrole už neoznačují.\n\n## Ochrana `main` a kdo merguje\n\nAgenti dodávají každou změnu jako pull request. Merge je Publikace: proběhne\njen na výslovný pokyn uživatele, předáním přes assignee nebo podle stálého\nmandátu, který zapisuje rozhodnutí, a co se smí mergnout, určují živá práva\nuživatele na GitHubu. Před merge agent ověří, že schválení patří přesně\nposlednímu commitu (headu), a merguje s `--match-head-commit` (rozhodnutí\n0103). Každý pull request má assignee, který ho dotáhne do `main`\n(rozhodnutí 0222; jeho automatická kontrola zatím není nasazená).\n\n`main` se zamyká postupně. `main` mladého Modulu smí zůstat otevřená, aby\nPřispěvatel modulu mohl publikovat; Admin Organizace ji vědomě zamkne\npravidly větví, když na tom záleží. Admin Organizace také určuje, kdo musí\nschválit: v GitHubu zakládají\npravidla ochrany větví a rulesety lidé s administrátorským přístupem\nk repozitáři a povinné review od code ownerů vyžaduje oprávnění admin nebo\nowner. Vlastníci Organizace mají úplný administrátorský přístup.\n\nCo GitHub skutečně vynutí, závisí na vašem plánu. Pravidla ochrany větví,\nrulesety a code owneři fungují v soukromých repozitářích jen s GitHub Pro,\nGitHub Team nebo GitHub Enterprise; GitHub Free je nabízí pro veřejné\nrepozitáře. Ochrana větve ve výchozím stavu neplatí pro lidi\ns administrátorským přístupem, dokud nezapnete „Do not allow bypassing the\nabove settings“. Kde pravidlo GitHub nevynucuje, drží ho proces a `AGENTS.md`\nOrganizace. Kde plán nenabízí GitHub Draft pull requesty, třeba v soukromých\nrepozitářích na GitHub Free, otevřou agenti běžný pull request a stav práce\nnapíšou do popisu (rozhodnutí 0103).\n\nNaše doporučení pro zamčenou `main` na placeném plánu:\n\n- vyžadujte pull request s alespoň jedním schválením;\n- vyžadujte review od code ownerů uvedených v `CODEOWNERS`;\n- při novém pushi zahazujte stará schválení, aby schválení k přezkoumanému\n headu vázal i sám GitHub;\n- vyžadujte vyřešené konverzace a kontroly (status checks) repozitáře;\n- obcházení pravidel nedovolte.\n\nNa tomto nastavení stojí tři pravidla Lazuria:\n\n- **Týmové Prostředí nikdy nemerguje.** Jeho pull requesty přicházejí od\n `lazurio-for-github[bot]` se štítkem `team:` a schvaluje a publikuje\n je jmenovaný člověk pod vlastním účtem (rozhodnutí 0148). Je to pracovní\n pravidlo na každém plánu. Ochrana větve, která vyžaduje schválení\n a kontroly, aplikaci nezastaví: jakmile jsou splněné, může její token\n s právem zápisu obsahu repozitáře mergnout. Pravidlo by vynutilo jen\n omezení, které merge povolí jmenovaným lidem nebo Teamům a aplikaci\n vynechá; Admin Organizace, který na takové omezení spoléhá, si ho na\n repozitáři ověří.\n- **Pull requesty persony schvaluje člověk**: Vlastník Organizace, Admin\n Organizace nebo Správce modulu.\n Persona merguje jen pull requesty, jejichž je assignee, nikdy nespouští\n apply infrastruktury, nevydává Release a nemění přístupy, tajemství ani\n fakturaci (rozhodnutí 0169). Na placeném plánu schválení vynucují pravidla\n větví, na bezplatném je to dohoda.\n- **Release není Publikace.** Release vydává jen ten, komu to dovolují práva\n na GitHubu, a jen na výslovný pokyn uživatele nebo podle stálého mandátu,\n který zapisuje rozhodnutí.\n\nKaždý text, který agent napíše na GitHub, končí podpisem\n`Agent: environment · T3 thread `, u bota Lazurio MausBotu\n`bot ` (rozhodnutí 0218). Je to pravidlo, které agenti dodržují, ne\nkontrola GitHubu.\n\n## Co smí aplikace Lazurio for GitHub\n\nTýmové Prostředí, které sdílejí členové Teamu, pracuje na GitHubu přes\naplikaci Lazurio for GitHub a token broker Organizace. Osobní účty GitHubu se\nv něm nepřihlašují a Lazurio takové přihlášení odmítne. V Osobním a Pracovním\nProstředí se uživatel přihlásí na GitHub vlastním účtem a agenti jednají\nv živých právech tohoto účtu (rozhodnutí 0165).\n\n[Veřejný zdrojový kód brokeru](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md),\nvydání 0.14.0 z 21. 10. 2026, vydává krátkodobý instalační token vždy pro\njeden repozitář. Oprávnění tokenu určuje živý grant Teamu k tomuto\nrepozitáři:\n\n| Grant Teamu | Oprávnění tokenu |\n| --- | --- |\n| Write, Maintain nebo Admin | `actions: write`, `checks: read`, `contents: write`, `members: read`, `pull_requests: write` a navíc `workflows: write` a `issues: write`, pokud je deklaruje politika brokeru Organizace |\n| Read nebo Triage | `actions: read`, `checks: read`, `contents: read`, `members: read`, `pull_requests: read` a navíc `issues: write`, pokud ho politika deklaruje |\n\nToken nikdy nedostane správu repozitáře ani změny členství. Soukromý klíč\naplikace existuje jen v brokeru, nikdy v Prostředí. Dokumentace GitHubu\nk tomu dodává, že nainstalovaná aplikace má vždy alespoň přístup pro čtení ke\nvšem veřejným repozitářům na GitHubu. Rejstřík rozhodnutí Lazuria zatím vede\nkontrolu každého tokenu proti Teamu jako cíl, který ještě nevznikl (rozhodnutí\n0147), veřejný zdrojový kód brokeru ji ale už obsahuje. Veřejný kód nedokazuje,\nco běží v konkrétním nasazení, proto se provozovatele vašeho nasazení Lazuria\nzeptejte, které vydání brokeru vaši Organizaci obsluhuje.\n\nZměny grantu Teamu z Přehledu Organizace má podle rozhodnutí 0186 provádět\nsamostatná úzká aplikace Lazurio Administration Access s jednorázovým tokenem\nčlověka, který změnu dělá, takže audit GitHubu jmenuje tohoto člověka;\nLazurio for GitHub ani broker přístupy měnit nemohou. Změna, o kterou požádá\nSprávce modulu, je žádost, kterou schvaluje Admin Organizace.\n\nV GEN3 spouští počítač Přispěvatele modulu `lazurio organization install --role builder`,\nkterý odmítne klonovat, když chybí zápis do kořenového repozitáře nebo do\nněkterého repozitáře Teamu `builders`, a na GitHubu nic nemění (rozhodnutí 0141).\n\n## Zdroje\n\n- Lazurio: [rejstřík rozhodnutí](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (rozhodnutí 0060, 0062, 0093, 0095, 0103, 0141, 0143, 0147, 0148, 0150, 0165, 0169, 0186, 0188, 0192, 0218 a 0222, anglicky) a pro názvy rolí [rozhodnutí 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent) s 0231 a 0232 (anglicky), runbooky GEN3 [zavedení Organizace](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/first-client-organization-rollout.md) a [instalace Organizace](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/organization-install.md), [pravidla pro agenty](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/AGENTS.md), [popis rolí ve Folderu](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/manual.ts#L888-L904), [rozhodnutí F31](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f31--a-team-environment-publishes-under-the-teams-identity), [gh v Týmovém Prostředí](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/environment-tools.md#gh-on-a-team-environment) a [broker Lazurio for GitHub](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md).\n- GitHub, přečteno 1. 11. 2026: [role v organizaci](https://docs.github.com/en/organizations/managing-peoples-access-to-your-organization-with-roles/roles-in-an-organization), [výchozí oprávnění](https://docs.github.com/en/organizations/managing-user-access-to-your-organizations-repositories/managing-repository-roles/setting-base-permissions-for-an-organization), [instalace GitHub App](https://docs.github.com/en/apps/using-github-apps/installing-a-github-app-from-a-third-party), [chráněné větve](https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/about-protected-branches), [rulesety](https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/about-rulesets), [code owneři](https://docs.github.com/en/repositories/managing-your-repositorys-settings-and-features/customizing-your-repository/about-code-owners), [collaboratoři repozitáře](https://docs.github.com/en/rest/collaborators/collaborators) a [Draft pull requesty podle plánu](https://docs.github.com/en/rest/pulls/pulls)." }, { "stableId": "lazurio-doc-guide-ai-source", "locale": "cs", "route": "/cs/guide/ai-source/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/ai-source/", "sourcePath": "data/v2/docs/cs/guide/ai-source.md", "title": "Odkud bere vaše Prostředí AI", "summary": "AI pool Organizace, nebo váš vlastní účet ChatGPT: kde uvidíte, který zdroj Prostředí používá, kdo ho přepíná a co přepnutí přeruší.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-platform-launchpad-texts-pairing" ], "markdown": "Agenti ve vašem Prostředí potřebují AI: Codex a podle vaší volby i Claude\nCode. Odkud ji Prostředí bere, ukazuje **Nastavení → Začínáme → Připojit AI**.\n\n## Dva zdroje\n\nV Osobním Prostředí se vždy přihlašujete vlastním účtem.\n\nPracovní Prostředí na serveru, kde Organizace provozuje AI pool, bere AI\nz jednoho ze dvou zdrojů:\n\n| Zdroj | Co to znamená | Co ukazuje Připojit AI |\n| --- | --- | --- |\n| **AI pool Organizace** | Agenti používají předplatné, které Organizace přihlásila jednou za všechny. Sami nic nepřihlašujete. | **Zajišťuje vaše Organizace.** |\n| **Váš vlastní účet** | Přihlásíte se svým účtem ChatGPT, pracovním místem v ChatGPT Business vaší Organizace nebo osobním účtem, a pokud chcete, i účtem Claude. | **Připojeno:** s vaším účtem |\n\nOrganizace může oba zdroje kombinovat a lidi přesouvat po jednom, oběma\nsměry ([rozhodnutí 0229](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0229--the-organization-admin-sets-where-each-work-environment-takes-its-ai-from)).\n\n## Co uděláte sami\n\nV Prostředí, které není na poolu, otevřete **Nastavení → Začínáme → Připojit\nAI** a zvolte **Přihlásit ChatGPT** nebo **Přihlásit Claude**. Krok je hotový,\nkdyž ukazuje váš účet.\n\nNa poolu se vlastním účtem nepřihlašujte. Přepnutí zdroje je práce Admina\nOrganizace.\n\n## Kdo zdroj přepíná\n\nMezi poolem a vlastním účtem Prostředí přesouvá jen Admin Organizace.\nKdyž chcete druhý zdroj, požádejte ho; postup je v části [Jak požádat\nAdmina Organizace](/cs/guide/ask-the-admin/). Napište mu, jaký účet byste používali\n(místo v ChatGPT Business, nebo osobní účet), jestli používáte Claude Code\na kdy se vám změna hodí.\n\nPo změně:\n\n- **S vlastním účtem** se přihlaste v Začínáme. Agenti budou znovu pracovat,\n až se přihlásíte.\n- **Po návratu na pool** ukáže Začínáme **Zajišťuje vaše Organizace.**\n\n## Co přepnutí přeruší\n\n- Rozběhnuté chaty ve vašem Prostředí skončí. Potom začněte nová vlákna.\n- Na chvíli přijdou o rozběhnuté chaty i všichni ostatní na stejném poolu,\n protože se pool restartuje. Admin Organizace s vámi proto domluví termín a ostatní\n předem upozorní.\n- Claude Code odchází z poolu spolu s Codexem. Pokud ho používáte, přihlaste\n i Claude.\n- Telefon se pak připojuje jinak; viz [Telefon a\n počítač](/cs/guide/phone-and-computer/).\n\n## Co se teprve chystá\n\nRozhodnutí 0229 je přijaté, ale zatím není nasazené. Až bude, nastaví Admin Organizace\nzdroj pro jednotlivá Prostředí v Přehledu Organizace. Vy o druhý zdroj\npožádáte přímo v Začínáme a tam také uvidíte, že změna probíhá. Do té doby\nAdmin Organizace změnu provede reviewovanou úpravou serverového nastavení Organizace." }, { "stableId": "lazurio-doc-guide-ask-the-admin", "locale": "cs", "route": "/cs/guide/ask-the-admin/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/ask-the-admin/", "sourcePath": "data/v2/docs/cs/guide/ask-the-admin.md", "title": "Jak požádat Admina Organizace", "summary": "Co ve vaší Organizaci dělá jen Admin Organizace, jak ho dnes požádat a co do žádosti patří a co nikdy.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-decision-0230-request", "lazurio-decision-0234-role-names" ], "markdown": "Některé věci ve vaší Organizaci dělá jen Admin Organizace. Požádejte ho\nžádostí, podle které může jednat bez doptávání.\n\n## Co dělá jen Admin Organizace\n\n- Přesouvá vaše Prostředí mezi AI poolem Organizace a vaším vlastním účtem\n ([Odkud bere vaše Prostředí AI](/cs/guide/ai-source/)).\n- Schvaluje a odebírá zařízení ([Schválení zařízení](/cs/guide/device-approval/)).\n- Zařizuje nové Prostředí nebo víc paměti či disku.\n- Dává vám roli v modulu jiného Teamu nebo přístup k jeho aplikaci. Podle\n rozhodnutí 0231, které zatím není nasazené, budou role v aplikaci dávat\n i Přispěvatelé modulu a Správci modulu tohoto modulu.\n- Připojuje Integraci pro celou Organizaci, třeba sdílenou schránku.\n- Mění server.\n\nCo zvládnete sami, najdete v Nastavení: například přihlášení AI mimo pool,\nspárování telefonu tam, kde ho Připojení nabízí, nebo připojení vlastních\nIntegrací.\n\n## Jak požádat dnes\n\nDokud Lazurio žádosti samo neumí, uvádí rozhodnutí 0230 dvě cesty. Obsah je\nv obou stejný (další oddíl):\n\n1. **Issue v kořenovém repozitáři vaší Organizace na GitHubu** s názvem\n „Žádost pro Admina: …“, ve kterém zmíníte Adminy Organizace. Použijte ho,\n pokud do repozitáře máte přístup. Název je pevný tvar, se kterým počítá\n rozhodnutí 0230 i skill agentů.\n2. **Zprávu Adminovi Organizace**, tak jak ho ve vašem týmu běžně\n kontaktujete.\n\nVe **veřejném Prostředí**, které si může vyzkoušet kdokoli s Lazurio účtem, se\nžádná žádost nepodává. Nemáte tam svého Admina Organizace.\n\n### S vaším agentem\n\nLazurio agenty naučí žádost podat skillem `admin-request`. Do vašeho Prostředí\npřijde s verzí Lazuria, která ho obsahuje\n([LazurioPlatform#860](https://github.com/Lazurio/LazurioPlatform/pull/860),\nzatím nevydané). V Prostředí s touto verzí stačí říct třeba „Požádej Admina\nOrganizace, ať mě přepne na můj účet ChatGPT“. Agent pak:\n\n1. ověří, že věc opravdu patří Adminovi Organizace;\n2. sebere údaje, které Admin Organizace potřebuje;\n3. zapíše issue;\n4. dá vám odkaz, nebo bez přístupu do repozitáře text, který pošlete sami.\n\nDo té doby vám agent může text žádosti podle této stránky připravit a podáte\nnebo pošlete ho sami.\n\n## Co v žádosti je\n\n- **Co:** jedna akce.\n- **Pro koho a kde:** vaše jméno, Prostředí, a pokud jde o zařízení nebo\n modul, tak i ono.\n- **Proč:** k čemu to potřebujete.\n- **Stav teď:** co vidíte, třeba v Začínáme.\n- **Kdy:** kdy se vám změna hodí a co přeruší.\n\nHeslo, token, párovací ani ověřovací kód do žádosti **nikdy** nepatří.\n\n## Kdo je Admin Organizace\n\nAdmin Organizace je role Lazuria, kterou jmenuje Vlastník Organizace (na\nGitHubu role owner)\n([rozhodnutí 0228](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0228--the-organization-admin-is-a-lazurio-role-and-the-admin-also-enters-every-environment-of-their-organization-in-the-browser),\nzatím nenasazené). Dokud nasazená není, je Adminem Organizace aktivní\nVlastník Organizace. Názvy rolí určuje\n[rozhodnutí 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent)\n(anglicky).\n\n## Co se chystá\n\nPodle rozhodnutí 0230 budete Admina Organizace žádat přímo v Lazuriu. Žádost podáte tam,\nkde se věc ukazuje, a dostane se ke všem Adminům Organizace v Přehledu\nOrganizace. Uvidíte, v jakém je stavu, a dokud čeká, můžete ji stáhnout.\nPrvním případem je zdroj AI v Začínáme (rozhodnutí 0229). Dokud Lazurio\nžádosti neumí, platí cesty popsané výš.\n\n## Pro Admina Organizace\n\nOtevřené žádosti jsou issues s názvem „Žádost pro Admina“ nebo „Request for\nthe Admin“ v kořenovém repozitáři Organizace a zprávy, které vám kolegové\npošlou. Ověřte, že žádost podal sám žadatel, a chybějící údaje doptejte tam,\nkudy žádost přišla. Termín změny, která přeruší práci, domluvte a průběh\na výsledek napište zpátky. Žádost sama nic neopravňuje a nenahrazuje žádné\nreview." }, { "stableId": "lazurio-doc-guide-course-connected-apps", "locale": "cs", "route": "/cs/guide/course/connected-apps/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/connected-apps/", "sourcePath": "data/v2/docs/cs/guide/course/connected-apps.md", "title": "Lekce 6: Připojené aplikace", "summary": "Co je Integrace, kdo ji připojuje a co smějí agenti s vaší poštou nebo kalendářem.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-01", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-folder-agent-rules", "lazurio-platform-onboarding-decisions", "lazurio-platform-launchpad-texts", "lazurio-external-apps-current" ], "markdown": "**Co se naučíte:** co je Integrace, kdo ji připojuje a co s ní agenti\nsmějí.\n\n**Integrace** je aplikace nebo služba připojená k vašemu Prostředí, třeba\npošta, kalendář nebo chat. Najdete je v Apps → **Integrace**, v záložkách\n**Vše**, **Připojené** a **Vlastní**. Každá aplikace má právě jednu cestu:\nnástroj z Nastavení → Nástroje (například `gh` pro GitHub), Executor\nProstředí, nebo Composio s vaším vlastním účtem tam, kde ho vaše Organizace\npovolila.\n\n**Aplikace připojujete vy.** Přihlášení je váš souhlas, takže agent\naplikaci nikdy nepřipojí sám; místo toho vám pošle odkaz na její kartu.\nJakmile je aplikace připojená, může v ní každý agent a bot tohoto Prostředí\nčíst, zapisovat i mazat, dokud přístup nezúžíte.\n\n**Možnost zapisovat není souhlas s Publikací.** Odeslání e-mailu nebo\nzprávy, pozvánka na schůzku nebo odeslání formuláře je Publikace. Agent\ntakový krok připraví, například jako koncept ve vaší schránce, a dokončí ho,\naž když mu to dovolíte. „Odpověz na ten e-mail“ je zadání připravit\nkoncept, ne pokyn k odeslání. Dnes je to pravidlo, které agenti dodržují;\nzápis přes připojenou aplikaci žádný mechanismus Lazuria neblokuje\n([Napojení Prostředí na aplikace](/cs/environment-app-connections/)).\n\nHesla, tokeny ani ověřovací kódy nikdy nevkládejte do chatu. Když má\nProstředí trezor a agent potřebuje heslo nebo klíč, požádá o něj\nv Apps → **Trezor**, kde ho vyplníte vy.\n\n## Váš úkol\n\n1. Otevřete Apps → **Integrace** → **Připojené**.\n2. V Chatu pošlete:\n\n ```text\n Které aplikace jsou v tomto Prostředí připojené a jakou cestou?\n Nic v nich nečti ani neměň.\n ```\n\n3. Porovnejte odpověď se stránkou.\n\n**Hotovo poznáte takto:** víte, ke kterým aplikacím tu agenti dosáhnou,\na víte, že odeslání, pozvánka nebo odeslání formuláře čeká na váš souhlas.\nPoštu nebo kalendář připojíte podle návodu\n[Propojení nástrojů](/cs/guide/tool-connections/)." }, { "stableId": "lazurio-doc-guide-course-find-your-way", "locale": "cs", "route": "/cs/guide/course/find-your-way/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/find-your-way/", "sourcePath": "data/v2/docs/cs/guide/course/find-your-way.md", "title": "Lekce 3: Zorientujte se", "summary": "Chat, Apps a Automate, moduly vaší Organizace, Soubory a jak si nechat vysvětlit stránku.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-onboarding-decisions", "lazurio-platform-launchpad-texts" ], "markdown": "**Co se naučíte:** tři části Lazuria, kde najdete moduly své Organizace\na jak si nechat vysvětlit stránku.\n\nNahoře v levém sloupci je přepínač **Chat · Apps · Automate**:\n\n- **Chat** je místo pro práci s agenty. V Prostředí je to T3 Code\n s označením T3 Code (Lazurio). Na každý nový úkol založte nové vlákno.\n- **Apps** ukazuje moduly vaší Organizace a stránky **Soubory**,\n **Integrace** a tam, kde má Prostředí trezor, také **Trezor**.\n- **Automate** slouží pravidelným úkolům a automatizaci. Kde neběží, řekne\n vám to prohlídka.\n\n**Modul** je jedna oblast vaší práce, například\nMission Control pro plány nebo Knowledgebase pro sdílené znalosti. V části\n**Workspace** ukazuje Apps každý modul Organizace, ke kterému se dostane\nGitHub identita vašeho Prostředí, a to každý jednou. V části\n**Productionspace** jsou produkční repozitáře Organizace, jen ke čtení.\nO tom, jaké moduly Organizace má, rozhoduje ona sama. Když Kolega zmíní\nmodul, který nevidíte, možná k němu nemáte přístup; zeptejte se Admina\nOrganizace. Co modul drží, jak vzniká a kdo ho dostane, vysvětluje stránka\n[Moduly](/cs/guide/modules/).\n\n**Soubory** jsou složka Dokumenty tohoto Prostředí. Nahrajete do ní\npodklady pro agenty a stáhnete si z ní, co připravili, v případě potřeby\ni celou složku jako ZIP. **?** za nadpisem stránky vám stránku vysvětlí\npřímo na místě.\n\n## Váš úkol\n\n1. V **Apps** najděte jeden modul, který souvisí s vaší prací. Otevřete\n jeho nabídku a zvolte **Informace o modulu**.\n2. Otevřete **Soubory** a podívejte se, co v nich je.\n3. Otevřete **Chat**, založte nové vlákno a pošlete:\n\n ```text\n V této Organizaci začínám. Vypiš moduly, které vidím v Apps, a ke\n každému jednou větou řekni, k čemu slouží. Vycházej jen z vlastních\n dokumentů naší Organizace a u každé odpovědi uveď zdroj. Nic neměň.\n ```\n\n**Hotovo poznáte takto:** víte, ve kterém modulu má vaše Organizace plány\na ve kterém sdílené znalosti, případně že nemá ani jeden, a Soubory\ni Nastavení → Začínáme znovu najdete." }, { "stableId": "lazurio-doc-guide-course-first-sign-in", "locale": "cs", "route": "/cs/guide/course/first-sign-in/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/first-sign-in/", "sourcePath": "data/v2/docs/cs/guide/course/first-sign-in.md", "title": "Lekce 1: Přihlaste se do svého Prostředí", "summary": "Co je Prostředí, v jakém druhu pracujete a jak se do něj dostanete.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-folder-manual", "lazurio-platform-shell-column-head", "lazurio-platform-launchpad-texts" ], "markdown": "**Co se naučíte:** co je Prostředí, v jakém druhu pracujete a jak se do něj\ndostanete.\n\n**Prostředí** je počítač, na kterém pro vás pracují agenti. Lazurio je vaše\nokno do něj: v prohlížeči vidíte jeho Chat, Apps a Automate, zatímco agenti,\njejich soubory i přihlášení zůstávají v Prostředí. Hostovaná Prostředí mají\ntři druhy:\n\n- **Pracovní Prostředí.** Vlastní ho vaše Organizace a přiřadí ho vám.\n Agenti v něm jednají za vás, ve vašich právech. Slouží jen práci: ukládají\n se v něm konverzace ze všech klientů, které používáte, takže osobní věci do\n něj nepatří.\n- **Týmové Prostředí.** Sdílejí ho členové Teamu. Účty, které jsou v něm\n přihlášené, používá každý, kdo do něj má přístup, proto do něj patří jen\n týmové účty.\n- **Osobní Prostředí.** Patří jen vám. Každé nové má Buddyho, vašeho\n osobního zástupce.\n\nLazurio na vašem vlastním počítači žádný druh nemá; je to prostě **váš\npočítač**. Prostředí s automatizacemi je obyčejné Pracovní Prostředí, a když\npotřebuje jméno, jmenuje se Henry. Tento kurz počítá s Pracovním Prostředím.\n\n## Jak se dovnitř dostanete\n\nSchválený model přístupu Lazuria drží tři podmínky odděleně\n([rozhodnutí 0192](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md)):\nsíť, aktivní členství v Organizaci a přístup k Prostředí nebo k jedné jeho\naplikaci. Členství a přístup vám zařídí Admin Organizace. Když je\nProstředí dostupné jen v tailnetu Organizace, potřebuje vaše zařízení navíc\nTailscale a schválení od Admina Organizace. Přechod na tento model ještě není\ndokončený, takže jak se zařízení schvaluje dnes, se může mezi Organizacemi\nlišit.\n\nDo Lazuria se přihlašujte ve svém vlastním prohlížeči. Prohlížeč v pravém\npanelu Prostředí patří Prostředí a jeho přihlášení sdílejí všichni agenti\nv něm. Do Lazuria se v něm nikdy nepřihlašujte.\n\n## Váš úkol\n\n1. Otevřete adresu svého Prostředí a přihlaste se svým účtem Lazuria.\n2. V hlavičce levého sloupce najděte název Prostředí a komu slouží. Ozubené\n kolo vedle něj otevře Nastavení právě tohoto Prostředí.\n3. V Nastavení otevřete oddíl pojmenovaný podle Prostředí, například **Toto\n Pracovní Prostředí**, a přečtěte si **Druh**, **Owner** a **Přiřazení**.\n\nKdyž se adresa neotevře, postupujte podle návodu\n[Připojení k Prostředí přes Tailscale](/cs/guide/tailscale/).\n\n**Hotovo poznáte takto:** přihlášení proběhlo, nahoře v levém sloupci vidíte\npřepínač Chat · Apps · Automate a umíte říct, jaký druh Prostředí to je, kdo\nho vlastní a komu je přiřazené." }, { "stableId": "lazurio-doc-guide-course-first-task", "locale": "cs", "route": "/cs/guide/course/first-task/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/first-task/", "sourcePath": "data/v2/docs/cs/guide/course/first-task.md", "title": "Lekce 7: První úkol", "summary": "Zadejte práci agentovi v Chatu a nechte výsledek uložit jako návrh ke kontrole.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-02", "reviewedAt": "2026-11-02", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-agent-rules", "lazurio-platform-folder-manual", "lazurio-onboarding-decision-register", "github-about-pull-requests", "github-protected-branches" ], "markdown": "**Co se naučíte:** jak zadat práci agentovi v Chatu a jak agent výsledek\nuloží, abyste ho mohli zkontrolovat.\n\nZaložte v Chatu nové vlákno. Každé nové vlákno začíná v Lazurio\n**Folderu**, složce, ve které Lazurio drží instrukce pro agenty vedle vašich\nOrganizací; odtud agent najde vaši Organizaci (rozhodnutí 0189). V zadání\njmenujte Organizaci a práci.\n\nPopište úkol vlastními slovy: co chcete, proč, z jakých podkladů, co se\nnesmí změnit a že chcete návrh ke kontrole. Technické názvy znát nemusíte;\nagent si pojmy vaší Organizace dohledá v jejích vlastních dokumentech.\nZadání můžete i nadiktovat (viz [Doporučené aplikace](/cs/guide/recommended-apps/)).\nVíc o dobrém zadání najdete v návodu\n[Jak přemýšlet o Lazuriu a agentech](/cs/guide/start-here/).\n\n## Co agent udělá\n\nInstrukce, které Lazurio pro agenty generuje, tedy `AGENTS.md` ve Folderu,\nkaždému agentovi ukládají\n([`render.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/render.ts)):\n\n1. pracovat ve **worktree**, oddělené pracovní kopii repozitáře, aby platná\n verze v `main` zůstala netknutá;\n2. dát práci hned na GitHub jako **Draft pull request**, navrženou změnu,\n kterou GitHub nikomu nedovolí mergnout, dokud je to Draft. Kde plán GitHubu\n pro repozitář Drafty nenabízí, otevře agent běžný pull request a do jeho\n popisu napíše, že je práce rozpracovaná;\n3. zeptat se vás otázkou s volbami, kdykoli potřebuje rozhodnutí. Dokud\n neodpovíte, tato část práce čeká;\n4. až je práce hotová a ověřená, přepnout pull request na **Ready for\n review** a skončit **handoffem**: odkazem, tím, co Publikace zavede, co\n agent ověřil, a otázkou, jestli má změny Publikovat vaším jménem, nebo\n požádat jiného Kolegu.\n\nKdyž repozitář můžete jen číst, agent místo toho zapíše návrh jako issue.\nSoubor, který nepatří do žádného repozitáře, uloží do Souborů a pošle vám na\nněj odkaz; úkol níže používá repozitář nebo issue, které jste vybrali\nv lekci 5.\n\nJsou to pravidla v instrukcích agentů, ne technické zámky. Pravidla pro\nreview a merge vynucuje GitHub jen tam, kde má vaše Organizace větev\nchráněnou.\n\n## Váš úkol\n\nNechte uložit práci z lekce 5. V novém vlákně v Chatu pošlete:\n\n```text\nV naší Organizaci [název] přidej tohle do [místa, na kterém jsme se\ndomluvili] jako návrh ke kontrole: [vaše dvě nebo tři věty].\nNejdřív ověř, jestli už něco podobného neexistuje a jestli tam můžu\nzapisovat. Když můžu, připrav pull request; když to můžu jen číst,\nzapiš návrh jako issue. Když ti něco nebude jasné, zeptej se. Nic\nnepublikuj. Na konci mi dej odkaz.\n```\n\nNa otázky agenta odpovídejte, jakmile se objeví.\n\n**Hotovo poznáte takto:** agent vám dal odkaz na pull request ve stavu Ready\nfor review, nebo na issue; samotná změna je tam vidět; a nic se\nnepublikovalo. U pull requestu na vaši odpověď čeká závěrečná otázka. Zatím\nna ni neodpovídejte: změnu nejdřív zkontrolujte v lekci 8. Issue končí bez\ntéto otázky, protože o změně rozhodnou Kolegové, které v něm agent zmínil." }, { "stableId": "lazurio-doc-guide-course-getting-started", "locale": "cs", "route": "/cs/guide/course/getting-started/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/getting-started/", "sourcePath": "data/v2/docs/cs/guide/course/getting-started.md", "title": "Lekce 2: Dokončete Začínáme", "summary": "Připojte AI a GitHub a stáhněte svou Organizaci, v tomto pořadí.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-getting-started", "lazurio-platform-launchpad-texts", "lazurio-platform-shell-column-head" ], "markdown": "**Co se naučíte:** co Prostředí potřebuje, než pro vás agenti mohou\npracovat, a v jakém pořadí.\n\n**Začínáme** je první oddíl Nastavení Prostředí. Ukazuje kroky, které\nProstředí připraví k práci. Každý krok ověřuje podle stavu samotného\nProstředí, ne podle vašeho prohlížeče, takže vypadá stejně, ať ho otevřete\nkdekoli\n([`start-view.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/launchpad/start-view.ts)).\nDokud některý povinný krok chybí, ukazuje hlavička levého sloupce\n**Dokončit nastavení**, například **(1 ze 3)**, a dovede vás tam\n([`view.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/shell/view.ts)).\n\nPovinné kroky jdou v tomto pořadí:\n\n1. **Připojit AI.** Přihlaste se svým účtem ChatGPT nebo Claude, případně\n oběma. V Prostředí na serveru se přihlašovací stránka otevře v prohlížeči\n v pravém panelu; přístupové klíče (passkeys) ani správce hesel vašeho\n počítače v něm nefungují. Když AI zajišťuje vaše Organizace, krok ukáže\n **Zajišťuje vaše Organizace.**\n2. **GitHub.** Tlačítko **Připojit** se zpřístupní, jakmile je AI připojené.\n Jednorázový kód potvrďte na github.com účtem GitHubu, který má přístup\n k vaší Organizaci.\n3. **Stáhnout** vaši Organizaci. Krok se spustí sám po připojení GitHubu\n a stáhne moduly Organizace.\n\nAI je na řadě první proto, aby vám se zbytkem mohl pomoct agent v Chatu.\nKdyž se krok zastaví, řekne, co dál. **Vyřešit v Chatu** otevře v Chatu nové\nvlákno s připraveným zadáním, které ještě není odeslané. **Organizaci\npřipravuje Admin.** znamená, že jednat musí Admin Organizace, ne vy.\n\nPod povinnými kroky jsou volitelné, například Composio pro poštu\na kalendář, SSH z vlastního počítače a prohlídka aplikace. Přidat je můžete\nkdykoli. Týmové Prostředí má povinné kroky připravené předem.\n\n## Váš úkol\n\n1. Otevřete Nastavení → **Začínáme**.\n2. Dokončete povinné kroky, dokud stránka neukáže **Prostředí je\n připravené.**\n3. V části **Prohlídka aplikace** zvolte **Spustit prohlídku** a proklikejte\n Apps, Chat a Automate.\n\n**Hotovo poznáte takto:** všechny povinné kroky jsou hotové, stránka ukazuje\n**Prostředí je připravené.** a řádek **Apps, Chat a Automate** ukazuje\n**Prohlédnuto**." }, { "stableId": "lazurio-doc-guide-course", "locale": "cs", "route": "/cs/guide/course/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/", "sourcePath": "data/v2/docs/cs/guide/course/index.md", "title": "Úvodní kurz", "summary": "Devět krátkých lekcí od prvního přihlášení po první úkol, který agent uloží a vy zkontrolujete.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-launchpad-texts", "lazurio-platform-folder-agent-rules" ], "markdown": "Tento kurz vás provede od prvního přihlášení do Prostředí po první úkol,\nkterý agent uloží a vy zkontrolujete. Je určený těm, kdo v Organizaci\nzačínají a pracují v Pracovním Prostředí. Každá lekce končí jedním\npraktickým úkolem a řekne vám, podle čeho poznáte, že je hotový.\n\n## Než začnete\n\nBudete potřebovat:\n\n- **Prostředí přiřazené vám** a jeho adresu. Přiřazuje ho vaše Organizace;\n když adresu nemáte, požádejte Admina Organizace.\n- **Tailscale na schváleném zařízení**, pokud jsou Prostředí vaší Organizace\n dostupná jen v jejím tailnetu. Tailnet je výchozí cesta; viz\n [Připojení k Prostředí přes Tailscale](/cs/guide/tailscale/).\n- **Účet ChatGPT nebo Claude**, pokud AI pro svá Prostředí nezajišťuje vaše\n Organizace.\n- **Účet na GitHubu** s přístupem k repozitářům vaší Organizace.\n\n## Lekce\n\n1. [Přihlaste se do svého Prostředí](/cs/guide/course/first-sign-in/): co je Prostředí a v jakém druhu pracujete.\n2. [Dokončete Začínáme](/cs/guide/course/getting-started/): připojte AI a GitHub a stáhněte svou Organizaci.\n3. [Zorientujte se](/cs/guide/course/find-your-way/): Chat, Apps, Automate a Nastavení.\n4. [Kdo s vámi pracuje](/cs/guide/course/who-works-with-you/): vy, agenti, Kolegové, Henry a Buddy.\n5. [Kam co patří](/cs/guide/course/where-things-belong/): Knowledgebase, Mission Control, issue, nebo Soubory.\n6. [Připojené aplikace](/cs/guide/course/connected-apps/): co smějí agenti s vaší poštou nebo kalendářem.\n7. [První úkol](/cs/guide/course/first-task/): zadejte práci agentovi a nechte výsledek uložit jako návrh.\n8. [Kontrola a Publikace](/cs/guide/course/review/): zkontrolujte výsledek a rozhodněte, kdo ho publikuje.\n9. [Když něco nefunguje](/cs/guide/course/when-stuck/): kam se obrátit a co nikdy neposílat.\n\nLekce 1 a 2 projdete v každém Prostředí jednou. Lekce 5 až 8 tvoří jednu\npráci: v lekci 5 ji vyberete, v lekci 7 ji necháte uložit a v lekci 8 ji\nzkontrolujete. Použijte skutečnou, ale necitlivou práci.\n\n## Co kurz popisuje\n\nKurz popisuje Lazurio Platform podle jejího veřejného zdroje k 1. listopadu\n2026. Novější verze může mít jiné popisky. Pokud vaše Organizace ještě\npracuje s Lazurio Rootem na vašem počítači (GEN3), některé obrazovky\na kroky se liší.\n\nPrompty jsou příklady: zkopírujte je do Chatu a upravte podle své práce.\nPrompt sám žádný přístup nedává. Agenti mohou použít jen to, co je ve vašem\nProstředí přihlášené.\n\n## Po kurzu\n\n- Uložte opakovaný postup a použijte ho znovu: cvičení 2 a 3 v návodu\n [První kroky s agentem](/cs/guide/first-steps/).\n- Nechte agenta pracovat na webu: [Tipy pro práci](/cs/guide/work-tips/).\n- Připojte poštu nebo kalendář: [Propojení nástrojů](/cs/guide/tool-connections/).\n- Najděte si pojem: [Slovníček pojmů](/cs/guide/glossary/)." }, { "stableId": "lazurio-doc-guide-course-review", "locale": "cs", "route": "/cs/guide/course/review/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/review/", "sourcePath": "data/v2/docs/cs/guide/course/review.md", "title": "Lekce 8: Kontrola a Publikace", "summary": "Zkontrolujte, co agent uložil, řekněte si o úpravy a rozhodněte, kdo změnu publikuje.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-01", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-manual", "lazurio-platform-folder-agent-rules", "lazurio-onboarding-decision-register", "github-reviewing-pull-requests", "github-protected-branches" ], "markdown": "**Co se naučíte:** jak zkontrolovat, co agent uložil, a jak funguje\nPublikace.\n\nOtevřete odkaz z handoffu. Když se stránka neotevře, ověřte, že je\nv prohlížeči přihlášený účet GitHubu, který máte připojený v Začínáme.\nPull request má popis a na záložce **Files changed** přesnou změnu. Čtěte\nsamotnou změnu, ne jen shrnutí od agenta, a ověřte, že:\n\n- je na správném místě a říká, co máte na mysli;\n- každý údaj má zdroj a nic není vymyšlené: uhlazený text, za kterým nic\n není, vraťte agentovi;\n- neobsahuje soukromá data ani nic z jiné Organizace;\n- nový Kolega mu porozumí.\n\nKdyž něco nesedí, napište to ve stejném vlákně v Chatu, konkrétně: „Odstraň\ntermín, zdroj ho nepotvrzuje.“ Agent opravu přidá do stejného pull\nrequestu nebo issue. Vy i vaši Kolegové můžete komentovat i přímo na\nGitHubu.\n\n## Publikace\n\n**Publikace** je krok, kterým se práce stane těžko vratnou nebo viditelnou\npro ostatní: merge pull requestu, odeslání e-mailu nebo zprávy, odeslání\nformuláře, platba. Do té doby je práce návrh, který jde ještě změnit nebo\nzahodit. Agent publikuje, jen když mu to dovolíte: volbou **Publikovat vaším\njménem** v jeho závěrečné otázce, slovem „publikuj“, nebo předem pro úkol či\ncelé vlákno. Platí vaše poslední slovo.\n\nJestli merge smí proběhnout, rozhodují vaše živá práva na GitHubu. Když\nmergovat nesmíte, nebo chcete, aby práci zkontroloval ještě někdo další,\nzvolte **Požádat jiného Kolegu**: agent tohoto Kolegu požádá o review,\npřiřadí mu pull request a zmíní ho na GitHubu. V Týmovém Prostředí se agent\nmísto toho zeptá, komu má změnu předat.\n\nKdyž Publikaci dovolíte, instrukce agentovi ukládají mergnout přesně\nposlední verzi pull requestu, a když mezitím přibude další změna, GitHub\ntakový merge odmítne. Před souhlasem proto zkontrolujte poslední verzi.\nPravidlo, že agent publikuje jen s vaším souhlasem, je v jeho instrukcích;\npravidla pro merge, například povinné review, vynucuje GitHub jen\nu chráněných větví.\n\n## Váš úkol\n\n1. Přečtěte si změnu z lekce 7 na záložce **Files changed**, nebo si\n přečtěte issue.\n2. Řekněte si alespoň o jednu konkrétní úpravu a ověřte, že se objevila ve\n stejném pull requestu nebo issue.\n3. U pull requestu odpovězte na závěrečnou otázku. Když nevíte jistě, jestli\n rozhodnutí patří vám, zvolte **Požádat jiného Kolegu**. U issue ověřte,\n že jmenuje, kdo může změnu provést.\n\n**Hotovo poznáte takto:** samotnou změnu máte přečtenou, vaše připomínka je\nv ní zapracovaná a na závěrečnou otázku máte odpověď, nebo víte, kdo\no issue rozhodne. Váš první úkol je uložený a zkontrolovaný." }, { "stableId": "lazurio-doc-guide-course-when-stuck", "locale": "cs", "route": "/cs/guide/course/when-stuck/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/when-stuck/", "sourcePath": "data/v2/docs/cs/guide/course/when-stuck.md", "title": "Lekce 9: Když něco nefunguje", "summary": "Kam se obrátit, když se něco zastaví, jak popsat problém a co nikdy neposílat.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-launchpad-texts", "lazurio-platform-folder-manual", "lazurio-onboarding-decision-register" ], "markdown": "**Co se naučíte:** kam se obrátit, když se něco zastaví, a jak popsat\nproblém, aby vám někdo mohl pomoct.\n\n| Co se děje | Co udělat |\n| --- | --- |\n| Adresa Prostředí se neotevře | Postupujte podle návodu [Připojení k Prostředí přes Tailscale](/cs/guide/tailscale/). |\n| Krok v Začínáme se zastavil | Přečtěte si, co krok říká. Když je připojené AI, otevře **Vyřešit v Chatu** nové vlákno s připraveným zadáním; přečtěte si ho a odešlete. Když krok říká, že Organizaci připravuje Admin, obraťte se na Admina Organizace. |\n| Aplikace modulu se neotevře | Proč, říká přehled modulu v Apps. Požádejte agenta v Chatu, ať se na to podívá. |\n| Agent jako by se zasekl | Nejdřív zkontrolujte, jestli nečeká na vaši odpověď na otázku. Pak se ho zeptejte, co už ověřil, na co čeká a co mu chybí. |\n| Lazurio hlásí vlastní závadu | Nastavení → **Obnova** ukazuje kontroly samotného Lazuria. Když některá selže, nabídne připravený prompt pro opravného agenta a připravené issue. |\n\nKdyž agent narazí na problém, který teď nevyřeší, zapíše ho jako GitHub\nIssue do repozitáře, kterého se týká, dá vám odkaz a pokračuje ve zbytku\npráce.\n\nProblém popište třemi věcmi: o co se pokoušíte, co se stalo a co vidíte,\npřípadně se screenshotem. Nejdřív z popisu odstraňte hesla, tokeny, kódy\na data jiných lidí a nikdy je neposílejte do chatu. Když nevíte, co se\nděje, neklikejte dál naslepo.\n\n## Váš úkol\n\n1. Otevřete Nastavení → **Obnova** a přečtěte si, jestli je Lazurio v tomto\n Prostředí v pořádku. Nic nespouštějte.\n2. Ve vlákně svého prvního úkolu pošlete:\n\n ```text\n Shrň, co už máš ověřené, na co právě čekáš a co ti chybí.\n ```\n\n**Hotovo poznáte takto:** pro každou situaci z tabulky víte, kam se obrátit,\na máte shrnutí stavu svého prvního úkolu.\n\nTím kurz končí. Pokračujte odkazy v části [Po kurzu](/cs/guide/course/#po-kurzu)." }, { "stableId": "lazurio-doc-guide-course-where-things-belong", "locale": "cs", "route": "/cs/guide/course/where-things-belong/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/where-things-belong/", "sourcePath": "data/v2/docs/cs/guide/course/where-things-belong.md", "title": "Lekce 5: Kam co patří", "summary": "Kam ukládat práci, aby ji Kolegové i agenti našli: Knowledgebase, Mission Control, issues, repozitáře a Soubory.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-02", "reviewedAt": "2026-11-02", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-manual", "lazurio-platform-folder-agent-rules" ], "markdown": "**Co se naučíte:** kam ukládat práci, aby ji Kolegové i agenti později\nnašli.\n\nChat je pracovní rozhovor. Agenti ho berou jako mezipaměť: co zůstane jen\nv chatu, je pro všechny ostatní ztracené. Každý druh výsledku má svůj\ndomov:\n\n| Co | Kam patří |\n| --- | --- |\n| Sdílené znalosti: postupy, souvislosti, co se při práci ukázalo | Knowledgebase Organizace |\n| Plány, jejich stav a kdo za ně odpovídá | Mission Control Organizace |\n| Otevřený problém nebo nejistota | GitHub Issue v repozitáři, kterého se týká |\n| Software a dokumentace | repozitář na GitHubu, změna přes pull request |\n| Hotový soubor, který nepatří do žádného repozitáře, třeba prezentace | Soubory Prostředí |\n| Osobní věci | vaše Osobní Prostředí, nikdy Pracovní |\n\nKaždá změna repozitáře jde jako pull request. Když repozitář můžete jen\nčíst, agent v něm zapíše návrh jako issue a zmíní, kdo může změnu provést.\nVaše Organizace může své moduly jmenovat jinak; agent je najde v jejích\nvlastních instrukcích a dokumentech.\n\n## Váš úkol\n\nVyberte jednu věc ze své nedávné práce, kterou by potřeboval znát nový\nKolega: pojem, krok postupu nebo pravidlo. Vyberte něco, co patří do\nrepozitáře nebo do issue, protože v lekcích 7 a 8 to uložíte jako pull\nrequest nebo issue a tam zkontrolujete; hotový soubor do Souborů do tohoto\ncvičení nepatří. Tu věc zapište dvěma nebo třemi větami. Pak pošlete v Chatu:\n\n```text\nChci tohle uložit pro Kolegy: [vaše dvě nebo tři věty].\nŘekni mi, kam to v naší Organizaci patří (Knowledgebase, Mission\nControl, nebo issue) a proč. Ověř, jestli už něco podobného\nneexistuje. Zatím nic neukládej.\n```\n\n**Hotovo poznáte takto:** máte jednu malou skutečnou práci a víte, kam\npatří. Uložit ji necháte v lekci 7." }, { "stableId": "lazurio-doc-guide-course-who-works-with-you", "locale": "cs", "route": "/cs/guide/course/who-works-with-you/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/course/who-works-with-you/", "sourcePath": "data/v2/docs/cs/guide/course/who-works-with-you.md", "title": "Lekce 4: Kdo s vámi pracuje", "summary": "Vy jako uživatel, agenti, Kolegové a jejich role, Henry a Buddy: kdo o čem rozhoduje.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-decision-0234-role-names", "lazurio-platform-folder-manual" ], "markdown": "**Co se naučíte:** kdo o čem rozhoduje ve vašem Prostředí a ve vaší\nOrganizaci.\n\n**Vy jste uživatel.** Agenti ve vašem Prostředí pracují pro vás a jednají ve\nvašich právech. Pokyn k Publikaci jejich práce dáváte vy a poslední slovo\nmáte vy.\n\n**Agent** (Task Agent) je pracovní relace AI nástroje, jako je Codex nebo\nClaude Code, třeba jedno vlákno v Chatu. Nemá žádné vlastní pravomoce\na žádný prompt mu je nedá. Uvnitř Prostředí pracuje s plným přístupem, bez\nsandboxu a bez schvalování jednotlivých příkazů: hranicí je Prostředí\n(rozhodnutí 0172). Co je ve vašem Prostředí přihlášené, mohou jeho agenti\npoužít. Plný přístup je schopnost, ne souhlas: Publikace zůstává vám.\n\n**Kolega** je uživatel v Organizaci. Co smí, určují jeho role a Teamy.\nKaždá role říká, na jaké úrovni platí (rozhodnutí 0234):\n\n- **Organizace:** **Vlastník Organizace** vlastní její GitHub Organization\n a jmenuje Adminy Organizace, **Admin Organizace** spravuje členy, Teamy,\n přístupy a Prostředí Organizace a každý další je **Člen Organizace**.\n- **Modul:** **Čtenář modulu** ho čte a nic nemění, **Přispěvatel modulu**\n ho staví a navrhuje změny a **Správce modulu** navíc smí mergovat jeho\n chráněnou `main` a vydat ho.\n- **Aplikace:** **Admin aplikace** a **Uživatel aplikace** smějí to, co\n dovolí pravidlo Organizace v modulu. Tyto role v aplikaci jsou rozhodnuté,\n ale zatím nenasazené (rozhodnutí 0231).\n\nNázev role sám nic neopravňuje. U rolí v Organizaci a v modulu dnes rozhoduje\nživý grant na GitHubu (rozhodnutí 0062 a 0232).\n\n**Henry** je jméno Pracovního Prostředí Organizace s automatizacemi.\nPracuje v něm tým botů pod personou Organizace a odpovídá za něj jeden\nodpovědný uživatel, Vlastník Organizace nebo Admin Organizace (rozhodnutí\n0169). Kde vaše Organizace Henryho provozuje, potkáte ho hlavně na GitHubu,\ntřeba v review pull requestu.\n\n**Buddy** je váš osobní zástupce. Běží ve vašem Osobním Prostředí, pokud ho\nmáte, a jedná jen ve vašich právech a v rámci mandátů, které mu dáte. Platby\na vlastnictví, obnova, tajné údaje, změny přístupů a ničivé kroky vždy\npotřebují váš souhlas s přesně tímto krokem, stejně jako merge, Publikace\nnebo Release, na které se nevztahuje výslovný mandát (rozhodnutí 0089).\n\nPersona je účet agenta Organizace, třeba Henryho. Stejně jako jméno, které\ndáte svému Buddymu, není uživatel a nemá žádnou vlastní pravomoc. Čísla\nrozhodnutí odkazují na veřejný\n[rejstřík rozhodnutí Lazuria](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md).\n\n## Váš úkol\n\nV novém vlákně v Chatu pošlete:\n\n```text\nZjisti, co v naší Organizaci smím na GitHubu. U kořenového repozitáře\nOrganizace a u repozitáře, kde máme sdílené znalosti, mi řekni, jestli\ndo nich můžu zapisovat, nebo je jen číst, a kdo v nich smí mergovat\nzměny. Jen čti, nic neměň.\n```\n\n**Hotovo poznáte takto:** víte, jestli můžete zapisovat do repozitáře, kam\npůjde váš první úkol, a pokud ne, kdo v něm změny publikuje." }, { "stableId": "lazurio-doc-guide-device-approval", "locale": "cs", "route": "/cs/guide/device-approval/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/device-approval/", "sourcePath": "data/v2/docs/cs/guide/device-approval.md", "title": "Schválení zařízení", "summary": "Proč zaregistrované zařízení nemusí hned dosáhnout na vaše Prostředí, kdo o přístupu rozhoduje a co dělat, když zařízení ztratíte.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-environment-access-model" ], "markdown": "V cílovém modelu Lazuria pouští Organizace, která vstupuje do svých Prostředí\npřes tailnet, dovnitř jen zařízení schválená jejím Adminem Organizace\n([rozhodnutí 0192](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0192--entry-with-a-lazurio-account-and-an-admin-approved-device-sharing-inside-the-organization)).\nRozhodnutí platí jako cíl, ale přechod na něj zatím není dokončený. **Jak\nzařízení dnes získá přístup, se může mezi tailnety lišit**, jak píše\ni [Připojení přes Tailscale](/cs/guide/tailscale/). Jak je to u vás, řekne\nAdmin Organizace nebo pravidla vaší Organizace.\n\n## Co uděláte vy\n\nPostup najdete v návodu [Přidání nového zařízení do\ntailnetu](/cs/guide/tailscale-add-device/): instalace Tailscale, přihlášení\nLazurio účtem, jak poznáte, že zařízení čeká nebo je schválené,\na [co poslat Adminovi Organizace](/cs/guide/tailscale-add-device/#požádejte-admina-organizace-o-schválení).\nSamotná registrace přístup nezaručuje; když se adresa Prostředí pořád\nneotevře, požádejte Admina Organizace podle tohoto návodu.\n\n## Kdy zařízení v tailnetu nepotřebujete\n\n- **Organizace s veřejnými adresami**\n ([rozhodnutí 0213](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0213--network-for-people-an-organization-may-switch-from-tailnet-to-public-dns))\n tailnet ani schválení zařízení nepotřebuje. Přihlásíte se Lazurio účtem,\n ale jen do webového rozhraní: Launchpad, chat, MausBot a Buddy. SSH ani\n párování telefonu tam lidé nemají.\n- **Telefon spárovaný přes aplikaci ChatGPT**, pokud ho vaše Prostředí\n nabízí ([Telefon a počítač](/cs/guide/phone-and-computer/)). Telefon tailnet\n nepotřebuje. Párovací kód ale vytvoříte uvnitř Prostředí, takže ho už\n musíte umět otevřít.\n\n## Když zařízení ztratíte\n\nHned to řekněte Adminovi Organizace, ať zařízení odebere přístup. Pokud jste ztracený\ntelefon spárovali přes ChatGPT, odeberte ho i v seznamu **Spárované telefony**\nv Nastavení → Připojení. V cílovém modelu budete moct ztracené zařízení\nodebrat i sami (rozhodnutí 0192). Dokud to Lazurio nenabízí, dělá to Admin\nOrganizace.\n\n## Pro Admina Organizace\n\nJak zařízení dnes schválit, co předtím ověřit a jaký je cíl v Přehledu\nOrganizace, popisuje [Pro Admina\nOrganizace](/cs/guide/tailscale-add-device/#pro-admina-organizace). Schválení\nzařízení pro Prostředí Organizace neotevírá nic v Osobním Prostředí člověka." }, { "stableId": "lazurio-doc-guide-first-steps", "locale": "cs", "route": "/cs/guide/first-steps/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/first-steps/", "sourcePath": "data/v2/docs/cs/guide/first-steps.mdx", "title": "První kroky s agentem", "summary": "Vyzkoušejte zadání úkolu, kontrolu výsledku a uložení postupu pro příště.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-external-apps" ], "markdown": "Na malém pracovním úkolu si vyzkoušejte zadání, zpětnou vazbu\na uložení postupu pro příště. Pokud s agenty začínáte,\npřečtěte si nejprve [krátký úvod](/cs/guide/start-here/).\n\nUkázky rozhovorů jsou připravené předem. Prompty zkopírujte do svého chatu\na upravte podle úkolu. Přiložte jen podklady, které v něm smíte použít.\n\n## 1. Zadejte první úkol a zkontrolujte výsledek\n\nV Launchpadu vyberte správnou organizaci a oblast práce. V agentním nástroji\notevřete úkol v odpovídajícím pracovním kontextu. Než začnete, ověřte s agentem,\npro kterou organizaci a s jakými podklady pracuje.\n\n```text\nZ přiložených poznámek připrav návrh agendy na 30minutovou týmovou poradu.\nU každého bodu uveď cíl, navržený čas a otázku, kterou potřebujeme rozhodnout.\nPoužij jen tyto poznámky. Chybějící informace označ, nic si nedomýšlej.\nVýstup chci jako krátký seznam. Nic neposílej ani nevytvářej v kalendáři.\n```\n\n
Ukázat příklad pokračování chatu

AI · ilustrace: U prvního bodu chybí rozhodnutí, kterého chcete dosáhnout. Máme vybrat variantu, nebo jen sdílet stav?

Vy: Potřebujeme vybrat variantu. Dej tomuto bodu 15 minut a ostatní body zkrať tak, aby celá porada měla 30 minut.

\n\n**Hotovo poznáte takto:** agenda odpovídá poznámkám, součet časů je 30 minut,\nnepotvrzené údaje jsou označené a nic se neodeslalo. Nestačí, že agent napíše\n„hotovo“ — přečtěte výsledný návrh.\n\n## 2. Předejte jeden opakovaný postup\n\nVyberte něco, co v práci pravidelně vysvětlujete. Popište to vlastními slovy,\nklidně hlasem. Agent může pomoci s uspořádáním; vy ověříte, že výsledek sedí.\n\n```text\nChci ti vysvětlit, jak u nás připravujeme týmovou poradu.\nNejdřív se mě zeptej na vstupy, pořadí kroků a podobu hotového výsledku.\nPotom připrav návrh postupu do Knowledgebase naší organizace.\nOvěř, zda už takový postup existuje, a nenavrhuj zbytečnou duplicitu.\nUkaž mi změny, jejich umístění a komu budou dostupné. Zatím nepublikuj.\n```\n\n
Ukázat příklad zpětné vazby

AI · ilustrace: V návrhu chybí pravidlo pro neuzavřené body z minulé porady. Jak s nimi pracujete?

Vy: Nejdřív je porovnáme s aktuálním stavem. Neaktuální bod nepřenášej automaticky. Přidej to do návrhu a ukaž mi finální znění.

\n\n**Hotovo poznáte takto:** postup je správný a víte, kam patří. Publikaci\nschvalujte jako samostatný krok podle svých oprávnění a pravidel organizace.\nPokud musí změnu schválit jiný kolega, nechte připravit předání jemu.\n\n## 3. Použijte schválený postup v novém úkolu\n\nPo schválení a zveřejnění postupu založte nový úkol ve stejné organizaci.\nNeověřujete „paměť chatu“, ale skutečné načtení uložených podkladů.\n\n```text\nNajdi v Knowledgebase naší organizace schválený postup pro přípravu porady.\nUkaž mi zdroj a stručně shrň pravidla. Pokud ho nenajdeš nebo nemáš přístup,\nřekni to a neodhaduj jeho obsah. Pak podle něj připrav návrh agendy\nz nových přiložených poznámek. Nic neposílej.\n```\n\n**Hotovo poznáte takto:** vidíte konkrétní zdroj a návrh používá jeho pravidla.\nPokud agent zdroj nenašel, zkontrolujte organizaci, umístění, publikaci a přístup.\n\n## Kdy založit nové vlákno\n\nVe stejném vlákně pokračujte, když upravujete tentýž výsledek. Pro jiný cíl\nzaložte nový úkol: například agenda porady a rozbor jiného dokumentu mohou\nběžet souběžně. Novému úkolu dejte potřebné podklady; nepředpokládejte, že zná\nvedlejší chat. Dva agenty nenechávejte bez koordinace upravovat stejný dokument.\n\n## Outlook, SharePoint a další nástroje\n\nNejdřív ověřte dostupné **schválené propojení**, správný účet a rozsah přístupu.\nSamotné přihlášení v běžném prohlížeči není důkaz, že má agent přístup.\n\n```text\nPotřebuji pracovat s Outlookem. Ověř, zda máš v tomto prostředí dostupné\nschválené propojení, a řekni, který účet a jaké operace můžeš použít.\nZatím nic nečti ani neměň. Pokud propojení chybí, vysvětli další postup;\nnepřecházej bez domluvy na jinou službu nebo ovládání prohlížeče.\n```\n\nPo ověření můžete zadat malý čtecí úkol:\n\n```text\nV určené složce SharePointu [odkaz] najdi dokument [název].\nShrň ho do pěti bodů a připoj zdroj. Hledej pouze v této složce.\nNic neupravuj ani nesdílej. Pokud nemáš přístup, zastav se a řekni proč.\n```\n\nHranaté závorky nahraďte konkrétními údaji. Jde o zadání, ne automatické\nzprovoznění přístupu. Další ukázky najdete v [Propojení nástrojů](/cs/guide/tool-connections/)\na [práci v prohlížeči](/cs/guide/work-tips/).\n\n## Když odpověď trvá dlouho nebo nesedí\n\nPokud nástroj umožňuje nastavit intenzitu přemýšlení, zkuste pro jednoduchý\núkol nižší a pro náročný rozbor vyšší. Nastavení nezaručuje rychlost ani\nsprávnost. Ovládání závisí na aplikaci a čekání může mít i jiné příčiny.\n\n```text\nShrň, co už máš ověřené, na co právě čekáš a co ti chybí.\nNavrhni nejmenší další krok. Neopakuj neúspěšný postup stále dokola.\n```\n\nKdyž výsledek nesedí, pojmenujte konkrétní rozdíl: „Potřebuji rozhodnutí,\nne přepis poznámek.“ Když problém přetrvává, pošlete podpoře název aplikace,\nstručné zadání, očekávaný a skutečný výsledek a očištěný screenshot chyby.\nHesla, tokeny ani citlivé podklady nepřikládejte.\n\n## První dva týdny bez dalšího školení navíc\n\n- **První den:** dokončete jeden malý úkol a opravte návrh konkrétní připomínkou.\n- **První týden:** zachyťte jeden opakovaný postup do Knowledgebase a nechte ho schválit.\n- **Druhý týden:** použijte postup v novém úkolu a doplňte, co při skutečné práci chybělo.\n\nTempo si přizpůsobte práci; uvedené lhůty jsou pouze doporučené." }, { "stableId": "lazurio-doc-guide-glossary", "locale": "cs", "route": "/cs/guide/glossary/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/glossary/", "sourcePath": "data/v2/docs/cs/guide/glossary.md", "title": "Slovníček pojmů", "summary": "Pojmy pro každodenní práci, správu a vývoj Lazuria.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-product-vocabulary", "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-onboarding-decision-register", "lazurio-decision-0234-role-names", "lazurio-platform-folder-manual", "lazurio-platform-launchpad-texts", "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-parts-f14", "lazurio-platform-marketplace-v0-1-21", "lazurio-marketplace-registry", "github-about-pull-requests", "github-protected-branches" ], "markdown": "Základní pojmy potkáte při běžné práci. Pokročilá část vysvětluje správu,\nvývoj a schvalování změn.\n\n## Základní pojmy\n\n
\n\n**Lazurio** Společné pracovní prostředí pro lidi a AI agenty. Pomáhá vám\nnajít aplikace, práci a potřebné informace.\n\n**Prostředí** Místo, kde pro vás pracují agenti. U hostovaných Prostředí\nrozlišujeme tři druhy: Osobní, Pracovní a Týmové.\n\n**Osobní Prostředí** Vaše Prostředí s Buddym a Osobním Workspace.\n\n**Pracovní Prostředí** Prostředí Organizace přiřazené konkrétnímu uživateli.\nMohou v něm běžet automatizace; ty netvoří samostatný čtvrtý druh.\n\n**Týmové Prostředí** Sdílené Prostředí členů Teamu. Připojené účty v něm\nsmějí používat všichni oprávnění členové, proto do něj patří týmová přihlášení.\n\n**Váš počítač** Vlastní zařízení s místním Lazuriem. Není čtvrtým druhem\nhostovaného Prostředí.\n\n**Apps (ve starších zdrojích Launchpad)** Část Lazuria, kde otevíráte\naplikace Organizace. Uvnitř Prostředí mezi částmi přepínáte přes Chat,\nApps a Automate.\n\n**Chat** Část Prostředí pro práci s agenty, na každý úkol jedno vlákno.\nV Prostředí je to T3 Code.\n\n**Automate** Část Prostředí pro pravidelné úkoly a automatizaci.\n\n**Začínáme** První oddíl Nastavení Prostředí. Ukazuje kroky, které Prostředí\npřipraví k práci: AI, GitHub a obsah Organizace, v tomto pořadí.\n\n**Guide** Praktická nápověda k Lazuriu. Když nevíte, co něco znamená nebo\njak pokračovat, začněte tady.\n\n**GitHub** Služba pro repozitáře a jejich oprávnění. Určuje, které\nrepozitáře můžete číst a upravovat. Přihlášení k AI poskytovateli a jeho\npředplatné se řeší samostatně.\n\n**Předplatné AI služby** Tarif zvoleného poskytovatele určuje dostupné\nmodely a limity. Je oddělený od oprávnění k repozitářům v GitHubu.\n\n**Tokeny** Jednotky, podle kterých se počítá využití AI. Spotřebovávají se\npři čtení zadání i vytváření odpovědi; nejde o hesla ani přístupové klíče.\n\n**Organizace** Oddělený pracovní prostor jedné firmy. Má vlastní lidi,\naplikace, data a přístupy.\n\n**Team** Skupina lidí, kteří společně pracují na určité oblasti,\nnapříklad na obchodu nebo produktu.\n\n**Workspace** Část Organizace s aplikacemi pro každodenní práci.\n\n**Modul** Jedna oblast vaší práce, třeba zakázky, web nebo receptury.\nDrží pohromadě postup, podle kterého agenti pracují, data, se kterými se\npracuje, a aplikaci, ve které je vidíte a měníte. Moduly jsou například Mission\nControl a Knowledgebase. Víc na stránce [Moduly](/cs/guide/modules/).\n\n**Marketplace** Místo dole v Apps se šablonami modulů. Šablona se do vaší\nOrganizace přidá jako vaše vlastní soukromá kopie. Od verze 0.1.21, která je\nk 5. listopadu 2026 kandidát vydání, nabízí šablony z veřejného seznamu Lazuria.\n\n**Mission Control** Místo pro řízení práce. Uvidíte zde, co se řeší, kdo za\nto odpovídá a co má následovat.\n\n**Knowledgebase** Společný firemní notýsek s postupy a souvislostmi pro další\npráci. Agent z něj může čerpat, pokud k němu má přístup a načte si příslušný\nzápis. Obsah chatu se do něj neukládá automaticky.\n\n**Integrace** Aplikace nebo služba připojená k Prostředí, třeba pošta nebo\nkalendář. Připojujete ji vy v Apps → Integrace; potom ji může používat každý\nagent tohoto Prostředí. Odeslání nebo Publikace přes ni dál potřebuje váš\nsouhlas.\n\n**Osobní Workspace** Váš soukromý pracovní obsah v Osobním Prostředí.\nSlouží vám a vašemu Buddymu; není sdíleným úložištěm Organizace.\nVe starších technických zdrojích se objevuje název Personalspace.\n\n**Kolega** Uživatel v Organizaci. Co smí, určují jeho role a Teamy.\n\n**AI Kolega** Starší označení dlouhodobé AI role. Automatizace dnes\npopisujeme jako práci agentů v Pracovním Prostředí, za kterou odpovídá\nuživatel. Název role sám žádná oprávnění neuděluje.\n\n**Henry** Jméno Pracovního Prostředí Organizace s automatizacemi. Pracuje\nv něm tým botů pod personou Organizace a odpovídá za něj jeden odpovědný\nuživatel. Není to samostatný druh Prostředí.\n\n**Buddy** Jméno osobního produktu Lazuria a vašeho osobního AI zástupce.\nBuddy patří k vašemu Osobnímu Prostředí a jedná jen ve vašich právech\na v rámci mandátů, které mu dáte. Platby, tajné údaje, změny přístupů\na merge nebo Publikace mimo výslovný mandát vždy potřebují váš souhlas\ns přesně tímto krokem.\n\n**Prompt** Zadání, které napíšete AI. Například: „Připravte mi přehled\nnezaplacených faktur a vysvětlete, co mám řešit jako první.“\n\n**Spustit** Zapnout aplikaci, aby ji bylo možné používat.\n\n**Otevřít** Přejít do vybrané aplikace. Pokud ještě neběží, Launchpad ji\nmůže nejprve spustit.\n\n**Zastavit** Vypnout lokálně spuštěnou aplikaci. Její data se tím nemažou.\n\n**Synchronizovat** Načíst aktuální stav projektů a aplikací, abyste\npracovali s nejnovějšími změnami.\n\n
\n\n## Pokročilé pojmy\n\n
\n\n**Uživatel** Člověk, pro kterého agenti pracují a který má poslední slovo.\nSamotné slovo uživatel roli neoznačuje. Když má někdo dostat roli „admina“\nnebo „uživatele“, vždy se upřesní, jestli jde o Organizaci, nebo o kterou\naplikaci.\n\n**Role** Pojmenovaný přístup člověka na jedné úrovni: v Organizaci, v modulu,\nv aplikaci nebo v Prostředí. Píše se s velkým písmenem a vždy s úrovní, třeba\nAdmin Organizace nebo Uživatel aplikace. Samotný název role nic neopravňuje;\nrozhoduje skutečný přístup.\n\n**Vlastník Organizace** Vlastní GitHub Organization, ve které Organizace\nžije (na GitHubu role owner). Jmenuje a odvolává Adminy Organizace. Sám tím\ndo Prostředí přístup nemá.\n\n**Admin Organizace** Spravuje členy, Teamy, přístupy a Prostředí Organizace;\ntím ale nezískává přístup do cizího Personalspace. Je to role Lazuria, kterou\njmenuje Vlastník Organizace (zatím nenasazená); do jejího nasazení je Adminem\nOrganizace aktivní Vlastník Organizace.\n\n**Člen Organizace** Každý další člověk v Organizaci. Co smí, plyne z jeho\nrolí v modulech a aplikacích. Cílově ho určuje členství v Lazuriu, které účet\nna GitHubu nepotřebuje; zatím rozhoduje živé členství v GitHub Organization.\n\n**Čtenář modulu** Čte zdrojový kód modulu a nic nemění. Na GitHubu oprávnění\n`pull`. Sama tato role nedává žádnou roli v aplikaci modulu.\n\n**Přispěvatel modulu** Staví modul a navrhuje změny. Na GitHubu oprávnění\n`push` v repozitáři, který smí mít pravidla větví.\n\n**Správce modulu** Navíc smí mergovat chráněnou `main` modulu a vydat ho. Na\nGitHubu oprávnění `maintain`, nebo `push` tam, kde repozitář pravidla větví\nmít nemůže. Slovem Správce označuje Lazurio jen tuto roli.\n\n**Přístup k modulu** Nastavení, které drží roli člověka nebo Teamu v modulu.\nSamo roli neoznačuje. Kdo žádnou roli v modulu nemá, k modulu přístup nemá.\n\n**Admin aplikace** Role v aplikaci modulu, rozhodnutá a zatím nenasazená\n(rozhodnutí 0231). Co smí, určuje pravidlo Organizace v kódu modulu. Bez dalšího nastavení je Adminem aplikace každý Přispěvatel\nmodulu a Správce modulu, Admin Organizace a ten, kdo má celé Prostředí, kde\naplikace běží.\n\n**Uživatel aplikace** Druhá role v aplikaci modulu, také zatím nenasazená. Co\nsmí, určuje také pravidlo Organizace v kódu modulu.\n\n**Přidělený uživatel** Člověk, kterému je přidělené Pracovní Prostředí.\n\n**Servisní vstup** Vstup do Prostředí pro někoho jiného, než je jeho\nPřidělený uživatel. Není to role. Podle rozhodnutí 0228, které zatím není\nnasazené, bude mít Admin Organizace servisní vstup do každého Prostředí své\nOrganizace, kdokoli jiný jen tehdy, když mu ho někdo udělí pro jedno\nProstředí.\n\n**Persona** Účet agenta Organizace, třeba Henryho. Nikdy neoznačuje roli\nčlověka.\n\n**Principál** Označení odpovědné identity ve starších zdrojích Lazuria.\nAktuální texty mluví o uživateli jako o člověku, který práci zadává a má\nposlední slovo.\n\n**Task Agent** Pracovní relace AI nástroje pro konkrétní úkol. Nemá vlastní\noprávnění; používá přístupy dostupné v Prostředí a řídí se zadáním uživatele.\n\n**Skill** Uložený návod pro agenta k určitému typu práce, například přípravě\nprezentace nebo kontrole změn. Může obsahovat instrukce, šablony a skripty.\nNenahrazuje kontrolu výsledku.\n\n**MCP server** Spojení, přes které může AI používat konkrétní nástroj nebo\npracovat s jeho daty, například s GitHubem. Sám AI nedává další oprávnění —\npoužije jen přístupy dostupné na daném zařízení.\n\n**Opatrovník** Ve starších zdrojích určený člověk, který pomáhá s obnovou\nnebo servisním zásahem u AI Kolegy. Tato role sama neuděluje obecný přístup.\n\n**Draft** Rozpracovaný návrh, který ještě není oficiální. Můžete ho\nkontrolovat, měnit nebo zahodit.\n\n**Publikace** Okamžik, kdy se Draft stane oficiálním nebo viditelným\nostatním, třeba merge pull requestu nebo odeslání e-mailu či zprávy. Agent ji\nprovede pouze po výslovném souhlasu uživatele; co smí publikovat, určují jeho\nživá práva.\n\n**Handoff** Závěr práce agenta: odkaz na ni, co Publikace zavede, co agent\nověřil, a otázka, kdo změny publikuje.\n\n**Release** Oficiální vydání označené verze produktu nebo aplikace,\nnapříklad nové verze pro zákazníky.\n\n**Pull request (PR)** Návrh změn čekající na kontrolu a schválení před\nzařazením do oficiální verze.\n\n**Draft pull request** Pull request, který je ještě rozpracovaný. GitHub ho\nnikomu nedovolí mergnout, dokud ho někdo nepřepne na Ready for review.\nAgenti v Lazuriu ho otevírají hned, jak začnou na změně pracovat.\n\n**Review** Kontrola pull requestu někým jiným než autorem, než se mergne.\nU chráněné větve může GitHub schvalující review vyžadovat.\n\n**Main** Hlavní, aktuálně platná verze projektu. Rozpracované změny se do ní\ndostanou až po potřebných kontrolách.\n\n**Worktree** Oddělená pracovní kopie projektu. Agent nebo vývojář v ní může\nbezpečně připravovat změny bez zásahu do hlavní verze.\n\n**Productionspace** Technická část Organizace pro zdrojové kódy a systémy,\nkteré nejsou běžnými pracovními aplikacemi.\n\n**Folder (Lazurio Folder)** Složka v Prostředí, ve které Lazurio drží\ninstrukce, manuály a skilly pro agenty, vedle vašich Organizací. Každé nové\nvlákno v Chatu začíná v ní. Soubory v ní generuje Lazurio, takže ruční\núprava v nich zablokuje jejich aktualizace.\n\n**Bun** Technický nástroj používaný k instalaci, spouštění a testování\naplikací. Pokud nejste vývojář, obvykle s ním nemusíte pracovat přímo.\n\n**Zařízení (Machine)** Zařízení nebo izolované prostředí operačního systému,\nve kterém Lazurio běží. Tvoří hranici pro zabezpečení, přístupy a obnovu.\n\n**Přístup** Skutečné oprávnění něco zobrazit nebo změnit. Oprávnění\nk repozitářům určuje GitHub. Samotný název role přístup neuděluje.\n\n
\n\nPojmenování odpovídá veřejným [rozhodnutím Lazuria](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md),\nzejména 0170 a 0207 s jejich dodatky, 0169 pro Henryho a 0089 pro Buddyho.\nNázvy rolí určuje [rozhodnutí 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent)\n(anglicky); dřívější názvy Builder, Steward a User už role neoznačují.\nKonkrétní instalace může používat starší popisky; technické názvy a příkazy\nzůstávají přesné. Pojmy krok za krokem používá [Úvodní kurz](/cs/guide/course/)." }, { "stableId": "lazurio-doc-guide", "locale": "cs", "route": "/cs/guide/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/", "sourcePath": "data/v2/docs/cs/guide/index.mdx", "title": "Guide", "summary": "Vyberte si návod k zadávání úkolů, sdíleným postupům nebo propojení nástrojů.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme" ], "markdown": "
\n

Jak zadat agentovi práci, předat mu firemní postup a zkontrolovat výsledek. Začněte úvodem, nebo si vyberte konkrétní návod.

\n \"Mattyčus,\n
\n\n\n\nChybí vám návod? Popište svému agentovi, co potřebujete udělat a kde jste se\nzastavili. Pokud si nevíte rady ani potom, obraťte se na podporu svého týmu." }, { "stableId": "lazurio-doc-guide-modules", "locale": "cs", "route": "/cs/guide/modules/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/modules/", "sourcePath": "data/v2/docs/cs/guide/modules.md", "title": "Moduly", "summary": "Co je modul, kde ho najdete, jak vzniká, kdo ho dostane a kde leží jeho data.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-standard-v0-1-21", "lazurio-platform-module-parts-f14", "lazurio-platform-decision-f52", "lazurio-platform-content-sync-v0-1-20", "lazurio-platform-new-module-tile-v0-1-20", "lazurio-platform-texts-v0-1-20", "lazurio-platform-prompt-handoff-v0-1-20", "lazurio-platform-release-v0-1-20", "lazurio-platform-release-v0-1-21-rc-1", "lazurio-platform-marketplace-v0-1-21", "lazurio-marketplace-registry", "lazurio-template-adoption", "lazurio-platform-stack-profiles", "lazurio-platform-register-modules", "lazurio-platform-folder-manual", "lazurio-decision-0234-role-names" ], "markdown": "**Modul je jedna oblast vaší práce, třeba zakázky, web nebo receptury.\nDrží pohromadě postup, podle kterého agenti pracují, data, se kterými se\npracuje, a aplikaci, ve které je vidíte a měníte.**\n\n
\n \n
Modul je jedna oblast vaší práce. Postup, data a aplikace v jednom balíčku. Agenti pracují podle postupu, lidé v aplikaci. Admin Organizace rozhodne, kdo modul dostane. Nový postavíte s agentem, nebo ze šablony.
\n
\n\n## Tři části modulu\n\n| Část | Pro koho | Co to je |\n| --- | --- | --- |\n| **Postup** | agenti | Jak se v oblasti pracuje: kroky, pravidla a návody, podle kterých se agenti řídí. |\n| **Data** | lidé i agenti | Záznamy a obsah oblasti: zakázky, stránky webu, receptury. |\n| **Aplikace** | lidé | Obrazovka, ve které data vidíte a měníte: přehled, formulář, nástěnka, web. Modul může začít i bez ní. |\n\nPod těmito třemi částmi je repozitář na GitHubu. Změny v modulu mají historii\na jdou vrátit, takže se nebojte zkoušet. Neplatí to pro záznamy v databázi ani\npro to, co agent odeslal ven, třeba e-mail.\n\n## Příklad, který má každá firma\n\nVezměte si **web firmy**. Postup říká, jak píšete texty a jaké používáte barvy.\nData jsou stránky, texty a obrázky. Aplikace je web sám a jeho náhled. Proto\nagentovi stačí poslat snímek obrazovky a napsat „oprav tuhle větu“: modul webu\nmu řekne, kde text leží a jak změnu publikovat.\n\nDalší dva příklady:\n\n- **Zakázky:** postup přijetí zakázky, zakázky samotné a jejich přehled.\n- **Finance bez aplikace:** postup a tabulky. Aplikaci přidáte, až ji budete\n chtít.\n\nModul není složka. I modul bez aplikace má svůj postup a data a agenti s nimi\npracují.\n\n## Kde modul najdete\n\nOtevřete **Apps**. V části **Workspace** vidíte každý modul své Organizace, ke\nkterému se vaše Prostředí dostane, a to každý jednou. Dlaždice otevře aplikaci\nmodulu v prohlížeči; samotná aplikace běží ve vašem Prostředí.\n\nKdyž Kolega zmíní modul, který nevidíte, možná k němu nemáte přístup. Zeptejte\nse Admina Organizace.\n\n## Jak modul vzniká\n\n**S agentem.** V Apps v části **Workspace** zvolte **Nový modul**. Otevře se\nChat v novém vlákně s připraveným zadáním, zatím neodeslaným. Popíšete, co má\nmodul řešit, agent se doptá na to, co mu chybí, a technické věci zvolí sám.\nUkáže vám plán a modul založí až po vašem souhlasu.\n\nKdo to může udělat, záleží na tom, kam modul patří:\n\n- **V Organizaci zakládá moduly Admin Organizace.** Dlaždici **Nový modul** vidí jen on.\n Z modulu se stane soukromý repozitář Organizace.\n- **Když Adminem Organizace nejste,** popište, co potřebujete, a\n [požádejte ho](/cs/guide/ask-the-admin/).\n- **V Osobním Prostředí si zakládáte moduly sami.** Stejnou dlaždici najdete ve\n svém osobním prostoru. Z modulu se stane soukromý repozitář na vašem vlastním\n GitHub účtu. Patří jen vám a do žádné Organizace nejde.\n\n**Ze šablony.** Verze 0.1.21, k 5. listopadu 2026 kandidát vydání, přináší\nšablony do **Marketplace** dole v Apps: Mission Control, Design System\na Prezentace. Tlačítko **Přidat do Organizace** předá zadání vašemu agentovi,\nkterý vám ukáže plán a připraví soukromou kopii ve vaší Organizaci. Založí ji\ni tady Admin Organizace; když jím nejste, agent mu připraví žádost.\n\nAť modul vznikne jakkoli, je to váš modul. Začněte malou první verzí. Modul\nroste dalšími zadáními v Chatu.\n\n## Jak se modul mění\n\nNapište do Chatu, co chcete změnit. Agent změnu připraví a ukáže vám ji v panelu\nvpravo. Když vám vyhovuje, napište „publikuj“. Na GitHub nikdo chodit nemusí.\nPoslední krok vysvětluje [Kontrola a Publikace](/cs/guide/course/review/).\n\n## Kdo modul dostane a kdy se objeví\n\nOrganizace sdílí moduly po Teamech. Admin Organizace rozhoduje, které Teamy\nk modulu dosáhnou, a to v Přehledu Organizace nebo přímo na GitHubu. Přístup\nTeamu k modulu má úroveň, jednu z rolí v modulu: Čtenář modulu, Přispěvatel\nmodulu nebo Správce modulu (rozhodnutí 0232 a 0234). Modul se\ndoručuje do Prostředí: co v Prostředí není, to v Apps nevidíte a agent tam nepřečte.\nJméno modulu ale agent vidět může v manifestu Organizace.\n\nRozhoduje, co v Prostředí opravdu leží. Kdo má plný přístup do sdíleného Prostředí,\npracuje i s jeho moduly, i když sám přístup k modulu nemá. A odebrání přístupu\nnesmaže kopii, kterou Prostředí už má: zůstane tam, agent v tomto Prostředí ji\npřečte a jen se přestane aktualizovat.\n\nOd verze 0.1.20 k vám modul dorazí sám, jakmile k němu máte přístup. Lazurio se ho\npokusí stáhnout do vašeho Prostředí při startu a potom každou hodinu, takže se\nv Apps obvykle objeví do hodiny a nikdo nemusí nic instalovat. Je to pokus, ne\nzáruka. Když nejde aktualizovat kopii kořenového repozitáře Organizace ve vašem\nProstředí nebo když GitHub operaci odmítne či se nepovede, modul nedorazí a Lazurio\nto zkusí znovu v dalším kole. Když očekávaný modul nepřichází, zeptejte se Admina\nOrganizace.\n\nJinak je to ve dvou případech:\n\n- **Týmové Prostředí** nový modul tímto způsobem nedostane. Požádejte Admina\n Organizace.\n- **Modul vyhrazený Adminům Organizace** sám nedorazí ani jim. Instaluje se zvlášť.\n\nOsobní modul zůstává ve vašem Osobním Prostředí.\n\n## Moduly, Soubory a Integrace\n\n| | Co to je | Co to pro vás znamená |\n| --- | --- | --- |\n| **Modul** | Sdílená oblast práce vaší Organizace. | Má historii a k lidem se dostává podle přístupů. |\n| **Soubory** | Složka Dokumenty jednoho Prostředí: pracovní stůl, na kterém agentům předáváte podklady a od nich si berete hotové soubory. | Zůstává v tomto jednom Prostředí a nemá historii změn. |\n| **Integrace** | Cizí aplikace, kterou agenti používají zvenku, třeba e-mail nebo kalendář. | Pracujete s tím, co připojení nabízí. Kód aplikace není váš. |\n\nDvě pravidla, která doporučujeme:\n\n- Co má sdílet tým nebo přežít jedno Prostředí, patří do modulu.\n- Vlastní modul se vyplatí, když chcete vlastní postup a aplikaci. Integrace,\n když většinu práce zvládne hotová aplikace.\n\n## Kde leží data\n\nModuly se liší tím, kde mají data. Vybírat nemusíte: agent zvolí nejjednodušší\nmísto, které stačí, a modul se posune dál, až když to používání opravdu\npotřebuje.\n\n| Kde data leží | Kdy se to hodí | Příklad |\n| --- | --- | --- |\n| Přímo v aplikaci | Modul nemá vlastní záznamy. | Sada prezentací |\n| Vedle aplikace ve stejném repozitáři | Obsahu je hodně, mění se občas a upravují ho agenti. | Tato dokumentace |\n| Ve vlastním datovém repozitáři | Záznamy se mění denně a chcete historii a schvalování. Změna počká, až ji člověk publikuje. | Plány v Mission Controlu |\n| V databázi na serveru vaší Organizace | Zapisuje mnoho lidí najednou, přístup se liší uvnitř dat nebo se musí dát smazat osobní údaje. **Rozhodnuto, zatím není k dispozici.** | CRM celého obchodu |\n\nStejnou tabulku s technickými názvy pro IT najdete v části\n[Architektura](/cs/architecture/).\n\n## Časté otázky\n\n**Když modul používá dvacet lidí, jsou data dvacetkrát?**\nNe. Zdroj je jeden, na GitHubu. Každé Prostředí s přístupem má jeho kopii\na Lazurio ji pravidelně aktualizuje.\n\n**Má každý svůj repozitář, nebo je jeden pro celou Organizaci?**\nAni jedno. Organizace má jeden kořenový repozitář a každý modul má vlastní.\nLidé pracují s kopií ve svém Prostředí.\n\n**Jsou to naše vlastní moduly, nebo ty vaše?**\nVždycky vaše. I šablona se přidá jako vaše vlastní soukromá kopie.\n\n**Je Apps něco jiného než modul?**\nAno. Apps je stránka v Lazuriu, na které moduly najdete. Modul je to, co otevře\njejí dlaždice.\n\n**Musím nový modul přesunout do nějaké složky?**\nNe. Agent ho založí na správné místo a v Apps se objeví sám.\n\n**Postaví jedno zadání celé CRM?**\nNajednou ne. Zadejte malou první verzi, která dělá dobře jednu věc, a v Chatu\nji pak rozšiřujte.\n\n**Musím kvůli změně modulu něco mergovat na GitHubu?**\nNe. Napište změnu do Chatu, zkontrolujte ji v panelu vpravo a napište\n„publikuj“.\n\n**Dosáhne agent na naši stávající databázi nebo jiný systém?**\nAno, jako Integrace, pokud se k systému dá připojit. Podrobnosti pro IT jsou\nv části [Architektura](/cs/architecture/#modul-nebo-integrace)." }, { "stableId": "lazurio-doc-guide-phone-and-computer", "locale": "cs", "route": "/cs/guide/phone-and-computer/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/phone-and-computer/", "sourcePath": "data/v2/docs/cs/guide/phone-and-computer.md", "title": "Telefon a počítač", "summary": "Kdy můžete ovládat chaty svého Prostředí z aplikace ChatGPT v telefonu nebo z ChatGPT Desktopu v počítači, a co použít, když to Připojení nenabízí.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-platform-launchpad-texts-pairing" ], "markdown": "Co vám Prostředí nabízí, ukazuje **Nastavení → Připojení**. Řiďte se tím, co\ntam stránka ukáže. Tady najdete, co který případ znamená.\n\n## Kdy jde párování\n\nPárování propojí aplikaci ChatGPT s vaším Prostředím přes váš účet ChatGPT\n([rozhodnutí 0215](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0215--chatgpt-apps-pair-with-an-environment-through-the-chatgpt-account-ssh-stays-a-hidden-option-for-advanced-users)).\nFunguje jen tehdy, když platí všechno z tohoto:\n\n- vaše Prostředí používá **váš vlastní účet ChatGPT**, ne AI pool Organizace\n ([Odkud bere vaše Prostředí AI](/cs/guide/ai-source/), rozhodnutí 0229);\n- Lazurio ve vašem Prostředí rozpoznalo funkci vzdáleného ovládání. Ta je\n zatím experimentální, proto ji Lazurio ověřuje a párování nabídne jen tam,\n kde ji najde;\n- vaše Organizace **nepoužívá** veřejné adresy (rozhodnutí 0213). Tam se\n párování ukazuje jako nedostupné a pracujete ve webovém rozhraní: Launchpad,\n chat, MausBot a Buddy.\n\nAplikace ChatGPT musí být přihlášená stejným účtem jako Codex ve vašem\nProstředí, ChatGPT Plus a vyšší.\n\n## Telefon\n\nKdyž **Nastavení → Připojení → Telefon** nabízí **Spárovat telefon**:\n\n1. Zvolte **Spárovat telefon**.\n2. V telefonu otevřete aplikaci ChatGPT, zvolte **Codex → Přidat počítač**\n a naskenujte QR kód.\n3. Hotovo je, když stránka ukáže **Telefon je spárovaný**.\n\nSvoje telefony najdete v seznamu **Spárované telefony**. **Odebrat přístup**\ntelefonu přístup hned ukončí, třeba když ho ztratíte.\n\nKdyž stránka místo toho ukáže hlášku:\n\n| Stránka hlásí | Co to znamená |\n| --- | --- |\n| **Nejdřív se přihlaste svým účtem ChatGPT.** | Nejdřív se přihlaste v Nastavení → Začínáme → Připojit AI. |\n| **Pro Prostředí s AI Organizace telefon připravujeme.** | Vaše Prostředí používá AI pool Organizace a párování potřebuje váš vlastní účet. Požádejte Admina Organizace o přechod na vlastní účet, nebo se zeptejte, jestli má vaše Organizace pro telefon jinou cestu; viz [Jak požádat Admina Organizace](/cs/guide/ask-the-admin/). |\n| **Týmové Prostředí párování telefonu nemá.** | Sdílené Týmové Prostředí se s telefonem jednoho člověka nepáruje. |\n| **Párování teď není dostupné.** | Párování v tomto Prostředí teď nejde, například v Organizaci s veřejnými adresami. Použijte webové rozhraní v prohlížeči telefonu, nebo to zkuste později. |\n\n**Restartovat Codex** na této stránce ukončí chaty, které v Codexu právě běží.\nPoužijte ho, jen když nic důležitého neběží.\n\n## Počítač\n\nKdyž **Nastavení → Připojení → Počítač** nabízí **Připojit počítač**, dá vám\nstránka prompt: zkopírujte ho, otevřete ChatGPT Desktop, vložte ho agentovi\na klikněte na **Přidat do Codexu**. Když to stránka nenabízí, pracujte ve\nwebovém rozhraní v prohlížeči.\n\n**SSH ze zařízení** na téže stránce je pokročilá možnost. Nabízí se jen tam,\nkde je SSH do Prostředí povolené, nikdy v Organizaci s veřejnými adresami.\n\nPokud vaše Organizace vstupuje do svých Prostředí přes tailnet, potřebuje\npočítač, který se takto připojuje, ještě Tailscale a přístup, který vaše\nOrganizace vyžaduje; viz [Přidání nového zařízení do\ntailnetu](/cs/guide/tailscale-add-device/) a [Schválení\nzařízení](/cs/guide/device-approval/)." }, { "stableId": "lazurio-doc-guide-recommended-apps", "locale": "cs", "route": "/cs/guide/recommended-apps/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/recommended-apps/", "sourcePath": "data/v2/docs/cs/guide/recommended-apps.mdx", "title": "Doporučené aplikace", "summary": "Nástroje pro diktování, přehled AI limitů a Mac, který neusne.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "wispr-flow", "wispr-context-privacy", "codexbar", "codexbar-permissions", "amphetamine" ], "markdown": "Tyto aplikace pomáhají s diktováním, přehledem AI limitů a uspáváním Macu.\nNejsou součástí Lazuria. Před instalací ověřte, že je vaše Organizace dovoluje.\n\n
\n
\n
\"Wispr
\n

Hlasové zadávání

Wispr Flow

\n

Diktování, které funguje v textových polích napříč aplikacemi. Mluvte přirozeně a Wispr Flow z řeči připraví upravený text.

\n

Kdy se hodí: Když chcete rychle nadiktovat delší prompt, e-mail nebo zprávu a nechcete vše psát na klávesnici.

\n

Soukromí: Zapnuté Context Awareness může odesílat okolní text, údaje o aplikaci a historii konverzace spolu s diktováním. Podle dokumentace Wispr nepořizuje screenshoty. Na iPhonu se posílá okolí kurzoru a samostatný přepínač této funkce není. Před použitím s pracovními daty nechte schválit zpracování a oprávnění; na Macu a Windows v citlivém prostředí vypněte Context awareness v Settings → Data and Privacy. I potom se podle Wispr posílá název aplikace a doména webu; Command Mode a Polish odesílají upravovaný text. Nastavení uchování a použití dat pro trénink ověřte zvlášť. Co může Wispr číst.

\n Stáhnout Wispr Flow →\n
\n
\n
\"CodexBar\"
\n

Přehled AI limitů

CodexBar

\n

Bezplatná open-source aplikace pro macOS, která v horní liště ukazuje využití AI služeb, dostupné limity a čas jejich obnovení.

\n

Kdy se hodí: Než zadáte delší práci agentovi, rychle uvidíte, kolik kapacity zbývá a kdy se limit obnoví.

\n

Oprávnění: Podle připojené služby může CodexBar používat cookies prohlížeče, Keychain nebo OAuth údaje. Čtení Safari cookies může vyžadovat Full Disk Access (úplný přístup k disku). Tato oprávnění nejsou pouhým zobrazením limitů: před připojením pracovního účtu nechte konkrétní přístup schválit a zvolte nejmenší potřebný rozsah. Cookies ani tokeny neposílejte do chatu. Dokumentace oprávnění.

\n Otevřít CodexBar →\n
\n
\n
\"Amphetamine\"
\n

Mac, který neusne

Amphetamine

\n

Bezplatná aplikace pro macOS z Mac App Storu, která zabrání uspání počítače. S připojeným napájením umí udržet MacBook v chodu i se zavřeným víkem.

\n

Kdy se hodí: Při delším úkolu, během kterého Mac nesmí usnout.

\n Otevřít Amphetamine v App Storu →\n
\n
" }, { "stableId": "lazurio-doc-guide-start-here", "locale": "cs", "route": "/cs/guide/start-here/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/start-here/", "sourcePath": "data/v2/docs/cs/guide/start-here.mdx", "title": "Jak přemýšlet o Lazuriu a agentech", "summary": "Co agent potřebuje k práci a jak používat společné postupy v Knowledgebase.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-architecture" ], "markdown": "Nový asistent umí psát a hledat informace, ale zatím nezná vaše postupy,\nzkratky ani požadavky na výsledek.\n\nAgent potřebuje podobné uvedení do práce: co má udělat, z čeho má vycházet\na podle čeho výsledek posoudíte. Nemusíte hledat zvláštní formulaci.\nPopište úkol vlastními slovy a opravte to, čemu nerozuměl. V Lazuriu máte\npro tuto práci společné podklady a pravidla.\n\n## Vy zadáváte směr. Asistent připravuje práci.\n\n
\n
\n
👤Vy

Znáte firmu, cíl a to, co je důležité.

\n
Zadání a podklady →← Návrh ke kontrole
\n
👤Váš AI asistent

Připravuje práci, ptá se a zapracovává připomínky.

\n
\n
▤Knowledgebase · společný notýsek

Ověřené postupy a souvislosti pro další práci. Zápis navrhnete, zkontrolujete a necháte schválit podle pravidel týmu.

\n
Ilustrace spolupráce: zadání → návrh → kontrola → schválený postup do společného notýsku. Oprávnění kolegové a jejich agenti z něj mohou čerpat, když mají přístup a načtou si ho.
\n
\n\nPřirovnání k člověku pomáhá se zadáváním práce, není ale doslovné. Agent není\nčlověk, může se mýlit a nemá automaticky vaše zkušenosti ani přístup ke všemu.\nV tomto návodu mluvíme o **agentovi pro konkrétní úkol**, nikoli automaticky\no dlouhodobém osobním Buddym nebo samostatném AI Kolegovi.\n\n## Co byste řekli novému asistentovi?\n\nMísto „Připrav schůzku“ mu vysvětlete, s čím potřebujete pomoct:\n\n```text\nPřipravuji se na týmovou poradu. Z přiložených poznámek připrav\njednostránkový přehled: co je hotové, co nás blokuje a co musíme rozhodnout.\nPiš stručně pro kolegy, kteří znají projekt. Nevymýšlej chybějící údaje;\noznač je jako otázky. Zatím jen připrav návrh, nikam ho neposílej.\n```\n\n
Podívejte se na příklad reakce asistenta

AI · ilustrační odpověď: Připravím přehled v těchto třech částech. U chybějícího termínu uvedu otázku, místo abych datum odhadoval. Nejdřív ale potřebuji poznámky, ze kterých mám vycházet.

Vy: Tady jsou poznámky. U každého blokovaného bodu přidej, kdo nám může pomoci.

\n\n## Knowledgebase je váš společný notýsek\n\nNovému asistentovi byste dali firemní příručku. V Lazuriu tuto roli plní\n**Knowledgebase**: místo pro sdílené znalosti, postupy a souvislosti.\nNemusíte stejnou věc vysvětlovat pokaždé od začátku — pokud je správně\nzapsaná, dostupná a agent si ji pro danou práci načte.\n\n**Chat je pracovní rozhovor. Knowledgebase je místo pro to, co má zůstat.**\nVěta „to si zapamatuj“ sama nedokazuje, že se pravidlo uložilo pro ostatní.\nNechte si ukázat konkrétní zápis, jeho umístění a komu bude dostupný.\nSoukromé informace do společného notýsku nepatří.\n\n```text\nZ toho, co jsme si upřesnili, připrav návrh postupu do Knowledgebase\nnaší organizace. Nejdřív ověř, zda už podobný postup existuje.\nUkaž mi navržené změny, kam patří a kdo k nim má přístup.\nZatím je nepublikuj. Pokud k Knowledgebase nemáš přístup, řekni to.\n```\n\n## Zaučujte při skutečné práci\n\nNemusíte nejprve sepsat celou firmu. Začněte jedním malým úkolem. Opravte\nvýsledek konkrétní připomínkou, například „Termín uváděj jen tam, kde je\npotvrzený ve zdroji“. Pokud se pravidlo bude hodit znovu, připravte jeho\nzápis do Knowledgebase. Zaučování zde znamená předávání kontextu a postupů,\nne trénování samotného AI modelu.\n\nPříště už můžete odkázat na schválený postup a vysvětlit jen to, co se změnilo.\n\nPokračujte na [První kroky s agentem](/cs/guide/first-steps/): tři krátká\ncvičení od prvního zadání po znovupoužití společného postupu." }, { "stableId": "lazurio-doc-guide-tailscale-add-device", "locale": "cs", "route": "/cs/guide/tailscale-add-device/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/tailscale-add-device/", "sourcePath": "data/v2/docs/cs/guide/tailscale-add-device.md", "title": "Přidání nového zařízení do tailnetu", "summary": "Nainstalujte Tailscale, zadejte přihlašovací server Organizace, přihlaste se účtem Lazurio a počkejte na schválení Adminem Organizace.", "audience": [ "builder", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-environment-access-model-device-approval", "lazurio-agent-manual-device-enrollment", "lazurio-device-node-names", "headscale-project", "headscale-connect-apple", "headscale-connect-android", "tailscale-custom-control-server", "tailscale-machine-names", "tailscale-system-policies", "tailscale-android-package", "tailscale-install-ios", "tailscale-install-android", "tailscale-install-macos", "tailscale-install-windows", "tailscale-install-windows-msi", "tailscale-cli-login-output", "microsoft-powershell-call-operator", "microsoft-windows-terminal-interaction" ], "markdown": "Nové zařízení si do tailnetu Organizace přidáte sami: **nainstalujte\nTailscale, zadejte v něm přihlašovací server své Organizace, přihlaste se\núčtem Lazurio a počkejte, až vám Admin Organizace napíše, že je zařízení\nschválené.** Do té doby nečekejte, že se z něj Prostředí Organizace otevřou. Každé zařízení (telefon, tablet,\npočítač) se přidává zvlášť a zvlášť se i schvaluje. Na iPhonu, Androidu\na Macu se celý postup dělá klikáním v aplikaci. Ve Windows je potřeba jeden\nřádek v PowerShellu; obrázky ukazují každé kliknutí a tento krok můžete předat\ni svému agentovi.\n\nKdyž už zařízení v tailnetu máte a jen se nemůžete připojit, pokračujte\nnávodem [Připojení k Prostředí přes Tailscale](/cs/guide/tailscale/).\n\n## Než začnete\n\nPřipravte si **adresu přihlašovacího serveru vaší Organizace**. Lazurio\nprovozuje tailnety na [Headscale](https://github.com/juanfont/headscale),\nvlastním serveru, ke kterému se aplikace Tailscale přihlašuje místo serveru\nspolečnosti Tailscale. Adresa má obvykle tvar\n`https://headscale..lazurio.io`. Přesnou adresu dostanete od\nAdmina Organizace. Adresu nehádejte:\ns jinou se přihlásíte do cizí sítě, nebo vůbec.\n\nRozmyslete si také, jak se má zařízení jmenovat: `-`,\nnapříklad `jannovak-iphone` nebo `jannovak-macbook`. Jméno v aplikaci\nnenastavujete, jen ho napíšete Adminovi Organizace (viz [Jméno\nzařízení](#jméno-zařízení)).\n\n## Přidejte zařízení\n\nPostup vychází z oficiální dokumentace Tailscale a Headscale ke dni\n3. listopadu 2026. Kroky pro Android jsme téhož dne prošli ve skutečné\naplikaci Tailscale 1.104.5 a obrázky pocházejí z ní. Aplikace pro iPhone\na Android nabídky mezi verzemi mění. Když položku nenajdete pod uvedeným\nnázvem, hledejte podobnou nabídku pro vlastní (custom nebo alternate) server.\n\n### iPhone a iPad\n\n1. Nainstalujte aplikaci [Tailscale z App Store](https://apps.apple.com/app/tailscale/id1470499037).\n Funguje na iOS 15 a novějším.\n2. Otevřete ji, zvolte **Get Started** a povolte přidání konfigurace VPN.\n Zatím se nepřihlašujte.\n3. Klepněte na ikonu profilu vpravo nahoře. Otevře se nastavení.\n4. Nejste-li v Tailscale přihlášení k jinému tailnetu, klepněte na **Log in**.\n Jinak klepněte na svůj přihlášený účet.\n5. Vpravo nahoře otevřete nabídku a zvolte **Use a custom coordination\n server**.\n6. Zadejte adresu přihlašovacího serveru Organizace a klepněte na **Log in**.\n7. Otevře se přihlášení Lazuria. Přihlaste se svým účtem Lazurio a vraťte se\n do aplikace Tailscale.\n\nVlastní obrázky z iPhonu zatím nemáme. Postup s popisem obrazovek je na\nstránce Tailscale [Configure Tailscale clients to use a custom control\nserver](https://tailscale.com/docs/how-to/set-up-custom-control-server).\n\n### Android\n\n1. Nainstalujte aplikaci\n [Tailscale z Google Play](https://play.google.com/store/apps/details?id=com.tailscale.ipn).\n Funguje na Androidu 8.0 a novějším.\n2. Otevřete ji. Android se zeptá, jestli Tailscale smí nastavit připojení VPN.\n Klepněte na **OK**.\n\n
\n \"Dialog\n
Povolte připojení VPN. Tím se zatím k žádné síti nepřipojíte.
\n
\n\n3. Neklepejte na velké tlačítko **Log in**: vede na server společnosti\n Tailscale. Klepněte na ozubené kolo vpravo nahoře.\n\n
\n \"Úvodní\n
Nastavení otevřete ozubeným kolem, ne tlačítkem Log in.
\n
\n\n4. V nastavení klepněte na **Accounts**.\n\n
\n \"Nastavení\n
\n\n5. Vpravo nahoře klepněte na tři tečky a zvolte **Use an alternate server**.\n\n
\n \"Obrazovka\n
\n\n6. Do pole **Custom control server URL** zadejte adresu přihlašovacího\n serveru Organizace a klepněte na **Add account**.\n\n
\n \"Obrazovka\n
Na obrázku je ukázková adresa. Zadejte adresu své Organizace.
\n
\n\n7. Otevře se přihlášení Lazuria. Přihlaste se svým účtem Lazurio a vraťte se\n do aplikace Tailscale.\n\n### macOS\n\nTailscale pro macOS potřebuje macOS Ventura 13.0 nebo novější.\n\n1. Nainstalujte Tailscale: verzi\n [Standalone ze stránek Tailscale](https://tailscale.com/download) (Tailscale\n ji doporučuje), nebo verzi z Mac App Store.\n2. Spusťte aplikaci, projděte úvodní kroky a povolte konfiguraci VPN.\n Zatím se nepřihlašujte.\n3. Podržte klávesu **Option** (⌥) a klikněte na ikonu Tailscale v horní\n liště. Najeďte na **Debug** a v části **Custom Login Server** zvolte\n **Add Account…**.\n4. Zadejte adresu přihlašovacího serveru Organizace a klikněte na **Add\n Account**.\n5. V prohlížeči se otevře přihlášení Lazuria. Přihlaste se svým účtem Lazurio.\n\nJste-li už v Tailscale přihlášení k jinému tailnetu, Tailscale uvádí i druhou\ncestu: ikona Tailscale v horní liště → **Settings** → záložka **Accounts** →\nšipka vlevo dole → zadejte adresu → **Add account**.\n\nKroky 3 a 4 popisuje dokumentace Headscale; vlastní obrázky z Macu zatím\nnemáme.\n\n### Windows\n\nAplikace Tailscale pro Windows vlastní přihlašovací server v okně zadat\nneumí (uvádí to dokumentace Tailscale). Ve Windows ho proto zadáte **jedním\nřádkem ve Windows PowerShellu**. Je to jediný příkaz v tomto návodu. Obrázky\nníže ukazují každé kliknutí, a když chcete, [nechte to na\nagentovi](#nechte-to-na-agentovi).\n\n1. Nainstalujte [Tailscale pro Windows](https://tailscale.com/download/windows)\n (Windows 10 nebo novější) a dokončete instalaci. V aplikaci Tailscale se\n **nepřihlašujte**: její tlačítko Log in vede na server společnosti\n Tailscale, ne do vaší Organizace.\n2. Klikněte na **Start**, napište **PowerShell** a otevřete **Windows\n PowerShell**. **Spustit jako správce** nepotřebujete.\n\n
\n \"Ilustrační\n
Ilustrační maketa, ne snímek obrazovky. Windows PowerShell otevřete obyčejným kliknutím.
\n
\n\n3. Zkopírujte celý tento řádek. Místo `` dejte\n přihlašovací server své Organizace, například\n `https://headscale.example.lazurio.io`:\n\n ```powershell\n & \"C:\\Program Files\\Tailscale\\tailscale.exe\" login --login-server=\n ```\n\n Vložte ho do okna PowerShellu klávesami **Ctrl+V** nebo pravým tlačítkem\n myši a stiskněte **Enter**. Znak `&` a uvozovky na začátku nechte: bez `&`\n PowerShell cestu v uvozovkách jen vypíše a Tailscale nespustí.\n\n
\n \"Ilustrační\n
Ilustrační maketa s ukázkovou adresou. Řádek se v okně může zalomit, to nevadí.
\n
\n\n4. Okno napíše **To authenticate, visit:** a adresu, která začíná vaším\n přihlašovacím serverem. Podržte **Ctrl** a na adresu klikněte. Když se nic\n neotevře, označte celou adresu myší, pravým tlačítkem ji zkopírujte a vložte\n do adresního řádku prohlížeče. V okně nemačkejte **Ctrl+C**: bez označeného\n textu příkaz zastaví.\n\n
\n \"Ilustrační\n
Ilustrační maketa. Vaše adresa bude pokaždé jiná.
\n
\n\n5. V prohlížeči se otevře přihlášení Lazuria. Přihlaste se svým účtem Lazurio\n a po dokončení kartu prohlížeče zavřete. Okno PowerShellu mezitím nechte\n otevřené.\n6. V PowerShellu se objeví **Success.** Okno pak můžete zavřít. Zařízení je\n v tailnetu vaší Organizace a čeká na schválení (viz [Co se stane\n potom](#co-se-stane-potom)).\n\n
\n \"Ilustrační\n
Ilustrační maketa. Success. znamená, že je přihlášení hotové, ne že je zařízení schválené.
\n
\n\nKdyž PowerShell červeně odpoví, že výraz nezná (is not recognized), Tailscale\nnení nainstalovaný ve své obvyklé složce: nainstalujte ho (krok 1) a řádek\nvložte znovu. Když jen zopakuje cestu v uvozovkách, chybí na začátku `&`.\n\nObrázky jsou ilustrační makety podle dokumentace Microsoftu a Tailscale\na podle hlášek ve zdrojovém kódu Tailscale; na skutečném počítači s Windows\njsme je zatím nepořídili.\n\n#### Nechte to na agentovi\n\nKdyž na tomto počítači s Windows pracujete s agentem (ChatGPT Desktop, Codex\nnebo Claude), zkopírujte mu do nového chatu prompt níže a místo\n`` doplňte přihlašovací server své Organizace. Agent\nřádek spustí, přečte adresu a řekne vám, kam kliknout. Přihlášení zůstává na\nvás a zařízení agent schválit nemůže.\n\n```text\nPřipoj tento počítač s Windows do tailnetu mé Organizace v Tailscale. Přihlašovací server Organizace je .\n\n1. Ověř, že je Tailscale nainstalovaný: existuje C:\\Program Files\\Tailscale\\tailscale.exe. Když neexistuje, zastav se a řekni mi, ať ho nainstaluji z https://tailscale.com/download/windows. Sám ho neinstaluj.\n2. V PowerShellu spusť přesně tento řádek, bez administrátorských práv, a tak, abys mohl číst jeho výstup, zatímco dál čeká (třeba v samostatném okně nebo na pozadí):\n & \"C:\\Program Files\\Tailscale\\tailscale.exe\" login --login-server=\n3. Výstup napíše „To authenticate, visit:“ a adresu. Dej mi tu adresu jako klikací odkaz a jednou dvěma větami mi řekni: otevřete ji, přihlaste se svým účtem Lazurio a pak se vraťte do tohoto chatu. Přihlášení sám neotevírej, nevyplňuj ani nepotvrzuj a nikdy po mně nechtěj heslo ani kód.\n4. Až výstup napíše „Success.“, řekni mi srozumitelně, že tento počítač je v tailnetu toho přihlašovacího serveru a čeká na schválení Adminem Organizace. Zjisti jméno tohoto počítače v tailnetu (tailscale status --json, Self.HostName) a řekni mi, ať ho pošlu Adminovi Organizace spolu se svým loginem.\n\nPravidla: nepoužívej auth key, neměň registr Windows ani zásady Tailscale, ostatní účty Tailscale na tomto počítači nech, jak jsou, Tailscale nevypínej a zařízení se nepokoušej schválit. Když něco selže, řekni mi, co okno napsalo, a zastav se.\n```\n\n## Jméno zařízení\n\nTailscale pojmenuje zařízení podle systému: počítač podle jeho názvu,\ntelefon obvykle jen podle výrobce nebo modelu. Aplikace Tailscale pro Android\nnastavení jména nemá (ověřeno ve verzi 1.104.5) a dokumentace Tailscale\nklikací nastavení jména neuvádí ani pro ostatní systémy. Na zařízení proto nic\nnepřejmenovávejte a jméno, které chcete, napište Adminovi Organizace.\nPodle něj pozná, které zařízení je vaše.\n\nJméno má tvar `-`:\n\n- `` je váš login malými písmeny. Máte-li k účtu Lazurio propojený\n GitHub, je to váš GitHub login. Nemáte-li ho, použijte označení, které vám\n sdělí Admin Organizace.\n- `` je krátké stálé označení, třeba `iphone`, `ipad`, `pixel`,\n `android`, `macbook` nebo `windows`. Zvolte ho jednou a používejte stejné\n ve všech tailnetech. Máte-li dvě zařízení stejného druhu, rozlište je\n natrvalo, třeba `macbook-air` a `macbook-pro`.\n- Jen malá písmena, číslice a spojovníky, bez názvu Organizace.\n\nZařízení, které už je schválené, kvůli tomuto pravidlu nepřejmenovávejte.\nJméno je součástí jeho schválení a jeho změnu musí připravit Admin\nOrganizace. Jméno je\njen popis, přístup nedává.\n\n## Co se stane potom\n\nPo přihlášení je zařízení v tailnetu zaregistrované a **čeká na schválení\nAdminem Organizace**. Podle pravidel Lazuria schvaluje každé zařízení pro svou\nOrganizaci Admin Organizace a schválení pro jednu Organizaci neotevře jinou. Jak se\nschvaluje dnes, popisuje část [Pro Admina Organizace](#pro-admina-organizace).\nNávod neslibuje, že zařízení, které ještě schválené není, je zablokované:\no tom rozhodují pravidla sítě Organizace, která spravuje Admin Organizace\ns provozovatelem sítě.\n\n**Poznáte, že čekáte:** tailnet Organizace je v Tailscale v seznamu účtů\na aplikace může ukazovat připojení, ale adresy Prostředí Organizace se\nneotevřou.\n\n**Poznáte, že jste schválení:** Admin Organizace vám dá vědět a adresy Prostředí, ke\nkterým máte přístup, se otevřou. Ověřte to se zapnutým Tailscale a vybraným\ntailnetem Organizace (návod [Připojení k Prostředí přes\nTailscale](/cs/guide/tailscale/)).\n\n### Když se nic neděje\n\n- **Přihlášení skončilo chybou.** Váš účet Lazurio zatím do tailnetu této\n Organizace nesmí, nebo jste zadali jinou adresu serveru. Zkontrolujte\n adresu a napište Adminovi Organizace.\n- **Tailnet v seznamu účtů chybí.** Přihlášení se nedokončilo. Projděte\n postup znovu od zadání serveru.\n- **Zařízení pořád čeká.** Admin Organizace o něm možná neví. Napište mu\n podle další části.\n- **Zařízení se v tailnetu objevilo pod jiným jménem nebo s příponou `-1`.**\n To je běžné. Nic sami nemažte ani nepřihlašujte znovu a napište Adminovi\n Organizace.\n\n### Požádejte Admina Organizace o schválení\n\nNapište Adminovi Organizace a uveďte:\n\n- svůj login;\n- jméno zařízení, které chcete (`-`);\n- druh zařízení (iPhone, Android, Mac, Windows);\n- adresu přihlašovacího serveru, kterou jste zadali;\n- kdy jste se přihlásili.\n\nAdmin Organizace zařízení schválí jen tehdy, když ví, že o ně žádáte vy. Proto mu pište\nkanálem, podle kterého vás pozná.\n\n## Pro Admina Organizace\n\nKaždé zařízení schvaluje Admin Organizace. Schválení je vztah konkrétního\nzařízení, účtu jeho vlastníka a vaší Organizace. Na tailnetu, který obsluhuje\nvíc Organizací, schvaluje každá Organizace zvlášť.\n\n**Jak to funguje dnes (stav k 5. listopadu 2026).** Admin Organizace\nschvaluje konkrétní zařízení a Prostředí, kam smí, v řízeném postupu\nprovozovatele sítě, který provozuje server, na kterém tailnet běží. Tato změna projde kontrolou\na nasazením a teprve potom zařízení dosáhne na nová místa. Několik čekajících\nzařízení může jít v jedné dávce, proto může schválení trvat déle než pár\nminut. Dashboard čekající zařízení zatím neukazuje: s člověkem se přímo\ndomluvte, které zařízení je jeho, a postup podání schválení si vyžádejte od\nprovozovatele sítě.\n\n**Cíl.** Model přístupu Lazuria (rozhodnutí 0192) popisuje zaregistrované\nzařízení, které nikam nedosáhne, dokud ho Admin Organizace neschválí v Dashboardu,\na službu na Conglomerate Hostu, která schválení provede během desítek sekund.\nTo se teprve staví (`issue-2026-11-03-002`). Návod netvrdí, že to už pro vaši\nOrganizaci běží.\n\nPřed schválením ověřte:\n\n1. že o zařízení žádá jeho vlastník kanálem, kterému věříte;\n2. že zařízení v tailnetu patří účtu tohoto člověka;\n3. jméno zařízení. Zařízení přichází se jménem, které mu dal systém, a člověk\n ho v aplikaci Tailscale klikáním změnit nemůže. Domluvte se s ním, o které\n zařízení jde, a jméno, pod kterým ho schvalujete, mu sdělte. Jak jméno\n při schválení nastavit, tento návod zatím nepopisuje;\n4. že jde o čerstvou registraci, kterou člověk opravdu udělal. Neznámé\n zařízení neschvalujte.\n\nČlověk s Windows zadá přihlašovací server jedním řádkem v PowerShellu, nebo to\nnechá na svém agentovi (viz [Windows](#windows)). Klikací cesta pro Windows\npořád chybí (`issue-2026-11-03-003`).\n\nKdyž člověk zařízení ztratí nebo ho už nepoužívá, nechte schválení odebrat\nstejnou cestou, jakou vzniklo. Pravidla, kdo smí schvalovat a kam\nschválené zařízení dosáhne, se mění reviewovanou změnou konfigurace\nOrganizace, ne schválením jednoho zařízení." }, { "stableId": "lazurio-doc-guide-tailscale", "locale": "cs", "route": "/cs/guide/tailscale/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/tailscale/", "sourcePath": "data/v2/docs/cs/guide/tailscale.md", "title": "Připojení k Prostředí přes Tailscale", "summary": "Zapněte Tailscale, vyberte správnou síť a ověřte, proč se adresa neotevírá.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-environment-network-decisions", "lazurio-environment-access-model", "lazurio-platform-decision-f41", "lazurio-platform-release-v0-1-8-rc-41", "headscale-project", "tailscale-fast-user-switching", "tailscale-install-windows", "google-chrome-secure-dns", "tailscale-android-private-dns-request", "webkit-storage-cap" ], "markdown": "Pokud se adresa Prostředí neotevírá, ověřte nejdřív připojení zařízení\ndo správné soukromé sítě. **Zapněte\nTailscale, vyberte tailnet, který Prostředí potřebuje, a otevřete adresu\nznovu.** Stránka Lazuria **Zapni Tailscale** vás přesměruje automaticky,\njakmile Prostředí odpoví. Když se adresa ani pak neotevře, pokračujte\nčástí [Pořád to nejde?](#pořád-to-nejde)\n\n## Proč Tailscale\n\n**Tailnet** je soukromá síť zařízení propojených přes\n[Tailscale](https://tailscale.com/). Ve výchozím stavu mají aplikace Prostředí\nna serveru, třeba jeho Launchpad, Chat nebo Automate, adresy, které fungují jen\nuvnitř tailnetu,\nkterý je obsluhuje. Žádná veřejná cesta k nim nevede: mimo tento tailnet je\nprohlížeč neotevře a adresu obvykle ani nenajde. Ukáže chybu, třeba „Tento web\nnení dostupný“.\n\nOrganizace může místo toho přejít na veřejné adresy (rozhodnutí 0213, nasazené\nčástečně). Její lidé pak tailnet nepotřebují a tato stránka se jich netýká: viz\n[Schválení zařízení](/cs/guide/device-approval/#kdy-zařízení-v-tailnetu-nepotřebujete).\n\nK Prostředí tak vaše zařízení potřebuje tři věci:\n\n1. zapnutou aplikaci Tailscale;\n2. v ní vybraný správný tailnet;\n3. přístup tohoto zařízení do tailnetu, který zařídí Admin Organizace.\n\nLazurio provozuje své tailnety na\n[Headscale](https://github.com/juanfont/headscale), open-source serveru, ke\nkterému se aplikace Tailscale připojuje. Proto aplikace Tailscale takový\ntailnet pojmenuje adresou jeho serveru, třeba `headscale.example.com`, a ne\nnázvem firmy. Přesný název, který potřebujete, ukazuje stránka Lazuria **Zapni\nTailscale**.\n\n## Zapněte Tailscale a vyberte tailnet\n\n### macOS\n\n1. Klikněte na ikonu Tailscale v horní liště.\n2. Zapněte přepínač **Tailscale**.\n3. Najeďte na svůj účet a v seznamu vyberte tailnet.\n\n### Windows\n\n1. Klikněte pravým tlačítkem na ikonu Tailscale vpravo dole na hlavním\n panelu. Když ji nevidíte, klikněte nejdřív na šipku nahoru (**^**).\n2. Najeďte na svůj účet a v seznamu vyberte tailnet.\n3. Když Tailscale není připojený, zvolte **Connect**.\n\n### iPhone a iPad\n\n1. Otevřete aplikaci Tailscale.\n2. Klepněte na obrázek svého účtu vpravo nahoře, pak na svůj účet a v seznamu\n vyberte tailnet.\n3. Zapněte přepínač Tailscale.\n\n### Android\n\n1. Otevřete aplikaci Tailscale.\n2. Klepněte na ikonu účtu vpravo nahoře, pak na svůj účet a v seznamu vyberte\n tailnet.\n3. Zapněte přepínač Tailscale.\n\nKdyž tailnet v seznamu není, zařízení se do něj ještě nepřipojilo. Přidejte ho\npodle návodu [Přidání nového zařízení do tailnetu](/cs/guide/tailscale-add-device/).\n\n## Víc tailnetů\n\nPracujete-li pro víc Organizací, jejich Prostředí mohou být v různých\ntailnetech. Aplikace Tailscale má na zařízení aktivní vždy jen jeden účet, takže\ndokud je aktivní jeden tailnet, Prostředí jiného se neotevřou. Přepněte,\nkdykoli mezi nimi přecházíte. Přepnutí nevyžaduje nové přihlášení, pokud klíči\nzařízení pro daný tailnet nevypršela platnost.\n\n## Pořád to nejde?\n\nKde si prohlížeč stránku Lazuria podržel (viz\n[Kdy Lazurio ukáže vlastní stránku](#kdy-lazurio-ukáže-vlastní-stránku)), ukáže\nji pokaždé, když adresa není dostupná, ať je důvod jakýkoli, nejen při vypnutém\nTailscale. Se zapnutým Tailscale a správným tailnetem ověřte tyto příčiny\nv tomto pořadí:\n\n1. **Zařízení v tailnetu není, nebo ještě není schválené.** Když tailnet\n v seznamu účtů chybí, zařízení se do něj nikdy nepřipojilo. Když tam je a je\n aktivní, ale žádné Prostředí Organizace se neotevře, zařízení možná ještě\n nemá přístup. Postupujte podle návodu\n [Přidání nového zařízení do tailnetu](/cs/guide/tailscale-add-device/)\n a požádejte Admina Organizace o schválení.\n Schválený model přístupu Lazuria počítá s tím, že každé zařízení pro každou\n Organizaci schvaluje Admin Organizace (rozhodnutí 0192 ze 6. října 2026); jak se\n zařízení do tailnetu dostane dnes, se ale může mezi tailnety ještě lišit.\n2. **Prostředí neodpovídá.** Když se jiná Prostředí ve stejném tailnetu\n otevřou, toto je možná zastavené nebo se restartuje. Počkejte pár minut\n a zkuste to znovu. Když se nevrátí, dejte vědět Adminovi Organizace, které\n Prostředí patří.\n U svého Osobního Prostředí na serveru se obraťte na podporu svého týmu.\n3. **Prohlížeč používá vlastní zabezpečené DNS.** Prohlížeč může adresy\n vyhledávat u vlastního poskytovatele DNS místo vašeho zařízení. Ten jména\n tailnetu nezná. Když má Chrome v nastavení zabezpečeného DNS (Use secure\n DNS) vybraného vlastního poskytovatele, na běžné vyhledávání zařízení se\n nevrátí. Nastavení vypněte, nebo vyberte svého současného poskytovatele\n služeb. Jiné prohlížeče mají podobná nastavení.\n4. **Android používá vlastní soukromé DNS.** Když je **Soukromé DNS** (Private\n DNS) nastavené na hostname poskytovatele, jména Tailscale nemusí fungovat;\n tento konflikt nahlásil Tailscale jeden z uživatelů ve veřejném issue. Pro\n vyzkoušení přepněte v nastavení sítě telefonu Soukromé DNS na **Vypnuto**\n nebo **Automaticky** a zkuste to znovu.\n5. **Nejste připojení k internetu.** Tailscale potřebuje internet. Když se\n neotevírají ani jiné weby, opravte nejdřív připojení.\n\n## Kdy Lazurio ukáže vlastní stránku\n\nJakmile v prohlížeči jednou otevřete Launchpad, Chat nebo Automate\nProstředí, které běží na Lazurio Platform v0.1.8-rc.41 nebo novější,\nprohlížeč si pro tuto adresu podrží stránku Lazuria **Zapni Tailscale**. Když\npak adresa není dostupná, prohlížeč na téže adrese ukáže tuto\nstránku místo vlastní chyby. Stránka jmenuje Prostředí, jeho Organizaci\na tailnet a sama na adresu pokračuje, jakmile adresa odpoví.\n\nVlastní chybu prohlížeče v těchto případech uvidíte i tak a postup výše platí\nstejně:\n\n- když Prostředí v prohlížeči otevíráte poprvé, a v anonymním okně;\n- u aplikací modulů, které mají vlastní adresy;\n- v Safari po sedmi dnech používání Safari bez interakce se stránkami\n Prostředí, kdy Safari uložená data webu smaže;\n- po 30 dnech, kdy se prohlížeč k Prostředí nedostal. Stránka se pak sama\n odstraní, takže po přejmenovaném nebo zrušeném Prostředí nic nezůstane.\n\nStránka patří k vlastní adrese Prostředí a komunikuje jen s ní. Při každém\notevření Prostředí ověří, jestli nemá novou verzi, sama se aktualizuje\na odstraní se, jakmile ji Prostředí přestane nabízet. Lazurio Platform tuto\nstránku přidala ve verzi v0.1.8-rc.41 (kandidát vydání z 8. října 2026).\nProstředí ji ukáže, jakmile běží na této nebo novější verzi." }, { "stableId": "lazurio-doc-tool-connections", "locale": "cs", "route": "/cs/guide/tool-connections/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/tool-connections/", "sourcePath": "data/v2/docs/cs/guide/tool-connections.mdx", "title": "Propojení nástrojů", "summary": "Jak propojit e-mail nebo kalendář a ověřit rozsah přístupu agenta.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-06", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-external-apps", "composio-authentication", "mcp-local-servers", "google-third-party-connections" ], "markdown": "export const walkthrough = {\n \"appLabel\": \"Co chcete propojit?\",\n \"methodLabel\": \"Jakým způsobem?\",\n \"demo\": \"Interaktivní ukázka\",\n \"title\": \"Váš chat s AI\",\n \"you\": \"Vy · prompt ke zkopírování\",\n \"assistant\": \"AI · příklad odpovědi\",\n \"next\": \"Další krok →\",\n \"back\": \"Zpět\",\n \"restart\": \"Zkusit znovu\",\n \"copy\": \"Zkopírovat prompt\",\n \"copied\": \"Prompt je zkopírovaný. Vložte ho do svého AI chatu.\",\n \"failed\": \"Kopírování se nezdařilo. Označený text zkopírujte ručně.\",\n \"steps\": [\n \"Připojení\",\n \"Ověření\",\n \"První úkol\"\n ],\n \"manual\": \"Co uděláte vy\",\n \"note\": \"Předem připravená ukázka: účty zde nepřipojujete a nic neposíláte. Váš asistent musí nástroje a oprávnění ověřit; jeho odpovědi se mohou lišit.\",\n \"apps\": [\n {\n \"id\": \"gmail\",\n \"name\": \"Gmail\",\n \"purpose\": \"Najděte důležité zprávy a připravte si přehled, aniž by AI něco odesílala.\",\n \"test\": \"V připojeném Gmailu najdi nejvýše 5 zpráv za posledních 7 dní a shrň jejich předmět a hlavní sdělení. Neotevírej přílohy, neměň stav přečtení, nic nemaž ani neposílej. Pokud to dostupný nástroj neumí bez změn, zastav se a vysvětli proč.\"\n },\n {\n \"id\": \"calendar\",\n \"name\": \"Google Calendar\",\n \"purpose\": \"Získejte přehled svého dne. Vytváření pozvánek přijde až po samostatném schválení.\",\n \"test\": \"V připojeném Google Calendar vypiš události na zítřek z mého hlavního kalendáře. Uveď použité datum a časové pásmo. Nevytvářej ani neupravuj události a nikomu neposílej pozvánky.\"\n }\n ],\n \"connectStart\": \"Chci v tomto AI chatu pracovat s aplikací \",\n \"connectEnd\": \". Nejprve ověř, jaké nástroje a propojení tu skutečně podporuješ. \",\n \"methods\": [\n {\n \"id\": \"mcp\",\n \"name\": \"Schválený lokální MCP server\",\n \"prerequisite\": \"Potřebujete důvěryhodný MCP server a klienta, který ho umí použít. V Lazuriu MCP servery spravuje Executor; u starší verze ověřte podporovaný postup. MCP samo nezpřístupní žádný účet.\",\n \"connect\": \"Chci použít schválený lokální MCP server. Nejprve zjisti můj AI klient, operační systém a doporučený server. V Lazuriu ověř cestu přes Executor; v jiném klientovi postupuj podle jeho dokumentace. Ověř oficiální zdroj nebo zkontrolovanou verzi, popiš instalaci, oprávnění a místo uložení přihlášení. Neinstaluj nic, dokud nepotvrdím konkrétní návrh. Nepřepisuj existující konfiguraci a nevkládej hesla ani tokeny do chatu.\",\n \"reply\": \"Nejprve vybereme server kompatibilní s vaším klientem a ověříme jeho původ. Teprve po schválení následuje instalace a autorizace. Dokud klient nevypíše skutečně dostupné nástroje, připojení nepovažujeme za hotové.\",\n \"action\": \"Schvalte konkrétní server a postup. Přidejte ho podle dokumentace klienta bez přepsání ostatních nastavení. Přihlaste se určeným způsobem a podle potřeby znovu načtěte klienta. Lokální běh neznamená, že data nikdy neopustí počítač.\"\n },\n {\n \"id\": \"composio\",\n \"name\": \"Composio\",\n \"prerequisite\": \"V Lazuriu jen tam, kde je Composio povolené Organizací nebo uživatelem Osobního Prostředí. Composio uchovává přihlašovací údaje a zpracovává obsah volání. Před připojením pracovního účtu ověřte oprávnění a podmínky zpracování dat. Účet ani prompt samy nezpřístupní nástroje Composio vašemu AI klientovi.\",\n \"connect\": \"Chci použít Composio. Pokud jeho nástroje nemáš, nic nepředstírej: zjisti název a verzi mé AI aplikace a naveď mě na její podporovaný postup instalace. Pokud je máš, zahaj připojení mého účtu a ukaž skutečný autorizační odkaz vrácený nástrojem. Předem vysvětli požadovaná oprávnění. Heslo ani token po mně v chatu nechtěj.\",\n \"reply\": \"Nejdřív ověřím dostupnost Composio. Pokud je zde nastavené, mohu požádat o připojení účtu. Přihlášení a souhlas s oprávněními dokončíte vy; přístup není udělen tímto promptem.\",\n \"action\": \"Ve své skutečné AI aplikaci otevřete autorizační odkaz z nástroje, ověřte doménu a správný účet. Přečtěte si oprávnění. Pokud jsou širší, než potřebujete, nepokračujte bez vyjasnění. Poté se vraťte do chatu.\"\n },\n {\n \"id\": \"plugin\",\n \"name\": \"Vestavěné propojení\",\n \"prerequisite\": \"Tato možnost ukazuje propojení v samostatné AI aplikaci. V Lazuriu nezřizujte nové konektory ChatGPT ani claude.ai; aplikace ChatGPT agenti v Prostředí nepoužívají, dokud je Organizace nepovolí. Dostupnost závisí na aplikaci, tarifu a nastavení administrátora.\",\n \"connect\": \"Chci použít vestavěné propojení mé AI aplikace. Pokud neznáš její název a tarif, nejprve se mě zeptej. Ukaž ověřený postup v jejím katalogu aplikací nebo nastavení a vysvětli oprávnění. Když propojení není dostupné, řekni to; nepřepínej bez souhlasu na jinou službu.\",\n \"reply\": \"Nejdřív potřebujeme ověřit konkrétní AI aplikaci a dostupnost propojení. Instalaci doplňku a přihlášení provedete v jejím rozhraní. Ne každé propojení dovoluje stejné operace.\",\n \"action\": \"V katalogu své AI aplikace zkontrolujte vydavatele doplňku a jeho funkce. Připojte správný účet, potvrďte přiměřená oprávnění a podle pokynů aplikace propojení zpřístupněte v chatu.\"\n }\n ],\n \"verify\": \"Ověř aktuální stav připojení. Uveď, který účet používáš, pokud ho nástroj bezpečně identifikuje, a jaké operace máš skutečně k dispozici. Nevypisuj přihlašovací údaje. Nic neměň ani neposílej. Pokud připojení nebo oprávnění chybí, nepředstírej úspěch.\",\n \"verifyReply\": \"Ověření musí vycházet z výsledku nástroje, ne z předchozí odpovědi v chatu. Pokud účet nelze určit nebo oprávnění nestačí, nejprve to vyřešíme. Až potom zkusíme malý úkol pouze pro čtení.\",\n \"testReply\": \"Asistent by měl vrátit výsledek ze skutečně připojené aplikace nebo přesně popsat, proč úkol nemůže provést. Srovnejte výsledek s aplikací. Odeslání zprávy, změnu události nebo jiný zápis schvalujte zvlášť.\"\n};\n\nPropojte AI s e-mailem nebo kalendářem. Vyberte aplikaci, projděte si ukázkový chat a zkopírujte prompt do svého asistenta.\n\n\n\n## Než začnete\n\nPřipravte si název AI nástroje, tarif a účet, který chcete připojit.\nZačněte testovacími nebo necitlivými daty.\n\n**V Lazuriu se řiďte pravidly své Organizace.** Nové propojení vybírejte\npodle [standardu připojených aplikací](/cs/environment-app-connections/).\nComposio je povolená možnost za podmínek tohoto standardu. Vestavěné\nkonektory zde ukazujeme i pro samostatné AI aplikace; ukázka sama\nneschvaluje nového poskytovatele pro pracovní data.\n\n## Když propojení nefunguje\n\nOvěřte správný účet, dostupnost funkce v tarifu, pravidla administrátora a platnost přihlášení. Prompt sám nedoplní chybějící propojení ani MCP server. Neposílejte do chatu hesla, tokeny nebo citlivé diagnostické výpisy.\n\n## Jak přístup odebrat\n\nOdpojte účet ve zvolené integrační službě nebo AI aplikaci a zkontrolujte také oprávnění třetích stran v účtu Google. U MCP zakažte server v klientovi a podle způsobu přihlášení zrušte jeho přístup u poskytovatele. Pouhé zavření chatu není odebrání oprávnění.\n\n## Podklady a rozsah ukázky\n\nUkázka vám pomůže zadat připojení a ověřit, že funguje. Přesný instalační postup se liší podle AI aplikace a tarifu; ověřte ho v její dokumentaci.\n\n- [Composio: přihlašování a propojené účty](https://docs.composio.dev/docs/authentication)\n- [MCP: připojení lokálních serverů](https://modelcontextprotocol.io/docs/develop/connect-local-servers)\n- [Google: správa připojení třetích stran](https://support.google.com/accounts/answer/13533235)" }, { "stableId": "lazurio-doc-guide-work-tips", "locale": "cs", "route": "/cs/guide/work-tips/", "canonicalUrl": "https://documentation.lazurio.ai/cs/guide/work-tips/", "sourcePath": "data/v2/docs/cs/guide/work-tips.md", "title": "Tipy pro práci", "summary": "Jak zadat práci v prohlížeči a zkontrolovat výsledek.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-external-apps", "openai-browser" ], "markdown": "## Když má agent pracovat na webu\n\nS funkcí **Browser Use** může agent otevřít web, přečíst stránku, klikat a\nvyplňovat formuláře. Zadávejte ji, když potřebujete práci přímo na webu,\nne jen seznam odkazů. Funkci poskytuje váš AI nástroj, nikoli Lazurio.\n\n
\n \n \"Ilustrační\n \n
Ilustrační maketa vytvořená pomocí AI: zadání vlevo, web vpravo. Nejde\no skutečný screenshot; web i údaje jsou smyšlené a rozhraní se může lišit.\nKliknutím obrázek zvětšíte.
\n
\n\n## Jak začít v ChatGPT\n\nV desktopové aplikaci ChatGPT můžete mít chat a vestavěný prohlížeč vedle sebe.\nOtevřete ho volbou **New tab** a zadáním adresy, nebo zkratkou **Cmd + T**\nna Macu (**Ctrl + T** ve Windows). Zkratkou **Cmd + Shift + B**\n(**Ctrl + Shift + B** ve Windows) zobrazíte nebo skryjete karty vedle chatu. V zadání použijte **`@Browser`**\na vyberte nabízenou zmínku prohlížeče. Stejné rozhraní nečekejte v Codex CLI\nnebo IDE rozšíření.\n\n1. **Zadejte adresu a cíl.** Co má agent najít nebo připravit?\n2. **Určete hranice.** Co může číst a co nesmí měnit nebo odeslat?\n3. **Sledujte otevřenou stránku.** Zkontrolujte web a případné žádosti o přístup.\n4. **Přihlaste se osobně.** Vestavěný prohlížeč má vlastní profil; vaše běžné přihlášení se automaticky nepřenáší.\n5. **Ověřte výsledek.** Nechte si ukázat zdroj nebo připravený formulář.\n\n## Prompt: najdi informace na webu\n\nZkopírujte text do svého chatu a nahraďte hranaté závorky konkrétními údaji.\n\n```text\n@Browser Použij vestavěný prohlížeč a otevři [adresa webu].\nNa stránce zjisti [co potřebuji vědět].\nPracuj přímo s otevřenou stránkou, ne jen s výsledky vyhledávání.\nNic neodesílej, nenakupuj a neměň nastavení.\nNa konci shrň zjištění a přidej odkazy na použité stránky.\nPokud Browser Use nemáš, řekni to. Nepředstírej ovládání stránky.\n```\n\n## Prompt: připrav formulář, ale neodesílej ho\n\n```text\n@Browser Otevři [adresa webu] a pomoz mi připravit [název formuláře].\nNejprve prohlédni pole a řekni mi, jaké údaje potřebuješ.\nPokud je nutné přihlášení, zastav se a nech mě přihlásit osobně.\nVyplň pouze údaje, které ti pro tento úkol poskytnu.\nPřed odesláním zastav a ukaž mi vyplněný formulář ke kontrole.\nNeodesílej ho bez mého výslovného souhlasu s tímto odesláním.\nHesla ani ověřovací kódy po mně v chatu nechtěj.\n```\n\n## Jak agenta nasměrovat\n\nPište konkrétně, například: **„Pracuj v právě otevřené kartě. Ukaž mi sekci\nKontakty a zatím na nic neklikej.“** Pokud rozhraní nabízí komentáře ke stránce,\noznačte přímo problematické místo. Když nástroj není dostupný, požádejte\no vysvětlení podporované varianty; prompt sám chybějící nástroj nenainstaluje.\n\n:::note[Mějte na paměti]\nPřístup na web není souhlas se všemi akcemi. Obsah stránky může obsahovat\nzavádějící pokyny a nemá přepsat vaše zadání. Citlivé, destruktivní a publikační\nkroky schvalujte zvlášť. Hesla a tajné údaje nezadávejte do běžného chatu.\n:::\n\nPodklad pro ovládání a dostupnost: [OpenAI — Browser](https://learn.chatgpt.com/docs/browser).\nRozhraní se může měnit podle verze aplikace a nastavení pracovního prostředí.\n\n## Jak smazat vlákno s agentem\n\nV desktopové aplikaci ChatGPT se trvalé smazání vlákna nabízí jen v režimu\n**Codex**:\n\n1. Vlevo nahoře přepněte přepínač z **ChatGPT** na **Codex**.\n2. Na vlákno v seznamu klikněte pravým tlačítkem.\n3. Zvolte **Permanently delete**.\n\nV režimu ChatGPT nabídka vlákna nabízí jen **Archive**. Archivované vlákno\nzůstává uložené, nesmaže se. Ověřeno 9. 10. 2026 v aplikaci ChatGPT pro\nWindows; v jiné verzi aplikace se rozhraní může lišit." }, { "stableId": "lazurio-doc-how-it-works", "locale": "cs", "route": "/cs/how-lazurio-works/", "canonicalUrl": "https://documentation.lazurio.ai/cs/how-lazurio-works/", "sourcePath": "data/v2/docs/cs/how-lazurio-works.md", "title": "Jak Lazurio funguje", "summary": "Kdo zadává práci, jak agent připraví návrh a kdo schvaluje zveřejnění.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-05", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "V Lazuriu zadáte agentovi úkol, dáte mu potřebné podklady a zkontrolujete\nvýsledek. Agent může připravit dokument, změnu aplikace nebo jinou práci.\nZveřejnění či nasazení pak schvaluje ten, kdo k tomu má oprávnění.\nAgent si tuto pravomoc nemůže udělit sám.\n\nModel v odkazované revizi popisuje [architektura Lazuria](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md)\na [pravidla spolupráce s Agenty](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md).\n\nNíže jsou pojmy ze staršího modelu zdrojů. Aktuální názvy Prostředí, Buddyho\na Apps najdete ve [slovníčku](/cs/guide/glossary/). Co je modul dnes, vysvětluje\nstránka [Moduly](/cs/guide/modules/) a jak do sebe části zapadají, stránka\n[Architektura](/cs/architecture/).\n\n## Základní pojmy\n\n**Principál** je člověk nebo dlouhodobější AI Kolega, pro něhož se práce dělá.\nDrží skutečná oprávnění a má poslední slovo.\n\n**Task Agent** je právě běžící pracovní relace s AI nástrojem. Pracuje pro\nPrincipála a nemá vlastní oprávnění. Umí navrhnout a připravit práci; prompt z\nněj administrátora neudělá.\n\n**Organizace** je hranice repozitářů a přístupů jedné firmy. V popsaném modelu\nodpovídá GitHub organizaci a samostatnému kořeni repozitářů. Více Organizací\nmůže být na jednom zařízení, zařízení je však stále jedna sdílená doména\ndůvěry, nikoli sada oddělených operačních prostředí.\n\n**Workspace modul** je aplikace nebo jasně vymezená pracovní oblast uvnitř\nOrganizace. Má vlastní pravidla pro spuštění, testy a nasazení. Lze jej\nsamostatně upravovat a vrátit na předchozí verzi.\n\n**Personalspace** je soukromý prostor jednoho Principála. Neslouží ke sdílení\nfiremních informací ani k obcházení hranic mezi Organizacemi.\n\n## Od zadání ke zveřejněnému výsledku\n\n1. **Vymezte práci:** určete Organizaci, modul a očekávaný výsledek.\n2. **Ověřte oprávnění:** pracujte se skutečným přístupem Principála. Textové\n zadání nová práva nevytváří.\n3. **Vyberte kontext:** načtěte jen repozitáře a nástroje potřebné pro úkol.\n4. **Připravte Návrh a podklady:** práce zůstává vratná a upravitelná, obvykle\n na větvi v Gitu; zároveň přibývají kontroly a důkazy pro review.\n5. **Rozhodněte:** oprávněný Principál schválí nebo odmítne přesný výsledek.\n6. **Zveřejněte:** až potom lze změnu sloučit, nasadit, odeslat nebo jinak\n uvést v účinnost.\n7. **Uzavřete práci:** aktualizujte zdroj pravdy, zapište, co zbývá, a ukliďte\n dočasné pracovní prostředí.\n\nI příprava návrhu může přenášet data. Například odeslání pracovní větve do\nGitHubu zpřístupní její obsah lidem s přístupem k repozitáři, přestože změna\nještě není v hlavní větvi. Schvalování výsledku nenahrazuje kontrolu toho,\nkam během práce posíláte podklady.\n\n## Zdroje pravdy místo jedné obří databáze\n\nPodklady mají své určené místo:\n\n- kód v repozitářích;\n- plány v Mission Control organizace;\n- firemní znalosti v její Knowledgebase;\n- e-maily a další data v původních službách, dostupných přes schválená propojení.\n\nAgent si načte podklady pro daný úkol; nemusíte je kopírovat do jedné AI databáze. Přístupy měňte v systému, který je spravuje: odeberte oprávnění\nk repozitáři nebo odvolejte připojený účet. Přejmenování role v dokumentu\nsamo nic neomezí.\n\n## Co běží dnes\n\nVerze popsaná v odkazovaných zdrojích běží ze zdrojové pracovní kopie s Gitem a Bunem.\nObsahuje Launchpad, CLI/Core v0, Doctor, provozní manuály a kontrakty pro\npřipojené Organizace a moduly. CLI v0 je experimentální; balíčkované CLI a\nautomaticky generovaný root bez Gitu jsou cíle do budoucna.\n\nVybraný klient agenta a poskytovatel modelu zpracovávají požadavky podle\nvlastních podmínek. Dashboard, hostované týmové workspaces a služby\nResident/Buddy jsou volitelné, ne skrytá součást každé instalace. Co má\nkonkrétní nasazení doložit, shrnuje [Deset minut pro IT](/cs/it-administrators/)." }, { "stableId": "lazurio-doc-overview", "locale": "cs", "route": "/cs/", "canonicalUrl": "https://documentation.lazurio.ai/cs/", "sourcePath": "data/v2/docs/cs/index.mdx", "title": "Dokumentace Lazuria", "summary": "První kroky, návody a podklady pro nasazení Lazuria.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "V Lazuriu pracujete s AI agenty nad společnými podklady. Postupy, plány\na aplikace má tým na určených místech, kde může zkontrolovat jejich změny.\n\nZákladem je GitHub: kromě kódu v něm mohou být úkoly, dokumentace a rozhodnutí.\nHistorie ukáže, kdo co změnil; oprávnění určují, kdo smí podklady číst,\nupravovat a schvalovat. Účetnictví, e-mail nebo další zavedené služby kvůli\ntomu nemusíte přesouvat.\n\nAgent pracuje s podklady a nástroji, které má pro úkol dostupné. Připraví\nnávrh, ověří ho a předloží ke kontrole. Vy určujete, co potřebujete;\nzveřejnění nebo nasazení schvaluje oprávněná osoba.\n\n## Co je Lazurio dnes\n\nVerze Lazuria popsaná v odkazovaných zdrojích se spouští pomocí Gitu a Bunu. Obsahuje\nLaunchpad, diagnostiku, experimentální CLI v0 a provozní pravidla pro\npřipojené Organizace a moduly. Jednoduchá balíčkovaná instalace je cíl do\nbudoucna, nikoli hotová distribuce.\n\nAI model i nástroj pro práci s ním si vybíráte samostatně. Lazurio samo\nneposkytuje spravovanou SaaS službu ani bezpečnostní sandbox pro všechny\nAI nástroje. Před nasazením proto ověřte i podmínky vybraných poskytovatelů.\n[Bezpečnost a podklady k ověření](/cs/public-evidence/) ukazují, odkud tato\ntvrzení vycházejí a co naopak nedokazují.\n\n## Kde začít\n\nPokud Lazurio používáte poprvé, otevřete Guide. Technické podmínky,\npřístupy a provoz najdete v navazujících částech.\n\n\n\nLazurio je dnes dostupné pod licencí\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md).\nPodrobnosti o licenci, zralosti produktu a mezích těchto podkladů najdete v\nčásti [Bezpečnost a podklady k ověření](/cs/public-evidence/#podoba-produktu-a-jeho-zralost)." }, { "stableId": "lazurio-doc-it-administrators", "locale": "cs", "route": "/cs/it-administrators/", "canonicalUrl": "https://documentation.lazurio.ai/cs/it-administrators/", "sourcePath": "data/v2/docs/cs/it-administrators.md", "title": "Deset minut pro IT", "summary": "Přehled pro správce IT: hranice přístupu, podmínky poskytovatelů a schvalování výsledků před nasazením.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Tento přehled vám pomůže připravit pilot Lazuria a určit, co musí provozovatel\ndoložit před nasazením. Lazurio používá Git repozitáře pro firemní podklady\na historii změn. Agent připravuje návrhy, jejich zveřejnění se schvaluje\nzvlášť. Přístupy dál určují GitHub, operační systém a připojené služby.\n\nVerze popsaná v odkazovaných zdrojích běží ze zdrojové pracovní kopie s Gitem a\nBunem. Obsahuje Launchpad, diagnostiku, provozní pravidla a experimentální CLI\nv0. Není to spravovaná AI služba dodavatele, stabilní balíčkovaný instalátor ani\ndalší sandbox kolem vybraného klienta agenta.\n\nPřed schválením určete **účet, zařízení, Organizaci, nástroj a dostupná data**.\nZvlášť ověřte, kdo smí výsledek zveřejnit.\n\nVolitelné hostované služby jsou samostatné služby; do seznamu součástí patří\njen tehdy, když je konkrétní nasazení zapne.\n\n## Podklady pro rozhodnutí\n\n| Položka | Stav podle odkazované revize veřejných zdrojů |\n| --- | --- |\n| Podoba produktu | Zdrojová pracovní kopie s Gitem a Bunem spravovaná technickým provozovatelem. Balíčkovaná instalace je budoucí cíl. |\n| Vyspělost prostředí | Launchpad, Doctor a vybrané postupy modulů jsou dostupné; CLI v0 zůstává experimentální. |\n| Licence | Zdrojový kód je dostupný pod [FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md). Na každou vydanou verzi se po dvou letech začne vztahovat Apache 2.0. |\n| Záruky | Nepřislibujeme certifikaci, univerzální úroveň služby, dobu uchování dat ani jednotné uspořádání nasazení. Podpora a hosting se řeší pro konkrétní nasazení. |\n\n## Stručně\n\n| Oblast | Jak je Lazurio navržené | Co má IT ověřit v konkrétním nasazení |\n| --- | --- | --- |\n| Identita | Agent pracuje s oprávněními přihlášeného Principála; samotným zadáním žádná další práva nezíská. | Správnost lidské nebo servisní identity, členství v repozitářích a vlastníka zařízení. |\n| Oddělení firem | Jedna firma odpovídá jedné Organizaci a hranici přístupů v GitHubu; jedno zařízení je však stále jedna doména důvěry. | Připojené jsou jen zamýšlené repozitáře. Kde firmy nemají sdílet hranici operačního systému, použijte oddělená zařízení nebo rovnocennou izolaci. |\n| Lokální pracovní prostředí | Práce vychází z lokálně stažených, verzovaných podkladů na zařízení Principála. | Zabezpečení zařízení, šifrování disku, dohled nad koncovými zařízeními, zálohování a odebrání přístupů odpovídají interním pravidlům. |\n| Schválení výsledku | Výstup agenta je nejprve vratný návrh. Sloučení změny, nasazení, odeslání nebo jiné zveřejnění vyžaduje příslušné oprávnění. | Pravidla repozitářů, povinné kontroly a oprávnění k nasazení skutečně vynucují zamýšlený schvalovací postup. |\n| Externí aplikace | Integrace se nastavují pro konkrétní zařízení, procházejí kontrolou a lze je samostatně odvolat. Přednost mají oficiální MCP servery a následně oficiální nástroje příkazové řádky. | U každého poskytovatele jsou schválené rozsahy oprávnění, datové toky, uchovávání dat i postup odebrání přístupu. |\n| Přihlašovací a tajné údaje | Citlivé údaje patří do vyhrazených úložišť mimo Git a veřejnou dokumentaci. | Zvolené úložiště, obměna údajů, reakce na incident a kontrola úniků fungují i v praxi. |\n| Audit | Commity, pull requesty, schválení a záznamy o nasazení dobře dokládají změny zdrojů; jejich pokrytí závisí na použitých nástrojích. | Potřebné záznamy existují v GitHubu, na koncových zařízeních, u poskytovatele modelu, v připojených aplikacích i v infrastruktuře pro nasazení. |\n\nTabulka popisuje pravidla a kontroly, které je třeba ověřit; není bezpečnostní\ncertifikací. Odkazy na zdroje a omezení tohoto popisu najdete v části\n[Bezpečnost a podklady k ověření](/cs/public-evidence/).\n\n## Ke kterým datům může Lazurio přistupovat?\n\nRozsah přístupu není pro všechna nasazení stejný. Závisí na identitě\nPrincipála, použitém zařízení, oprávněních k repozitářům a zapnutých nástrojích.\nPřed nasazením zmapujte těchto pět míst:\n\n1. Git repozitáře a Teamy dostupné přihlášené identitě.\n2. Lokální soubory v aktivním pracovním prostředí i jiné soubory, které klient dokáže přečíst.\n3. Externí aplikace připojené přes schválený MCP server nebo nástroj příkazové\n řádky nebo schválený postup v prohlížeči.\n4. Poskytovatele modelu a hostingu, které využívá zvolený klient a jednotlivé\n Moduly.\n5. Volitelné hostované služby Lazuria, například Dashboard, týmový workspace\n nebo Resident/Buddy, pokud je konkrétní nasazení skutečně používá.\n\nTo, že Lazurio určitý typ integrace podporuje, ještě neznamená, že je v daném\nprostředí zapnutý. Pro konkrétní nasazení si vyžádejte aktuální seznam\nposkytovatelů, rozsahů oprávnění, vlastníků a postupů pro odebrání přístupu.\n\n## Jak se brání nechtěnému zveřejnění nebo nasazení?\n\n[Pravidla spolupráce v Lazuriu](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\noddělují editovatelný návrh od okamžiku, kdy se výsledek skutečně zveřejní nebo\nnasadí. Při vývoji se běžně pracuje na samostatné větvi a přes pull request.\nPravidla větví, povinné kontroly, review a oprávnění k merge mohou chránit\ncílovou větev; odeslání review větve je přesto už přenos dat do GitHubu. Mimo\nGit rozhodují oprávnění a potvrzení daného poskytovatele. Tam, kde technická\nzávora neexistuje, zůstává výslovné schválení procesním pravidlem.\n\nProcesní pravidlo má být podpořené technickou kontrolou všude, kde ji platforma\numožňuje. V rámci přejímacího testu proto ověřte také zamítnutý přístup k\nrepozitáři, neschválený externí nástroj, pokus o sloučení do chráněné větve a\npoužití odvolaného přihlašovacího údaje. Samotné přečtení pravidel nestačí.\n\n### Kde se jednotlivé akce skutečně omezují\n\nLazurio nemění text pravidel v univerzální technickou zábranu. Rozhoduje\nsystém, který daný přístup poskytuje:\n\n| Akce | Účinná kontrola |\n| --- | --- |\n| Čtení lokálního souboru | Oprávnění operačního systému, výběr pracovního prostředí a případný sandbox klienta. Čitelný soubor může klient odeslat poskytovateli modelu jako kontext úkolu. |\n| Push větve nebo otevření pull requestu | Právo zápisu v GitHubu. Jde o návrh určený ke kontrole, ale soubory už byly přeneseny do GitHubu. |\n| Sloučení nebo nasazení přesné revize | Pravidla větví, povinné kontroly, review, právo sloučit změny a schvalovací podmínky nasazení daného modulu. |\n| Vytvoření nebo odeslání obsahu v externí službě | Přihlašovací údaj, rozsahy oprávnění a potvrzení u poskytovatele. Už návrh uložený u poskytovatele může znamenat přenos dat; pokud poskytovatel omezení technicky nevynucuje, výslovný souhlas zůstává procesním pravidlem. |\n\n## Co si vyžádat před schválením\n\nPřed produkčním nasazením by měl provozovatel doložit:\n\n- seznam Organizací, repozitářů, Teamů a zapnutých služeb zahrnutých do nasazení;\n- konkrétní lidské nebo servisní identity a jejich oprávnění v GitHubu;\n- minimální požadavky na zabezpečení zařízení a lokálních dat;\n- poskytovatele modelu a podmínky zpracování dat pro zvoleného klienta;\n- seznam integrací včetně rozsahu oprávnění a vlastníka jejich odebrání;\n- postupy pro správu citlivých údajů, zálohy, mazání dat a ukončení přístupu;\n- pravidla chráněných větví a určení osob oprávněných ke schválení výsledku;\n- zdroje auditních záznamů, dobu jejich uchování a kontakt pro incidenty;\n- postup návratu k předchozí verzi a omezený pilot, který ověří běžný úkol i skutečné zamítnutí nepovolených akcí.\n\nPokud některý z těchto bodů není známý, patří mezi otevřené otázky konkrétního\nnasazení. Architektonický záměr sám o sobě není důkazem, že je opatření opravdu\nzapnuté.\n\n## Doporučený postup\n\nZačněte omezeným pilotem, pokud lze jednoznačně určit a otestovat identity,\nrepozitáře, integrace, poskytovatele modelu a schvalování výsledků. Plošné\nnasazení neschvalujte pouze na základě tohoto přehledu. Pilot ze zdrojové\npracovní kopie má jiná rizika podpory a správy změn než spravovaný produkt.\nPodrobnosti najdete na\nstránkách [Přístup k datům a bezpečnost](/cs/data-access-security/) a\n[Nasazení a provoz](/cs/deployment-operations/)." }, { "stableId": "lazurio-doc-copilot-comparison", "locale": "cs", "route": "/cs/lazurio-vs-microsoft-copilot/", "canonicalUrl": "https://documentation.lazurio.ai/cs/lazurio-vs-microsoft-copilot/", "sourcePath": "data/v2/docs/cs/lazurio-vs-microsoft-copilot.md", "title": "Lazurio a Microsoft Copilot", "summary": "Porovnejte účel, přístupy a nároky na správu obou řešení.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "microsoft-copilot-architecture", "microsoft-copilot-data-protection", "microsoft-copilot-privacy", "microsoft-copilot-requirements", "microsoft-copilot-extensibility" ], "markdown": "Volba záleží na tom, jakou práci chcete s AI dělat a kdo ji bude spravovat.\nMicrosoft Copilot pomáhá především v Microsoft 365. Lazurio se zaměřuje na\npráci nad firemními repozitáři a propojenými nástroji, včetně kontroly změn\na jejich schvalování. V jedné firmě se mohou doplňovat.\n\nV obou případech záleží na oprávněních. Copilot používá pracovní data dostupná\npřihlášenému uživateli Microsoft 365. Agent v Lazuriu pracuje s vybranými\nrepozitáři a nástroji, ke kterým má skutečný přístup.\n\nMicrosoft přejmenoval Microsoft 365 Copilot na Microsoft Copilot a Microsoft\n365 Copilot Chat na Microsoft Copilot Chat. Některé licence, funkce\na odkazované stránky, například dokumentace k rozšiřitelnosti, během přechodu\nještě používají původní název. Údaje o produktech Microsoftu vycházejí\nz aktuální dokumentace Microsoft Learn. Popis Lazuria vychází z jeho veřejných\nzdrojů; závěry a doporučení jsou naším hodnocením.\n\n## Hlavní rozdíly\n\n| Oblast | Microsoft Copilot | Lazurio |\n| --- | --- | --- |\n| Hlavní účel | Pomoc s prací v aplikacích a službách Microsoft 365. | Řízená práce lidí a AI agentů nad verzovanými firemními podklady a nástroji. |\n| Běžně dostupný kontext | S licencí Premium Microsoft Graph a obsah Microsoft 365, ke kterému má uživatel oprávnění. Copilot Chat (Basic) a Microsoft 365 Copilot (Basic) vycházejí z dat z webu a z obsahu, který uživatel sám dodá, případně z agenta placeného podle použití. Další zdroje lze připojit pomocí agentů a konektorů. | Vybrané repozitáře Organizace, lokální pracovní prostředí a jednotlivě schválené externí nástroje. |\n| Oprávnění | Vycházejí z identity a oprávnění přihlášeného uživatele v Microsoft 365 a z pravidel služby. | Vycházejí z oprávnění přihlášeného Principála v GitHubu a dalších systémech. Samotné zadání žádná práva neuděluje. |\n| Typický výstup | Odpověď, souhrn, návrh nebo akce v aplikacích Microsoftu a v prostředích Copilotu. | Zkontrolovatelná změna, plán, znalostní podklad, aplikace nebo akce připravená k výslovnému schválení. |\n| Správa | Cloudová služba spravovaná Microsoftem, doplněná o licence, Entra, Purview a administraci Microsoft 365. | Git repozitáře vlastněné Organizací, její zařízení, pravidla Modulů a samostatná správa každého připojeného poskytovatele. |\n| Rozšíření | Pluginy: instalovatelné balíčky, které mohou obsahovat deklarativní agenty, dovednosti (skills) a konfiguraci nebo odkazy na konektory Copilotu a MCP servery. | Workspace Moduly, připravené role pro agenty, MCP servery, oficiální nástroje příkazové řádky a řízené postupy v prohlížeči. |\n| Nasazení | Cloudová služba Microsoftu s publikovanými požadavky na tenant. | Konkrétní podobu nasazení volí každá Organizace. Veřejně popsaný model vychází z lokálních repozitářů a samostatně nasazovaných Modulů. |\n| Kdy dává největší smysl | Když je většina kancelářské a znalostní práce soustředěná v Microsoft 365. | Když práce prochází více repozitáři nebo nástroji a má zůstat verzovaná, testovatelná a výslovně schvalovaná. |\n\nMicrosoft uvádí, že Copilot pracuje uvnitř hranice služby Microsoft 365\na zpřístupňuje jen firemní data, ke kterým má uživatel aspoň oprávnění ke\nčtení. S licencí Premium z nich odpovědi mohou vycházet přes Microsoft\nGraph. Copilot Chat (Basic) a Microsoft 365 Copilot (Basic) vycházejí z dat\nz webu a firemní data přes Microsoft Graph použít nemohou; k firemnímu obsahu\nse dostanou, jen když ho uživatel sám dodá, nebo přes agenta placeného podle\npoužití. Podrobnosti najdete v [přehledu Microsoft Copilotu](https://learn.microsoft.com/en-us/copilot/plan/copilot-overview)\na na stránce věnované [ochraně dat a auditu](https://learn.microsoft.com/en-us/copilot/plan/architecture-data-protection-auditing).\n\nVeřejná pravidla Lazuria určují GitHub jako autoritu pro přístup k\nrepozitářům, oddělují jednotlivé Organizace a považují výstup agenta za návrh,\ndokud jej oprávněná osoba neschválí. Viz [pravidla spolupráce](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\na [architekturu Lazuria](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md).\n\n## Data a soukromí\n\nMicrosoft uvádí, že výzvy, odpovědi a data získaná přes Microsoft Graph\nneslouží k trénování základních modelů, a to ani těch, které používá Microsoft\nCopilot. Zároveň popisuje ukládání historie interakcí, možnosti správy pomocí\nMicrosoft Purview, potřebu ověřit podmínky používaných agentů a další\npodmínky, které mohou platit, když administrátor zapne modely třetích stran,\nnapříklad od Anthropicu nebo OpenAI. Přesné a aktuální podmínky jsou uvedené\nv dokumentaci Microsoftu k [ochraně soukromí a bezpečnosti](https://learn.microsoft.com/en-us/copilot/plan/microsoft-365-copilot-privacy).\n\nU Lazuria nelze stejné tvrzení vztáhnout na všechny instalace, protože není\nvázané na jediný účet ani jediného poskytovatele AI. Datové toky závisejí na\nzvoleném klientovi, poskytovateli modelu, oprávněních Organizace a připojených\nintegracích. Před schválením je proto nutné vytvořit seznam poskytovatelů a\nrozsahů oprávnění pro konkrétní nasazení. Za správné nastavení odpovídá Organizace.\n\n## Správa a technické předpoklady\n\nMicrosoft zveřejňuje požadavky na tenant, například způsobilé předplatné\nMicrosoft 365 s licencí Microsoft Copilot, pracovní účty Microsoft Entra ID,\npoštovní schránku v Exchange Online pro funkce pracující s poštou a síťový\npřístup k doméně `*.cloud.microsoft`. Důrazně doporučuje bezpečně spravovaný\nzáklad dat, který se nastavuje pomocí SharePoint Advanced Management\na Microsoft Purview. Aktuální seznam uvádí stránka s [požadavky Microsoft\nCopilotu](https://learn.microsoft.com/en-us/copilot/plan/microsoft-copilot-requirements).\n\nU Lazuria musí organizace spravovat vlastní strukturu v GitHubu, požadavky na\nkoncová zařízení, zvoleného poskytovatele AI, pravidla repozitářů a zapnuté\nintegrace. Získává tím přímější kontrolu nad pracovními podklady a schvalováním\nvýsledků, ale více provozních rozhodnutí zůstává na ní.\n\n## Rozšiřitelnost\n\nMicrosoft Copilot se rozšiřuje pomocí pluginů. Plugin je instalovatelný\nbalíček, který může obsahovat deklarativní agenty a dovednosti (skills)\na k nim konfiguraci nebo odkazy na konektory Copilotu a vzdálené MCP servery,\nkteré běží zvlášť. Pak se zveřejní nebo sdílí a zpřístupní pod správou.\nPostup popisuje [přehled pluginů](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/plugins-overview).\nTato cesta se hodí pro postupy spravované v produktech Microsoftu.\n\nLazurio se rozšiřuje pomocí Workspace Modulů a samostatně vymezených integrací.\nVeřejný [standard pro externí aplikace](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md)\nupřednostňuje oficiální MCP servery nebo nástroje příkazové řádky a samostatně\nodvolatelné identity pro jednotlivá zařízení. To se hodí tam, kde práce\nvychází z repozitářů, prochází více službami nebo vyžaduje vlastní testy a\nschválení.\n\n## Které řešení zvolit?\n\n### Microsoft Copilot je přirozenější volbou, pokud\n\n- většina důležité práce probíhá v Outlooku, Teams, Wordu, Excelu, PowerPointu\n a SharePointu;\n- oprávnění a správa identit v tenantovi Microsoft 365 jsou dobře nastavené;\n- chcete službu spravovanou dodavatelem s administračními a kontrolními\n nástroji Microsoftu;\n- vlastní pracovní postupy mohou zůstat v ekosystému agentů a konektorů\n Microsoftu.\n\n### Lazurio je přirozenější volbou, pokud\n\n- výsledkem má být zkontrolovaná změna repozitáře, Modul, provozní plán nebo\n trvalý firemní podklad;\n- práce prochází GitHubem, lokálními zdrojovými podklady a více službami mimo\n Microsoft;\n- potřebujete důsledně oddělit firmy a výslovně schvalovat zveřejnění nebo\n nasazení výsledku;\n- organizace je připravená spravovat zařízení, repozitáře, poskytovatele a\n integrace.\n\n### Obě řešení se mohou doplňovat\n\nMicrosoft Copilot může sloužit jako asistent pro práci v Microsoft 365,\nzatímco Lazurio řídí verzované změny a práci napříč dalšími nástroji.\nOdpovědnosti a přihlašovací údaje je nutné držet odděleně. Schválení ani\ndatové hranice jednoho řešení se automaticky nepřenášejí do druhého.\n\n## Závěr\n\nVyzkoušejte obě možnosti na stejném úkolu. Porovnejte výsledek, potřebná\noprávnění, kontrolu změn a čas na správu." }, { "stableId": "lazurio-doc-microsoft-365", "locale": "cs", "route": "/cs/microsoft-365/", "canonicalUrl": "https://documentation.lazurio.ai/cs/microsoft-365/", "sourcePath": "data/v2/docs/cs/microsoft-365.md", "title": "Microsoft 365 pro IT a Admina Organizace", "summary": "Jedna aplikace Entra pro jediný tenant s delegovanými oprávněními Graphu a bez tajného klíče: co schvaluje IT, postup Admina Organizace, podmíněný přístup, audit a odvolání.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-microsoft-365-company-app", "lazurio-microsoft-365-for-it", "lazurio-platform-microsoft-365-company-app", "lazurio-platform-decision-f45", "lazurio-platform-release-v0-1-9", "lazurio-manifest-family-settings", "lazurio-decision-register-gen4", "microsoft-entra-permissions-consent", "microsoft-graph-permissions-reference", "microsoft-entra-app-consent-policies", "microsoft-entra-grant-admin-consent", "microsoft-entra-delegate-app-roles", "microsoft-entra-register-app", "microsoft-entra-add-redirect-uri", "microsoft-entra-enterprise-app-properties", "microsoft-entra-redirect-uri", "microsoft-entra-desktop-app-configuration", "microsoft-entra-auth-code-flow", "microsoft-entra-access-tokens", "microsoft-entra-refresh-tokens", "microsoft-entra-revoke-user-access", "microsoft-graph-revoke-sign-in-sessions", "microsoft-entra-session-lifetime", "microsoft-entra-error-codes", "microsoft-entra-noninteractive-sign-ins", "microsoft-purview-audit", "microsoft-entra-publisher-verification", "microsoft-graph-create-event", "microsoft-graph-event-cancel", "microsoft-graph-driveitem-createlink", "microsoft-graph-driveitem-invite", "microsoft-work-iq-permissions", "microsoft-work-iq-overview" ], "markdown": "Lazurio napojuje poštu a kalendář v Outlooku, OneDrive a SharePoint přes jednu\naplikaci, kterou vaše IT zaregistruje ve vašem vlastním tenantu Microsoft Entra.\nRozhraní Lazuria jí říká firemní aplikace. Aplikace přijímá jen účty vašeho\ntenantu, má jen delegovaná oprávnění Microsoft Graph a žádný klientský tajný\nklíč. IT k ní jednou udělí souhlas za všechny. Lazurio dostane id tenantu a id\naplikace (client ID), které tajné nejsou. Každý uživatel pak připojí svůj\npracovní účet a agenti v jeho Prostředí dosáhnou jen tam, kam dosáhne tento\núčet.\n\n**Stav k 1. 11. 2026.** Lazurio Platform aplikaci Organizace podporuje od\n[vydání v0.1.9](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.9)\nz 19. 10. 2026. Dvě části hotové nejsou. Admin Organizace zatím nemůže nastavení upravit\nv Přehledu Organizace, proto se přidává pull requestem do repozitáře\nOrganizace, který projde kontrolou. Lazurio celý postup ještě neprošlo na\nskutečném tenantu: výměna přihlašovacího kódu bez tajného klíče na návratové\nadrese HTTPS, obnova po vypršení přístupového tokenu a odvolání přes\n„Assignment required“ jsou zatím otevřené kontroly. Rejstřík rozhodnutí\nLazuria vede nastavení Microsoftu 365 z rozhodnutí 0162 jako rozhodnuté,\nzatím nenasazené. Nastavení u první Organizace proto plánujte jako pilot.\n\n## Co potřebuje tenant\n\n| Položka | Nastavení |\n| --- | --- |\n| Registrace aplikace | Jedna aplikace ve vašem tenantu, například „Lazurio (<Organizace>)“. Podporované typy účtů: jen tento tenant („Single tenant only“, `AzureADMyOrg`). |\n| Oprávnění | Jen delegovaná oprávnění Microsoft Graph uvedená níže. Žádná aplikační oprávnění a žádná oprávnění k adresáři ani ke správě. |\n| Typ klienta | Veřejný klient. Uživatelé se přihlašují tokem autorizačního kódu s PKCE. Aplikace nemá klientský tajný klíč ani certifikát. |\n| Návratové adresy | Platforma „Mobile and desktop applications“: návratová adresa každého Prostředí Organizace na serveru, `https://launchpad...lazurio.io/api/integrations/oauth/callback`, a `http://localhost/api/oauth/callback`. |\n| Souhlas | Souhlas správce za celý tenant, udělený jednou. |\n| Co dostane Lazurio | Directory (tenant) ID a Application (client) ID. |\n\nMicrosoft dovoluje u aplikace pro pracovní a školní účty nejvýš 256 návratových\nadres. U adresy `localhost` port nebere v úvahu, cesta se ale shodovat musí.\nJedna registrace `http://localhost/api/oauth/callback` proto pokryje i místní\nnávrat Executoru v Prostředí. Nastavení Lazuria přijme nejvýš 255 návratových\nadres Prostředí a žádné zástupné znaky.\n\n## Oprávnění a co dovolují\n\nVšechna oprávnění jsou delegovaná. Microsoft uvádí, že s delegovaným\noprávněním aplikace nedosáhne na nic, k čemu nemá přístup přihlášený uživatel.\nAplikace nežádá nic k adresáři, uživatelům, skupinám ani nastavení tenantu.\nPřipojený účet administrátora proto dosáhne jen na poštu, kalendáře, soubory a weby,\ntam ale na všechno, k čemu má přístup tento účet.\n\n| Oprávnění | Popis Microsoftu | Co to znamená pro agenty |\n| --- | --- | --- |\n| `openid`, `profile`, `email`, `User.Read` | Přihlášení a čtení profilu přihlášeného uživatele | Jméno a adresa účtu označují připojení. |\n| `offline_access` | Zachovat přístup k datům, ke kterým ho uživatel udělil; žádná další oprávnění nepřidává | Executor obnovuje přístup bez nového přihlášení. |\n| `Mail.ReadWrite` | Vytvářet, číst, upravovat a mazat poštu v poštovních schránkách uživatelů; nezahrnuje odesílání pošty | Agenti čtou, třídí, přesouvají a mažou poštu a vytvářejí koncepty. Odeslat nemohou. |\n| `Calendars.ReadWrite` | Vytvářet, číst, upravovat a mazat události v kalendářích uživatelů | Když agent založí událost s účastníky, Microsoft jim pošle pozvánky; vypnout to nejde. Zrušení schůzky organizátorem pošle účastníkům zprávu o zrušení. |\n| `Files.ReadWrite.All` | Číst, vytvářet, upravovat a mazat všechny soubory, ke kterým má přihlášený uživatel přístup | Platí pro OneDrive i knihovny SharePointu, včetně odkazů ke sdílení a pozvání lidí k souboru. |\n| `Sites.Read.All` | Číst dokumenty a položky seznamů ve všech kolekcích webů jménem přihlášeného uživatele | Agenti najdou weby, jejich knihovny a seznamy. |\n\nAplikace nemá `Mail.Send`: odesílání pošty zůstává vypnuté, dokud ho\nOrganizace vědomě nepřidá jako samostatné oprávnění se souhlasem správce.\nNežádá ani `MailboxSettings.ReadWrite`, oprávnění ke sdíleným schránkám\n(`.Shared`) ani žádné oprávnění pro Teams; Teams přijdou ve druhé fázi, pro\nčtení a koncepty.\n\nSeznam `apps` v nastavení vybírá části, které Lazurio používá: `outlook` (pošta\na kalendář), `one_drive` (soubory) a `share_point` (soubory a weby). Přihlášení\nžádá jen oprávnění vybraných částí a oprávnění k přihlášení. Když vydání\nLazuria požádá o oprávnění, ke kterému váš tenant souhlas nedal, přihlášení\nohlásí, že je potřeba schválení správce (`AADSTS65001` nebo `AADSTS90094`).\nAdmin Organizace požádá IT o doplnění souhlasu a uživatel se připojí znovu.\n\n## Proč musí souhlas udělit IT\n\nNové tenanty používají výchozí nastavení souhlasu Microsoftu „Let Microsoft\nmanage your consent settings“. K 1. 11. 2026 Microsoft uvádí, že podle něj\nuživatelé smějí souhlasit s delegovanými oprávněními kromě seznamu, ve kterém\njsou i `Mail.ReadWrite`, `Calendars.ReadWrite`, `Files.ReadWrite.All`\na `Sites.Read.All`. Aplikace, která vyžaduje přiřazení uživatelů, navíc podle\nMicrosoftu potřebuje souhlas správce vždy. Jeden souhlas správce za celý tenant\nplatí pro všechny uživatele a nikoho dalšího se aplikace na souhlas neptá.\n\nSouhlas za celý tenant s delegovanými oprávněními Microsoft Graph smí podle\nMicrosoftu udělit Cloud Application Administrator, Application Administrator,\nAI Administrator nebo Privileged Role Administrator. Aplikaci ve výchozím stavu\nsmí zaregistrovat každý uživatel tenantu; pokud to váš tenant omezuje, smí to\nrole Application Developer.\n\n## Kdo o čem rozhoduje\n\n| Kdo | Rozhoduje |\n| --- | --- |\n| IT, administrátoři tenantu | Zda aplikace existuje, její oprávnění a souhlas; kdo se smí připojit („Assignment required“ a skupina); podmíněný přístup; vypnutí nebo smazání aplikace. Vypínačem je Entra. |\n| Admin Organizace v Lazuriu | Zapíše id tenantu, id aplikace, zvolené části a zaregistrované návratové adresy do nastavení Organizace a požádá IT o registraci adresy každého nového Prostředí. |\n| Každý uživatel | Připojí svůj pracovní účet v Apps → Integrace, může přidat další účty a odpojuje je. |\n| Agenti | Používají připojené účty. Účet nikdy nepřipojují sami a změny, které uvidí ostatní, dělají jen na pokyn uživatele. Je to pravidlo práce, které agenti dodržují, ne technická zábrana. |\n\n## Postup Admina Organizace\n\nIT pracuje ve vlastním prohlížeči. Do Prostředí se nikdo nepřihlašuje účtem\nadministrátora.\n\n1. **Sepište návratové adresy.** Admin Organizace, třeba s pomocí agenta,\n sepíše návratovou adresu každého Prostředí Organizace na serveru podle vzoru\n výše.\n2. **Zaregistrujte aplikaci.** V Microsoft Entra admin center otevřete\n Entra ID → App registrations → New registration. Pojmenujte aplikaci\n „Lazurio (<Organizace>)“, zvolte typ účtů pro jediný tenant („Single\n tenant only“, v manifestu `AzureADMyOrg`) a aplikaci zaregistrujte.\n3. **Authentication.** Na stránce Authentication přidejte návratovou adresu,\n zvolte platformu „Mobile and desktop applications“ a jako vlastní návratové\n adresy (custom redirect URIs) zadejte všechny adresy z kroku 1\n a `http://localhost/api/oauth/callback`. Volbu „Allow public client flows“\n nechte vypnutou: Microsoft ji používá pro toky bez návratové adresy, třeba\n pro přihlášení kódem zařízení. Platformu Web ani Single-page application\n nepřidávejte.\n4. **API permissions.** Přidejte devět delegovaných oprávnění Microsoft Graph\n z tabulky a zvolte „Grant admin consent for <tenant>“.\n5. **Certificates & secrets.** Nic nepřidávejte. Microsoft uvádí, že veřejný\n klient při výměně autorizačního kódu tajný klíč ani certifikát používat\n nesmí.\n6. **Omezte, kdo se smí připojit (doporučeno).** V Enterprise apps → aplikace →\n Properties nastavte „Assignment required“ na Yes a v Users and groups\n přiřaďte skupinu lidí, kteří se smějí připojit. Ostatní Microsoft odmítne\n chybou `AADSTS50105`. Microsoft upozorňuje, že uživatelé s rolí Global\n Administrator se přihlásí bez ohledu na toto nastavení.\n7. **Předejte identifikátory.** Z Overview zkopírujte Application (client) ID\n a Directory (tenant) ID a předejte je Adminovi Organizace.\n8. **Ověřte nastavení.** Zkontrolujte, že typ účtů je `AzureADMyOrg`, návratové\n adresy jsou přesně ty zamýšlené, platforma Web neexistuje, aplikace nemá\n tajné klíče ani certifikáty a souhlas je udělený pro všech devět oprávnění.\n Skutečným důkazem je až první připojení.\n9. **Zapište nastavení.** Admin Organizace schválí pull request, který do\n souboru `lazurio.organization.json` Organizace přidá\n `settings.integrations.microsoft365`: `tenant_id`, `client_id`, `apps`\n a `callbacks`, tedy přesně zaregistrované návratové adresy Prostředí bez\n adresy `localhost`. Nastavení jiný klíč nepřijme, takže tajemství obsahovat\n nemůže. Před prvním nastavením ověřte, že všechna Prostředí Organizace\n běží na vydání Lazuria, které nastavení umí přečíst: starší čtenář odmítne\n celou sekci `settings`. Každé Prostředí Organizace pak nastavení použije\n samo a v Apps → Integrace ukáže jednu kartu „Microsoft 365“; Prostředí,\n které se na nastavení ptá Přehledu Organizace, se ptá každé dvě minuty.\n10. **Uživatelé se připojí.** Každý uživatel otevře Apps → Integrace →\n Microsoft 365, zvolí Připojit, později Přidat účet, a jednou se přihlásí\n pracovním účtem. Kde je návratová adresa Prostředí zaregistrovaná, otevře\n se přihlášení ve vlastním prohlížeči uživatele. Jinak se otevře v prohlížeči\n Prostředí, který sdílejí agenti tohoto Prostředí; Lazurio v něm po skončení\n přihlášení smaže přihlašovací cookies Microsoftu. Účtem administrátora se\n v prohlížeči Prostředí nepřihlašujte.\n11. **Nové Prostředí.** IT doplní jeho návratovou adresu v Authentication\n a stejná adresa jde pull requestem do `callbacks`. Do té doby se uživatelé\n tohoto Prostředí přihlašují v prohlížeči Prostředí.\n\nKroky 2 až 5 může IT místo admin centra udělat i přes Azure CLI v Azure Cloud\nShellu ve vlastním prohlížeči; ověření v kroku 8 zůstává stejné.\n\n## Podmíněný přístup\n\n- Interaktivní přihlášení se vyhodnocuje tam, kde je prohlížeč uživatele.\n Obnova tokenu a každé volání Graphu přicházejí z odchozí adresy Prostředí.\n Pokud máte zásady podle lokality, vyžádejte si od provozovatele vašeho\n nasazení Lazuria odchozí adresy Prostředí Organizace.\n- Zásada, která vyžaduje vyhovující zařízení, zablokuje přihlášení\n v prohlížeči Prostředí chybou `AADSTS53000`. Přihlášení ve vlastním\n prohlížeči uživatele na spravovaném zařízení projít může; pozdější obnova\n z Prostředí ale na zásadu narazit může.\n- Frekvence přihlášení (sign-in frequency) ukončí připojení po uplynutí\n intervalu chybou `AADSTS70043`. Microsoft odkládá frekvenci přihlášení\n u neinteraktivních přihlášení jen u důvěrných klientů a tato aplikace je\n veřejný klient. Uživatel se pak připojí znovu.\n- Změna hesla zneplatní obnovovací tokeny z přihlášení heslem, ne\n z přihlášení bez hesla. Přístup ukončíte zablokováním účtu nebo odvoláním\n jeho relací.\n\n## Data a tokeny\n\n- Microsoft Graph komunikuje přímo s Executorem v Prostředí uživatele, tedy\n s místní MCP bránou, kterou Lazurio provozuje v každém Prostředí na serveru.\n Žádná další služba Lazuria mezi nimi není.\n- Co agent při práci přečte, odchází k poskytovateli AI modelu, se kterým\n Prostředí pracuje.\n- Executor drží tokeny připojení v Prostředí v souboru, který smí číst jen účet\n operačního systému Prostředí (`0600`). Soubor není šifrovaný. Tokeny může\n použít každý agent v tomto Prostředí (rozhodnutí 0172), ten, kdo spravuje\n server, na kterém Prostředí Organizace běží, a každý, kdo má zálohu\n Prostředí.\n- V Týmovém Prostředí slouží připojený účet všem členům a agentům tohoto\n Prostředí.\n- Executor každé zapisující volání (POST, PUT, PATCH, DELETE) pozastaví ke\n schválení, schválení ale dává sám agent. Pokyny Lazuria agentům říkají, ať\n ho přijmou jen pro koncept nebo pro Publikaci, kterou uživatel výslovně\n schválil. Je to pravidlo práce, ne technická zábrana.\n\n## Odvolání přístupu\n\n| Rozsah | Jak | Kdy to platí |\n| --- | --- | --- |\n| Jeden uživatel, i při odchodu z Organizace | Zablokujte účet nebo odvolejte relace uživatele (Microsoft Entra admin center → uživatel → Revoke sessions, nebo Graph `revokeSignInSessions`). | Další obnova selže a Executor pak ukáže připojení jako vypršelé. Už vydaný přístupový token platí do vypršení: Microsoft ve výchozím stavu přiděluje 60 až 90 minut a samotné odvolání může trvat několik minut. |\n| Celá Organizace | Enterprise apps → aplikace → Properties → „Enabled for users to sign in?“ na No, nebo odeberte souhlas, nebo aplikaci smažte. | Microsoft pro aplikaci nevydá žádné další tokeny, ani přiřazeným uživatelům. Už vydané tokeny vyprší jako výše. |\n| Jedno připojení, uživatelem | Apps → Integrace → ⋯ → Odpojit. | Připojení se smaže z Executoru Prostředí. |\n\nLazurio samo nic neodpojí a na jeho straně nic nevyprší. Odebrání nastavení\nz nastavení Organizace přestane aplikaci nabízet, existující připojení ale\nzůstanou; vypínačem proto zůstává Entra. Když Prostředí přechází k jinému\nčlověku, účty, které se v něm už používat nemají, odpojí ten, kdo ho předává,\nnebo ten, kdo ho přebírá. U člověka, který z Organizace odchází, je\nspolehlivým odstřižením blokace účtu v IT. Microsoft dává obnovovacím tokenům\nvýchozí životnost 90 dní a při každém použití je nahradí novými, takže\npřipojení, které se tak dlouho nepoužije, potřebuje nové přihlášení.\n\n## Kde aktivitu uvidíte\n\n- **Přihlašovací protokoly Microsoft Entra** (sign-in logs) ukazují\n interaktivní přihlášení uživatele do aplikace i neinteraktivní přihlášení,\n při kterých klient obnovovacím tokenem získává přístupový token, včetně\n adres.\n- **Audit Microsoft Purview** (jednotný protokol auditu) zaznamenává operace\n uživatelů a administrátorů v Exchange Online, SharePointu a OneDrivu pod účtem\n uživatele. Co se zaznamená a jak dlouho se to uchová, závisí na vašich\n licencích auditu.\n\n## Proč u aplikace stojí „Unverified“\n\nAplikaci zaregistrovala vaše Organizace ve vlastním tenantu, takže vydavatelem\nje vaše Organizace, ne Lazurio. Microsoft popisuje ověření vydavatele hlavně\njako věc aplikací pro více tenantů. Naše hodnocení: u aplikace pro jediný\ntenant se souhlasem správce tento štítek nic nemění.\n\n## Co Lazurio nepoužívá\n\n- **Work IQ MCP.** Oficiální MCP server Microsoftu pro data Microsoftu 365 není\n výchozí cestou Lazuria. Jeho jediné delegované oprávnění `WorkIQAgent.Ask`\n zahrnuje čtení i zápis ve zdrojích Microsoftu 365, na které agenti Work IQ za\n uživatele dosáhnou, administrátor musí Work IQ nejdřív zapnout a účtuje se podle\n využití. Naše hodnocení: Organizace, která ho chce, ho může později přidat\n k téže aplikaci a do Executoru.\n- **Nové konektory ChatGPT nebo claude.ai** a aplikace zaregistrované jiným\n vydavatelem: souhlas správce patří vaší vlastní aplikaci.\n- **Komunitní MCP servery**, které vedle Executoru drží vlastní cache tokenů.\n- **Composio pro pracovní účty**, jakmile je aplikace Organizace nastavená.\n Osobní účty Microsoftu (Outlook.com) aplikaci Organizace použít nemohou;\n v Osobním Prostředí zůstávají na Composiu. Viz\n [napojení Prostředí na aplikace](/cs/environment-app-connections/).\n\nV GEN3, tedy v Lazurio Rootu na počítači uživatele, karta aplikace Organizace\nnení; runbook GEN3 připojí účet přes Executor jen na výslovný pokyn uživatele,\nse stejnou registrací aplikace.\n\n## Zdroje\n\nStránky Microsoft Learn byly přečtené 1. 11. 2026.\n\n- Microsoft: [oprávnění a souhlas](https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview), [přehled oprávnění Graphu](https://learn.microsoft.com/en-us/graph/permissions-reference), [zásady souhlasu](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-app-consent-policies), [souhlas správce za celý tenant](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent), [kdo smí registrovat aplikace](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/delegate-app-roles), [registrace aplikace](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app), [přidání návratové adresy](https://learn.microsoft.com/en-us/entra/identity-platform/how-to-add-redirect-uri), [vlastnosti podnikové aplikace](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/application-properties), [pravidla návratových adres](https://learn.microsoft.com/en-us/entra/identity-platform/reply-url), [toky veřejného klienta](https://learn.microsoft.com/en-us/entra/identity-platform/scenario-desktop-app-configuration), [tok autorizačního kódu](https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-auth-code-flow).\n- Microsoft: [přístupové tokeny](https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens), [obnovovací tokeny](https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens), [odvolání přístupu uživatele](https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access), [`revokeSignInSessions`](https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions), [frekvence přihlášení](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-session-lifetime), [chybové kódy](https://learn.microsoft.com/en-us/entra/identity-platform/reference-error-codes), [neinteraktivní přihlášení](https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-noninteractive-sign-ins), [audit v Purview](https://learn.microsoft.com/en-us/purview/audit-solutions-overview), [ověření vydavatele](https://learn.microsoft.com/en-us/entra/identity-platform/publisher-verification-overview).\n- Microsoft: [vytvoření události](https://learn.microsoft.com/en-us/graph/api/user-post-events), [zrušení události](https://learn.microsoft.com/en-us/graph/api/event-cancel), [odkazy ke sdílení](https://learn.microsoft.com/en-us/graph/api/driveitem-createlink), [pozvání k souboru](https://learn.microsoft.com/en-us/graph/api/driveitem-invite), [přehled Work IQ](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/) a [oprávnění Work IQ](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/permissions).\n- Lazurio: [runbook Microsoft 365](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365.md) a [stránka pro IT](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365-for-it.md), [tvar nastavení a pořadí čtenářů](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/lazurio-manifest-family.md#microsoft-365-company-app-settingsintegrationsmicrosoft365), v Lazurio Platform [aplikace Organizace](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/integrations.md#the-microsoft-365-company-app) a [rozhodnutí F45](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f45--organization-settings-reach-the-environment-asked-through-its-relay-recorded-in-the-folder-reported-back) (anglicky) a [rejstřík rozhodnutí](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (rozhodnutí 0162, 0172 a 0194, anglicky)." }, { "stableId": "lazurio-doc-provider-notes", "locale": "cs", "route": "/cs/provider-notes/", "canonicalUrl": "https://documentation.lazurio.ai/cs/provider-notes/", "sourcePath": "data/v2/docs/cs/provider-notes.md", "title": "Ověřené poznatky o poskytovatelích", "summary": "Datované poznatky o Google Workspace, Slacku, Atlassianu, Canvě, LinkedInu, GitHubu a Composiu, každý ověřený ve vlastní dokumentaci poskytovatele.", "audience": [ "it-admin", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-org-steps", "lazurio-provider-runbooks", "lazurio-github-app-broker", "lazurio-github-app-public-issues", "composio-create-organization-request", "google-oauth-audience", "google-oauth2-refresh-token-expiration", "google-workspace-mcp-servers", "slack-mcp-server", "atlassian-mcp-get-started", "atlassian-mcp-settings", "canva-mcp-access", "canva-mcp-tools", "linkedin-api-access", "linkedin-authorization-code-flow", "linkedin-share-api", "linkedin-user-agreement" ], "markdown": "Tyto poznatky zachycují chování poskytovatelů, na které Lazurio narazilo při\nnapojování aplikací a které platí pro každou Organizaci. U každého je uvedené,\nkdy ho Lazurio zapsalo, a odkaz na stránku poskytovatele, kde byl znovu\nověřený 1. 11. 2026. Poskytovatelé své produkty mění, proto si před použitím\npoznatku otevřete odkazovanou stránku. Microsoft 365 má vlastní stránku\n[Microsoft 365 pro IT a Admina Organizace](/cs/microsoft-365/) a obecná pravidla volby\nnapojení najdete v [napojení Prostředí na aplikace](/cs/environment-app-connections/).\n\n## Co administrátor udělá nejdřív\n\nNěkteří poskytovatelé potřebují jednorázový krok na straně Organizace dřív,\nnež se k nim může připojit jakékoli Prostředí.\n\n| Poskytovatel | První krok na straně poskytovatele |\n| --- | --- |\n| Google Workspace | Vlastní projekt v Google Cloudu se zapnutými API, nastavenou obrazovkou souhlasu OAuth a vlastním klientem OAuth. |\n| Slack | Administrátor workspace schválí aplikaci MCP klienta standardním schvalováním aplikací ve Slacku. |\n| Atlassian | Administrátor organizace v Atlassianu určí, které domény se smějí připojit přes OAuth 2.1 a zda jsou povolené API tokeny. |\n| LinkedIn | Vývojářská aplikace LinkedIn s produktem Share on LinkedIn. |\n| Microsoft 365 | Jedna aplikace ve vašem tenantu Entra a jeden souhlas správce; viz [stránka o Microsoftu 365](/cs/microsoft-365/). |\n\n## Google Workspace\n\nLazurio tyto poznatky zapsalo 7. 8. 2026; sedmidenní vypršení jeho runbook\nuvádí jako nejčastější opakovaný problém.\n\n- **Přihlášení na sedm dní.** V projektu Google Cloudu, jehož obrazovka\n souhlasu OAuth má typ uživatelů External a stav publikování Testing,\n vyprší autorizace testovacího uživatele sedm dní po souhlasu, včetně\n obnovovacího tokenu. Výjimkou je jen aplikace, která nežádá nic víc než\n jméno, e-mailovou adresu a profil, takže se to týká Gmailu, Disku\n i ostatních rozsahů Workspace. Pro integraci, kterou používají jen vaše\n účty, použijte projekt ve vaší organizaci Google Cloudu s typem uživatelů\n Internal, nebo aplikaci publikujte jako In production; to může vyžadovat\n ověření od Googlu.\n- **Další důvody konce obnovovacího tokenu.** Google uvádí tyto: uživatel\n přístup odvolal, token se šest měsíců nepoužil, uživatel změnil heslo\n a token má rozsahy Gmailu, účet překročil limit 100 živých obnovovacích\n tokenů na jednoho klienta OAuth, což bez varování zneplatní ten nejstarší,\n a administrátor nastavil požadovanou službu jako Restricted. Přihlášení každého\n Prostředí je samostatný grant, takže se do limitu počítá každé přihlášení\n téhož účtu přes stejného klienta.\n- **Oficiální MCP servery.** MCP servery Googlu pro Gmail, Disk, Dokumenty,\n Tabulky, Prezentace, Kalendář, Chat a Classroom jsou ve stavu Developer\n Preview. Potřebují zapnutá API a služby MCP ve vašem vlastním projektu\n Google Cloudu, obrazovku souhlasu OAuth a vlastní ID a tajný klíč klienta\n OAuth. Google Meet mezi nimi není.\n\n## Slack\n\nLazurio tyto poznatky zapsalo 2. 9. 2026: oficiální adresa s interaktivním\npřihlášením bez ID a tajného klíče aplikace ve Slacku nestačí.\n\n- Oficiální MCP server je `https://mcp.slack.com/mcp` přes Streamable HTTP.\n Slack nepodporuje SSE ani dynamickou registraci klienta.\n- MCP klient musí stát na zaregistrované aplikaci ve Slacku, publikované ve\n Slack Marketplace nebo interní pro váš workspace; nezveřejněné aplikace MCP\n používat nesmějí. Tok OAuth je důvěrný: klient používá ID a tajný klíč\n aplikace, takže tajný klíč patří do trezoru, nikdy do Gitu.\n- Administrátoři workspace aplikace MCP klientů schvalují a spravují standardním\n schvalováním aplikací ve Slacku.\n- Limity platí pro každý nástroj zvlášť, stejně jako pro odpovídající metody\n Web API, a seznam povolených IP adres aplikace platí i pro její požadavky\n přes MCP.\n\n## Atlassian: Jira a Confluence\n\nLazurio tyto poznatky zapsalo 2. 9. 2026. K 1. 11. 2026 uvádí Atlassian jinou\nadresu, než má runbook Lazuria.\n\n- Návod Atlassianu nyní uvádí `https://mcp.atlassian.com/v2/mcp`. Adresu\n berte z aktuálního návodu Atlassianu, ne ze starší poznámky.\n- Přihlášení používá ve výchozím stavu OAuth 2.1 a akce respektují stávající\n oprávnění uživatele v Atlassianu. Přihlášení API tokenem je volitelné;\n administrátor organizace v Atlassianu ho zapíná nebo vypíná v Atlassian Administration →\n Connectors → Atlassian MCP server.\n- Povolené domény platí jen pro nástroje, které používají OAuth 2.1. Nástroje\n s API tokenem omezuje seznam povolených IP adres a rozsah tokenu a seznam\n povolených IP adres platí pro každý požadavek přes MCP server.\n- Některá volání nástrojů, třeba sjednocené vyhledávání a kontext Teamwork\n Graph, čerpají Rovo kredity.\n\n## Canva\n\nLazurio zapsalo nastavení Canvy 2. 9. 2026.\n\n- Každý uživatel se přihlašuje samostatně a dostupné operace odpovídají jeho\n vlastnímu přístupu v Canvě.\n- Canva omezuje každý nástroj zvlášť, na 20 až 100 požadavků za minutu.\n- Změna rozměrů návrhů, autofill, brand kity a brand šablony vyžadují Canva Pro\n nebo vyšší plán.\n- Mezi nástroji je i vytvoření a publikování brand šablony. Publikování brand\n šablony je v Lazuriu Publikace a potřebuje pokyn uživatele.\n\n## LinkedIn\n\nLazurio tyto poznatky zapsalo 24. 7. 2026.\n\n- Bez schválení má každý vývojář k dispozici jen otevřená oprávnění: Sign in\n with LinkedIn using OpenID Connect a `w_member_social` z produktu Share on\n LinkedIn. Většina ostatních oprávnění a partnerských programů potřebuje\n výslovné schválení od LinkedInu.\n- Přístupové tokeny platí 60 dní a programové obnovovací tokeny má jen omezený\n okruh partnerů. Integrace pro publikování příspěvků proto potřebuje nové\n přihlášení nejméně každých 60 dní.\n- Share API dovoluje 150 požadavků na člena a 100 000 na aplikaci za den podle\n UTC.\n- Uživatelská smlouva LinkedInu zakazuje scraping i boty a jiné nepovolené\n automatizované metody. Lazurio proto dovoluje jen publikování přes oficiální\n API a agenti LinkedIn čtou jen v prohlížeči pod dohledem uživatele.\n\n## GitHub\n\nLazurio tento poznatek zapsalo 17. 10. 2026 při stavbě brokeru aplikace\nLazurio for GitHub; doklady jsou v\n[issue 23 jeho veřejného repozitáře](https://github.com/Lazurio/github-app/issues/23).\n\n- U instalace, která přijala oprávnění Issues, mohl každý testovaný instalační\n token otevřít issue ve veřejném repozitáři bez ohledu na to, o jaká\n oprávnění žádal a na který repozitář byl omezený, a to i ve veřejném\n repozitáři úplně jiného vlastníka. GitHub uvedl jako přijaté oprávnění\n `issues=write`, ale nevynutil ho. Komentování GitHub odmítl u všech\n takových tokenů a úpravu, zavření a znovuotevření u tokenu jen pro čtení.\n Instalace bez oprávnění Issues testovaná nebyla. Token jen pro čtení proto\n nezabrání tomu, kdo ho má, otevírat issues ve veřejných repozitářích.\n\n## Composio\n\nLazurio tento poznatek zapsalo 17. 10. 2026.\n\n- CLI Composia nemá příkaz, který by založil organizaci. Organizaci Composia\n pojmenovanou podle vaší Organizace v Lazuriu založte na webu Composia.\n Lazurio o tento příkaz Composio požádalo v\n [issue 4949](https://github.com/ComposioHQ/composio/issues/4949), které bylo\n k 1. 11. 2026 stále otevřené.\n\n## Zdroje\n\n- Lazurio: [standard napojení externích aplikací](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/external-app-integrations.md), [runbooky poskytovatelů](https://github.com/HumanAndMachines/Lazurio/tree/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations) a [broker Lazurio for GitHub](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md#opening-issues-in-public-repositories) (anglicky).\n- Google: [typ uživatelů a stav publikování OAuth](https://support.google.com/cloud/answer/15549945), [vypršení obnovovacího tokenu](https://developers.google.com/identity/protocols/oauth2#expiration), [MCP servery Workspace](https://developers.google.com/workspace/guides/configure-mcp-servers).\n- Slack: [MCP server Slacku](https://docs.slack.dev/ai/slack-mcp-server/).\n- Atlassian: [začátek s MCP serverem Atlassianu](https://support.atlassian.com/atlassian-ai-gateway/docs/get-started-with-the-atlassian-remote-mcp-server/) a [nastavení pro administrátory](https://support.atlassian.com/security-and-access-policies/docs/control-atlassian-mcp-server-settings/).\n- Canva: [přístup a oprávnění](https://www.canva.dev/docs/apps/mcp/access/) a [nástroje a limity](https://www.canva.dev/docs/apps/mcp/tools/).\n- LinkedIn: [přístup k API](https://learn.microsoft.com/en-us/linkedin/shared/authentication/getting-access), [tok autorizačního kódu](https://learn.microsoft.com/en-us/linkedin/shared/authentication/authorization-code-flow), [Share on LinkedIn](https://learn.microsoft.com/en-us/linkedin/consumer/integrations/self-serve/share-on-linkedin), [uživatelská smlouva](https://www.linkedin.com/legal/user-agreement).\n- Composio: [žádost o zakládání organizací](https://github.com/ComposioHQ/composio/issues/4949)." }, { "stableId": "lazurio-doc-public-evidence", "locale": "cs", "route": "/cs/public-evidence/", "canonicalUrl": "https://documentation.lazurio.ai/cs/public-evidence/", "sourcePath": "data/v2/docs/cs/public-evidence.md", "title": "Bezpečnost a podklady k ověření", "summary": "Veřejné zdroje k produktovým a bezpečnostním tvrzením a hranice jejich platnosti.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-06", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Části o produktu a architektuře vycházejí z revize zdrojů Lazuria\n[`3c5bda5d54c5556a0e54f3c339d988aa911fda60`](https://github.com/HumanAndMachines/Lazurio/tree/3c5bda5d54c5556a0e54f3c339d988aa911fda60).\nZdrojové dokumenty této revize jsou v češtině. Níže najdete jejich shrnutí\na odkazy pro kontrolu. Nejde o nezávislý audit ani potvrzení bezpečnosti\nkonkrétní instalace.\n\nPopis produktu níže se vztahuje k uvedené revizi, ne automaticky k nejnovějšímu\nvydání. Při nasazení porovnejte tyto podklady s verzí, kterou skutečně používáte.\n\n## Podoba produktu a jeho zralost\n\n[README](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\npopisuje Lazurio jako lokální pracovní systém a koordinační vrstvu, nikoli jako\nAI model nebo sdílené cloudové úložiště dat. Projekt je ve vývoji. V této revizi se\nspouští ze zdrojové pracovní kopie pomocí Gitu a Bunu; CLI v0 je experimentální\na jednoduchá balíčkovaná instalace i generovaný root bez Gitu patří do cílové\narchitektury.\n\nRepozitář používá licenci\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md).\nPovoluje interní použití, nekomerční vzdělávání a výzkum i profesionální služby\npro držitele odpovídající licence. Při povoleném použití lze software kopírovat,\nměnit a šířit, pokud zůstane odkaz na licenci a autorská oznámení. „Competing\nUse“ znamená komerční produkt nebo službu, která Lazurio, jiný produkt či službu\nposkytovatele nahrazuje nebo nabízí stejnou či podstatně podobnou funkci.\nKaždá vydaná verze přechází po dvou letech na Apache 2.0 a software je\nposkytován bez záruky. Licenční oznámení uvádí HumanAndMachine s.r.o. jako\ndržitele autorských práv. Samotná licence neslibuje hosting, podporu ani úroveň\nslužeb pro konkrétní nasazení.\n\n## Identita a oprávnění\n\n[Model spolupráce](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\noznačuje jako Principála člověka nebo dlouhodobější AI identitu, pro niž se\npráce vykonává. Task Agent je dočasná pracovní relace a nemá vlastní nezávislá\noprávnění. Prompt nemůže udělit přístup k repozitáři ani schopnost poskytovatele:\nrozhodující jsou živá oprávnění v GitHubu, operačním systému a jednotlivých\nslužbách.\n\nAgent může použít soubory a přihlášení dostupné jeho procesu. Pravidla\nLazuria určují, kdy je to dovoleno; technická omezení zajišťují operační\nsystém, sandbox AI nástroje a poskytovatel.\n\n## Hranice zařízení a Organizace\n\n[README](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\na [architektura](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md)\npracují s jedním zařízením jako s jednou doménou důvěry. Organizace představuje\njednu firmu, jednu GitHub organizaci a samostatnou hranici repozitářů a\npřístupů. Na jednom zařízení může být více Organizací, jejich adresáře však\nnejsou oddělená prostředí operačního systému: proces se stejným účinným přístupem k souborům\nmůže hranici adresářů překročit. Kde firmy nemají sdílet hranici operačního\nsystému, je potřeba oddělené zařízení nebo rovnocenná infrastruktura.\n\nPersonalspace patří jednomu Principálovi. Není to společné úložiště Organizace\nani zkratka pro přesun firemních dat přes přístupové hranice. Jde o hranici\npřístupu a procesu; bez dalšího opatření konkrétního nasazení se nemá popisovat\njako kryptografické oddělení.\n\n## Návrh a zveřejnění\n\n[Model spolupráce](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\nrozlišuje Návrh — vratnou, upravitelnou práci — a Zveřejnění, tedy okamžik, kdy\nse výsledek stává účinným navenek nebo se těžko vrací. Agent smí vytvořit větev,\ncommit a pull request, pokud mu to dovolují práva repozitáře. Zveřejnění do\nchráněné větve může GitHub technicky bránit pomocí oprávnění, povinných kontrol\na review. Odeslání zprávy nebo změna nastavení u jiného poskytovatele závisí na\njeho skutečných kontrolách a na klientovi; tam, kde technická závora neexistuje,\nje výslovné schválení pouze procesní pravidlo.\n\n## Externí aplikace a přihlašovací údaje\n\nTato část vychází z novějšího [standardu integrací](https://github.com/HumanAndMachines/Lazurio/blob/6416d27786296583baf08b75526cff225e2673f7/manual/external-app-integrations.md),\nověřeného 24. 10. 2026. Pro nové propojení stanovuje pořadí: oficiální MCP,\noficiální CLI, povolené Composio, prověřené open-source řešení a prohlížeč.\nExecutor spravuje MCP servery Prostředí; při práci s již připojenou aplikací\nmá její nástroj přednost před Executorem a Composiem.\n\nComposio je jedinou povolenou výjimkou ze zákazu sdílených brokerů a musí být\npro dané Prostředí povolené. Uchovává tokeny a zpracovává obsah volání;\npropojení patří účtu a organizaci v Composiu, nikoli automaticky jednomu\nzařízení. Nové cloudové konektory, jiné sdílené brokery a scraping či\ncookie-session servery standard nepovoluje. Aplikace a konektory ChatGPT\nv harnessu agenti podle pravidla nepoužívají, dokud je nepovolí Organizace,\nv Osobním Prostředí uživatel. V Prostředí na serveru pravidlo Lazurio podpírá\ndvěma nastaveními v konfiguraci Codexu; aplikace zapnutá jménem a konfigurace,\nkterou neumí přečíst, zůstávají beze změny a Lazurio je hlásí.\n\nPřístup k zápisu není souhlas se zveřejněním. OAuth token může použít proces,\nkterý na něj dosáhne; schvalování v MCP neomezuje automaticky CLI ani shell.\nPodrobnosti a otevřené otázky uvádí [návod k propojení aplikací](/cs/environment-app-connections/).\n\n[Standard úschovy tajných údajů](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md)\nudržuje skutečné přihlašovací údaje mimo Git. Netvrdí, že Lazurio samo šifruje\nzařízení, obměňuje všechny údaje nebo nahrazuje zálohy a reakci na incident.\n\n## Lokální a hostované služby\n\nZdrojová pracovní kopie obsahuje lokální root, Launchpad, Guide, CLI/Core,\nDoctor a připojené moduly Organizací. Launchpad a spustitelné moduly používají\nlokální HTTP listenery na loopbacku s dynamicky zvoleným nebo modulem vlastněným\nportem. Vazba na loopback není ověření volajícího: jiné procesy na stejném\nzařízení se k těmto službám mohou dostat. Lokální Guide obsažený v této revizi\nLazuria nabízí i zápis souborů; nejde o tento veřejný web dokumentace ani\no bezpečnostní kontrolu. Doctor v popsané revizi předpokládá Git,\nGitHub CLI a Codex CLI; nasazení s jiným klientem agenta musí otestovat vlastní\ncestu přes Doctor a repair, nemá předpokládat stejnou funkčnost.\n\nZdrojová kopie obsahuje i kód pro bridge a provisionování samostatně\nnasazovaných profilů; samotná přítomnost ve zdroji neznamená aktivaci. Mezi\nvolitelné části architektury patří Dashboard, hostované týmové workspaces a\nslužby Resident/Buddy pro jednotlivé vlastníky. Nasazení, které některou z\ntěchto služeb zapne, ji musí uvést jako samostatnou službu s vlastním\nprovozovatelem, identitou, úložištěm, sítí, zpracovateli, logy, retencí,\nzálohami a pravidly mazání.\n\n## Co tyto podklady nedokazují\n\n- Nepotvrzují konkrétní nasazení zákazníka ani to, že má kontroly skutečně\n zapnuté.\n- Nedávají univerzální příslib retence, trénování modelů ani regionu zpracování.\n- Nezaznamenávají každé přečtení lokálního souboru, prompt ani volání API.\n- Nemění adresáře Organizací na jednom zařízení v tvrdě oddělené tenancy.\n- Neztotožňují procesní schválení s technickou kontrolou poskytovatele.\n\nPro promítnutí těchto podkladů do schválení konkrétního nasazení použijte\n[přehled pro správce IT](/cs/it-administrators/)." }, { "stableId": "lazurio-doc-reference", "locale": "cs", "route": "/cs/reference/", "canonicalUrl": "https://documentation.lazurio.ai/cs/reference/", "sourcePath": "data/v2/docs/cs/reference.md", "title": "Použité zdroje", "summary": "Odkazy na zdroje Lazuria a Microsoftu a pravidla jejich ověřování.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-10-04", "reviewedAt": "2026-10-04", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody", "microsoft-copilot-architecture", "microsoft-copilot-data-protection", "microsoft-copilot-privacy", "microsoft-copilot-requirements", "microsoft-copilot-extensibility" ], "markdown": "Odkazy na Lazurio vedou na konkrétní revizi repozitáře, ze které dokumentace\nvychází. Stránky Microsoftu se průběžně mění; datum jejich posledního\nověření najdete v mapě zdrojů. Jazyková úprava stránky sama toto datum nemění.\n\n## Zdrojové materiály Lazuria\n\n- [Přehled projektu](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\n- [Licence](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md)\n- [Architektura](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md)\n- [Pravidla spolupráce, oprávnění a schvalování výsledků](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\n- [Standard pro integrace externích aplikací](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md)\n- [Standard lokální správy tajných údajů](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md)\n\n## Dokumentace Microsoftu\n\n- [Přehled Microsoft Copilotu](https://learn.microsoft.com/en-us/copilot/plan/copilot-overview)\n- [Ochrana dat a audit](https://learn.microsoft.com/en-us/copilot/plan/architecture-data-protection-auditing)\n- [Data, soukromí a bezpečnost](https://learn.microsoft.com/en-us/copilot/plan/microsoft-365-copilot-privacy)\n- [Technické požadavky](https://learn.microsoft.com/en-us/copilot/plan/microsoft-copilot-requirements)\n- [Pluginy Copilotu](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/plugins-overview)\n\n## Kontrola aktuálnosti\n\nSoubor `data/v2/source-map.json` ve veřejném repozitáři uvádí u každého\nzdroje odpovědnou osobu a data poslední i příští kontroly. Jakmile platnost zdroje skončí,\nvalidace obsahu selže; tvrzení se tak nesmí zveřejnit, dokud se zdroj znovu\nneověří.\n\nBezpečnostně významné stránky uvádějí Pabla AI jako druhého reviewera.\nProdukční zveřejnění je vázané na schválení konkrétního Git commitu; starší\nsouhlas se automaticky nevztahuje na pozdější úpravy." }, { "stableId": "lazurio-doc-servers-conglomerate-host", "locale": "cs", "route": "/cs/servers-conglomerate-host/", "canonicalUrl": "https://documentation.lazurio.ai/cs/servers-conglomerate-host/", "sourcePath": "data/v2/docs/cs/servers-conglomerate-host.md", "title": "Servery a Conglomerate Host", "summary": "Jména serverů a Prostředí služeb, jeden IPv4 prefix na Conglomerate Host, správa Vlastníkem Organizace se jmenovitou identitou, přesnými granty a cestou obnovy a dva samostatné výsledky předání Prostředí na serveru.", "audience": [ "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-02", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-root-operator-machine-access", "lazurio-root-conglomerate-owner-administration", "lazurio-root-hosted-machine-handover", "lazurio-decision-register-gen4", "lazurio-decision-register-admin-ai", "lazurio-decision-0234-role-names" ], "markdown": "Tato stránka je pro Vlastníky Organizace, Adminy Organizace a IT Organizace, která pro Lazurio provozuje vlastní servery. **Conglomerate Host** je server, na kterém běží soukromá síť (Headscale) a trezor (Vaultwarden) pro Prostředí na serveru jedné nebo více Organizací.\n\nKde je níže pravidlo jen konvence, nic ho nekontroluje: nic neuděluje a kvůli němu se existující servery nepřejmenovávají ani nepřečíslují.\n\n## Jména\n\n- **Virtualizační host:** `-proxmox-NN`, například `example-proxmox-01`. `` je krátký štítek, který Vlastník Organizace zvolí jednou. Nemění se, když se změní GitHub login nebo DNS jméno Organizace, takže kdo spravuje víc Organizací, rozliší své hosty v konzoli poskytovatele, v SSH i v tailnetu. Číslování začíná `01` a smí přerůst dvě číslice. Je to konvence.\n- **Prostředí služeb:** každý server Organizace má právě jedno `services-NN` s číslem svého serveru (`-proxmox-01` má `services-01`). Je to Pracovní Prostředí jen pro Adminy Organizace (rozhodnutí 0228, zatím nenasazené) a každá služba v něm běží ve vlastním kontejneru. Když mu nestačí výkon, zvětší se; druhé na tomtéž serveru nevzniká (rozhodnutí 0209).\n- **Zařízení lidí v tailnetu:** `-`, například `-macbook`. `` je štítek síťového uživatele člověka: u účtu propojeného s GitHubem jeho GitHub login malými písmeny, zmrazený, takže pozdější přejmenování na GitHubu síťového uživatele nepřejmenuje. `` je krátký štítek zvolený jednou a stejný ve všech tailnetech. Druhý, headless klient na tomtéž zařízení je `--cli` a Osobní Prostředí na serveru `-personal-vm`. Jméno nastavuje majitel na zařízení samém. Jméno nic neuděluje.\n\n## Rozsah adres tailnetu\n\n- Každý Conglomerate Host dostane vlastní rozsah uvnitř `100.64.0.0/10`, který se nepřekrývá s žádným jiným Conglomerate téhož provozovatele (rozhodnutí 0155). Jinak by každý tailnet rozdával stejné adresy `100.64.0.x` a počítač toho, kdo je spravuje, by je nerozlišil.\n- Provozovatel, který Conglomeraty zakládá, si vede seznam rozsahů, které přidělil, jako pomůcku pro sebe. Není to centrální autorita ani registr cizích sítí.\n- Nový Conglomerate Host musí svůj rozsah určit při založení. Existující si rozsah ponechá, dokud ho nepřečísluje řízená migrace.\n\n## Správa Conglomerate Hostu\n\nSpráva hostu se dotýká všech Organizací, které obsluhuje. Pravidla níže jsou standard: sám nic neuděluje a nedokazuje, že ho Organizace nasadila. Konkrétní účty, zařízení, klíče, síťové vazby a důkazy patří do infrastrukturního repozitáře Organizace, která host vlastní. Pro každého Vlastníka Organizace, který host spravuje, platí:\n\n- **Vlastní cesta, vlastní klíče, tři druhy zdrojů.** Po schváleném onboardingu může host spravovat každý aktivní Vlastník Organizace, která ho vlastní, a to jen:\n - ze svého osobního počítače výslovně povoleného pro správu;\n - ze svého Osobního Prostředí;\n - ze svého výslovně jmenovaného Pracovního Prostředí (rozhodnutí 0202, zatím nenasazené).\n\n Podle rozhodnutí 0228 (přijaté, zatím nenasazené) bude správa hostu potřebovat obě role: host spravuje jen ten, kdo je Adminem Organizace a zároveň má živou roli Vlastníka Organizace, která host vlastní. Do nasazení jsou Adminy Organizace její aktivní Vlastníci Organizace.\n\n Telefon, jiná Pracovní Prostředí ani pracovní laptop správu nedostanou, ani když jsou schválené pro jiný přístup. Vlastník Organizace používá vlastní jmenovitou identitu přes soukromou síť a nativní SSH a jeho klíče jdou odvolat jednotlivě. Cesta nikdy nezávisí na IP adrese, počítači, přihlášení ani soukromém klíči jiného Vlastníka Organizace nebo dodavatele a soukromý klíč zůstává na svém zařízení.\n- **Roli dokazuje jen GitHub.** Členství v tailnetu, sdílený síťový uživatel, štítek Prostředí ani jméno serveru roli Vlastníka Organizace nedokazují. Rozhoduje živá role na GitHubu a přesná vazba zdroje na daného Vlastníka Organizace a přístup se nikdy nedává všem uzlům Organizace najednou.\n- **Jen přesné granty.** Host má jmenovité SSH účty, přesné síťové granty a jen ta administrátorská práva, která práce potřebuje. Odpověď na navázané spojení neopravňuje otevřít spojení opačným směrem. Novou IP adresu nebo novou registraci zařízení opravuje schválená změna přesné vazby, nikdy širší grant.\n- **Onboarding končí změnou, ne přihlášením.** Samotné funkční přihlášení přes SSH onboarding Vlastníka Organizace nedokončuje. Vlastník Organizace pod vlastním účtem umí:\n - přečíst stav sítě a konfiguraci, kterou potřebuje;\n - dostat se do infrastrukturního repozitáře Organizace;\n - navrhnout, ověřit a provést schválenou změnu běžným postupem nasazení s vlastními přístupy;\n - vysvětlit publikaci, review a obnovu a mít vlastní cestu k obnově.\n- **Administrátorská práva neobcházejí postup.** Požadovaný stav zůstává v infrastrukturním repozitáři a každá změna prochází review a postupem nasazení, u Vlastníka Organizace stejně jako u agenta. Nezávislá kontrola může potřebovat dalšího oprávněného Kolegu, nikdy ale tajný údaj, který má jen dodavatel.\n- **Odvolání je samostatný krok.** Když Vlastník Organizace odchází, mění roli nebo ztratí zařízení, odvolejte jeho granty a klíče a kde to jde, ukončete i živé relace. Zapište, jestli to proběhlo automaticky, nebo ručně. Role se kontroluje při nasazení přístupu, ne při každém přihlášení přes SSH.\n- **Sdílený host má víc nájemců.** Kdo je Vlastníkem Organizace u jedné Organizace, nemá tím automaticky právo spravovat host jiné Organizace: schválení odpovídá vlastnictví hostu a celé jeho sdílené hranici. Správa nikdy neopravňuje číst cizí Personalspace.\n- **Vzdálené ovládání sahá dál než síť.** Plné ovládání počítače člověka z Pracovního Prostředí může nepřímo zpřístupnit administrátorské přístupy toho počítače a síťové pravidlo proti přímé cestě to nezastaví. Rozsah vzdáleného ovládání držte vědomý a zdokumentovaný a neslibujte přísnou izolaci.\n- **Nejdřív soukromá síť, záchrana poskytovatele pro nouzi.** Správa jde přes soukromou síť. Konzole poskytovatele a jeho záchranný režim jsou nouzová cesta. Než zavřete veřejnou záložní cestu přes SSH, ověřte, že funguje soukromý vstup, oprávnění k obnově u poskytovatele, identita hostu i návrat do běžného startu. Záchranný režim může přerušit sdílené služby, proto každou nouzovou změnu promítněte zpět do infrastrukturního repozitáře a jeho záznamů.\n- **Nasazené znamená prokázané.** Infrastrukturní repozitář Organizace, která host vlastní, zaznamenává povolená zařízení a jejich vazbu na současné Vlastníky Organizace. Zaznamenává i nasazenou verzi, důkaz nasazení a oba druhy testu: skutečné přihlášení přes SSH a s administrátorskými právy z každého povoleného zdroje a odmítnuté spojení ze zdroje, který povolený není. Standard, plán, otevřený pull request a živé nasazení jsou čtyři různé stavy.\n\n## Dva výsledky předání Prostředí na serveru\n\nToto je cílový kontrakt předání Prostředí na serveru a jeho implementace ještě není dokončená: běžící Prostředí se od něj může lišit. Co je nasazené, důkazy a pořadí oprav patří do infrastrukturního repozitáře vlastníka Prostředí. Předání má dva výsledky a každý se prokazuje zvlášť.\n\n**Prostředí na serveru je připravené k předání**, když:\n\n- jsou ověřené jeho prostředky, operační systém, identita, správa, síť a izolace;\n- webový vstup má platný certifikát, správné DNS a funkční bránu;\n- čisté Lazurio a základní pracovní vstup běží bez checkoutu Organizace, bez osobního GitHub tokenu a bez přihlášení uživatele k nástrojům AI;\n- Lazurio ukazuje pravdivý prázdný stav a chybějící checkout nezpůsobí pád, automatické klonování ani přístup k jiné Organizaci;\n- opakovaná instalace zachová identitu a existující pracovní data;\n- záloha a obnova mají vlastní ověřený výsledek. Pokud pilot obnovu výslovně odloží, report to omezení uvede a obnovu za ověřenou neoznačí.\n\n**Uživatel je připravený pracovat** v individuálním Prostředí, které má jednoho přiděleného uživatele, když:\n\n- má za sebou vstup ze svého zařízení a přihlášení vlastním účtem do GitHubu (`gh`);\n- má vybrané a nastavené Organizace, které potřebuje a ke kterým má přístup, každou jako samostatný checkout a hranici přístupu;\n- své checkouty najde bez změny konfigurace hostingu a moduly přitom zůstávají v hranici své Organizace a živých práv;\n- má nastavené vlastní nástroje, přihlášení a závislosti projektů;\n- má ověřenou skutečnou práci. Úspěšné přihlášení na web nedokazuje SSH, přístup do Gitu, funkci každého modulu ani obnovu aplikace.\n\n**Sdílené Týmové Prostředí** osobního uživatele nemá, a proto pro něj neplatí pravidlo individuálního Prostředí, kde se uživatel přihlásí vlastním účtem a připojí kteroukoli svou Organizaci. Na GitHubu pracuje přes aplikaci Lazurio for GitHub Organizace s omezeným rozsahem Organizace a Teamu, nikdy s osobním tokenem toho, kdo se přihlásil naposledy (rozhodnutí 0147). Ani instalace Lazuria tam nepotřebuje checkout dat Organizace a nastavení obsahu Teamu je samostatný krok pod identitou Teamu.\n\nČekání na přihlášení člověka je `onboarding pending`, ne porucha zřizování; název popisuje stav, není to hodnota v žádném systému. Report nikdy nesloučí infrastrukturu, základní Lazurio a přijetí uživatelem do jednoho zeleného políčka.\n\n## Zdroje\n\n- Lazurio: [rejstřík rozhodnutí](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (rozhodnutí 0147, 0155, 0202 a 0209; [rozhodnutí 0228](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0228--the-organization-admin-is-a-lazurio-role-and-the-admin-also-enters-every-environment-of-their-organization-in-the-browser) pro Admina Organizace a [rozhodnutí 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent) pro názvy rolí; anglicky) a tři manuály GEN3: [přístupy mezi Prostředími jednoho uživatele](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/operator-machine-access.md), plné znění rozhodnutí 0155 se jmény, Prostředím služeb a IPv4 rozsahy; [správa Conglomerate Hostu Ownery Organizace](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/conglomerate-owner-administration.md); a [předání Prostředí na serveru a onboarding uživatele](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/hosted-machine-handover.md) se dvěma samostatnými výsledky." }, { "stableId": "lazurio-doc-use-cases", "locale": "cs", "route": "/cs/use-cases/", "canonicalUrl": "https://documentation.lazurio.ai/cs/use-cases/", "sourcePath": "data/v2/docs/cs/use-cases.md", "title": "Kdy dává Lazurio smysl", "summary": "Příklady práce, pro kterou se Lazurio hodí, a kdy zvolit jiné řešení.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "Lazurio se hodí pro práci, jejíž výsledek potřebujete uchovat, zkontrolovat\na sdílet: změnu aplikace, pracovní postup nebo podklady k rozhodnutí.\nV příkladech níže agent připravuje práci a tým kontroluje výsledek.\n\n## Kde může Lazurio pomoci\n\n### Vývoj produktů a softwaru\n\nZadejte agentovi konkrétní změnu aplikace. Může projít vybraný modul,\nupravit kód, spustit testy a připravit pull request. Tým před přijetím změny\nzkontroluje rozdíly a výsledky testů. Historie zůstává v Gitu.\n\n### Provozní postupy napříč nástroji\n\nJeden úkol může vyžadovat podklady z repozitáře i přístup ke schválené externí\naplikaci. Každé takové propojení je v Lazuriu konkrétní, dohledatelné a\nsamostatně odvolatelné pro dané zařízení. Systém nespoléhá na jedinou\nprostřednickou cloudovou službu se souhrnným přístupem ke všem nástrojům.\n\n### Trvalé organizační znalosti\n\nZ rozhovoru s agentem může vzniknout pracovní postup, plán nebo návrh\nrozhodnutí. Nechte ho uložit na odpovídající místo v organizaci a projít\nschválením. Ostatní pak nemusí hledat důležité informace ve vašem chatu.\n\n### Opakované agentní role\n\nPro opakovanou práci uložte instrukce, nástroje, testy a podmínky schválení\ndo zkontrolovaného postupu. Další úkol z něj může vycházet bez předpokladů\nskrytých v kopii starého zadání.\n\n### Více firem na zařízení jednoho Principála\n\nLazurio může na jednom zařízení zpřístupnit několik povolených Organizací a\nkaždou zachovat jako samostatnou hranici v GitHubu i v lokálních repozitářích.\nTo je užitečné pro zakladatele, konzultanty a provozní role, které pracují pro\nvíce firem a nesmějí míchat jejich neveřejná data. Nejde ale o tvrdé OS\noddělení; kde je potřeba silnější izolace, použijte jinou hranici zařízení.\n\n## Kde jsou nutná další opatření\n\nPráce s regulovanými daty, produkční infrastrukturou, finančními operacemi,\nhromadnou komunikací, přihlašovacími údaji nebo nevratnými zásahy vyžaduje\nopatření odpovídající konkrétnímu riziku. Lazurio nenahrazuje právní\npovinnosti, certifikaci, oddělení rolí ani bezpečnostní posouzení dodavatele.\n\n## Kdy Lazurio nemusí být nejlepší první volbou\n\n- Potřebujete pouze osobního asistenta v jedné kancelářské sadě a neřešíte\n verzované změny ani práci napříč nástroji.\n- Organizace nechce spravovat přístupy k repozitářům, zabezpečení zařízení a\n pravidla pro kontrolu změn.\n- Úkol nelze rozumně vymezit, otestovat ani vrátit zpět a není jasné, kdo smí\n rozhodnout o výsledku.\n- Celý pracovní postup už spolehlivě pokrývá zavedený produkt s jednodušší\n správou.\n\nPro osobní produktivitu soustředěnou v Microsoftu si přečtěte srovnání\n[Lazurio vs Microsoft Copilot](/cs/lazurio-vs-microsoft-copilot/). Rozumným\nvýsledkem může být Copilot, Lazurio nebo obě řešení s oddělenými\nodpovědnostmi." }, { "stableId": "lazurio-doc-agents", "locale": "en", "route": "/en/agents/", "canonicalUrl": "https://documentation.lazurio.ai/en/agents/", "sourcePath": "data/v2/docs/en/agents.md", "title": "Documentation for agents", "summary": "Find and read documentation through llms.txt and the JSON index.", "audience": [ "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture" ], "markdown": "Use the text or JSON index for automated search. Both contain the same\ndocumentation that people read on this site.\n\n## Where to find the content\n\n- [`/llms.txt`](/llms.txt) is a compact map of canonical pages and summaries.\n- [`/content-index.json`](/content-index.json) is the versioned structured\n index. It includes stable document IDs, routes, audiences, review metadata,\n canonical URLs, public source paths, evidence references and Markdown content.\n- [`/sitemap-index.xml`](/sitemap-index.xml) is the web crawler map generated\n by the documentation build.\n- Use the published pages when you need the full explanation.\n\nStable-ID retrieval defaults to the English document. Agents can request a\ndifferent published locale explicitly; canonical routes always select the exact\nlocalized page.\n\nAll artifacts are built from `data/v2/docs` in the public\n[documentation repository](https://github.com/Lazurio/documentation). The\nindex identifies the exact source commit and whether it came from a dirty local\npreview. Production deployment rejects a dirty or non-approved commit.\n\n## Retrieval guidance\n\n1. Start with `llms.txt` to select a page.\n2. Prefer a stable ID from `content-index.json` when persisting a reference;\n routes may be localized later.\n3. Read `sourceRefs` and the matching public source records before repeating a\n trust-critical claim.\n4. Distinguish documented provider facts from Lazurio's assessment.\n5. Report the page review date and source commit when freshness matters.\n6. If a statement is absent or deployment-specific, say so instead of filling\n the gap from inference.\n\n## Future MCP server\n\nAn MCP server for this documentation is not available yet. If added, it should\nserve the same content as the JSON index, read-only. It should neither edit\ndocumentation nor read private data. For now, use the links above." }, { "stableId": "lazurio-doc-architecture", "locale": "en", "route": "/en/architecture/", "canonicalUrl": "https://documentation.lazurio.ai/en/architecture/", "sourcePath": "data/v2/docs/en/architecture.md", "title": "Architecture", "summary": "How people, devices, Environments, Organizations, modules and outside services fit together, what goes to GitHub and where a module keeps its data.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-standard-v0-1-21", "lazurio-platform-module-parts-f14", "lazurio-platform-decision-f52", "lazurio-platform-content-sync-v0-1-20", "lazurio-platform-release-v0-1-20", "lazurio-platform-release-v0-1-21-rc-1", "lazurio-platform-marketplace-v0-1-21", "lazurio-platform-stack-profiles", "lazurio-platform-register-modules", "lazurio-platform-environment-access-v0-1-21", "lazurio-platform-app-database-connection-question", "lazurio-documentation-readme", "lazurio-decision-register-admin-ai" ], "markdown": "This page is for IT and Organization Admins. A person reaches an\n**Environment** from an approved device. The Environment is the computer where\nagents work. An **Organization** is one GitHub organization, and each **module**\nin it is a repository of its own. [Modules](/en/guide/modules/) explains the\nsame model without technical terms.\n\n
\n \n \n \"A\n \n
Solid parts run today. Dashed parts are decided and not deployed.
\n
\n\n## The layers\n\n**Person and device.** By default, entry has three conditions: the network\n(Tailscale on the right Headscale tailnet, from a device the Organization\nAdmin approved), active membership of the Organization, and a grant to the whole\nEnvironment or to one app. This is the target model of\n[decision 0192](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/environment-access.md),\nand the transition is not complete: how a device gets in today can still differ\nbetween tailnets. An Organization in public DNS mode (decision 0213, partly\ndeployed) drops the network condition and device approval. People then reach the\nweb interface through the server's entry with a Lazurio account.\n\n**Environment.** The computer where agents work: a Personal, Work or Team\nEnvironment. Agents work there with full access, without a sandbox or approval of\nsingle commands (decision 0172). The Environment is the boundary, so narrower rights\nmean a separate Environment with its own sign-ins and GitHub grants. The apps of\nmodules run here, and **Files** is this Environment's Documents folder.\n\n**Organization.** One GitHub organization. Its root repository declares the\nmodules: each module is a slot in `modules.manifest.json`, and a Team is a\ndeclaration on the slot, not a directory.\n\n**Module.** One Git repository with `lazurio.module.json` at its root. Its\nprocess is `AGENTS.md` with skills in `.agents/skills/`. Its app is a package in\n`app/v/`. Where its data lies follows from its generation, [below](#where-a-module-keeps-its-data).\nA module can have no app at all. An Organization's module is a private repository\n`/`. A personal module is a private repository\n`/` on the person's own account, without an Organization or Teams.\n\n**Around the Environment.**\n\n- **Integrations** are apps connected to an Environment, one path each\n (decision 0162).\n- **The vault** holds secrets. Each Environment has its own vault identity, and\n values never go into chat, Git, logs or pull requests (decisions 0193, 0198\n and 0203).\n- **The AI provider** runs the models. [Where your AI comes\n from](/en/guide/ai-source/) describes the two sources.\n- **Server services** run on one services Machine on each Organization server,\n with one container per service. Only Organization Admins enter them; an\n Organization Owner who is not also an Organization Admin does not (decisions\n 0209 and 0228). Their\n status is decided, not yet deployed.\n\n## One source, synchronized copies\n\nGitHub holds the one source of a module. Every Environment that can read the\nmodule keeps a checkout of it. The number of checkouts follows the Environments,\nnot the people: twenty people in one Team Environment share one checkout. However\nmany there are, they are checkouts of one repository, not separate sets of data.\n\nThe installed Lazurio fast-forwards clean checkouts at its start and then every\nhour. Since release v0.1.20 the same synchronization also clones a declared\nmodule or data repository once this Environment's identity can read it, unless\nthe slot is restricted to Organization Admins or the Environment is a Team\nEnvironment. A restricted slot is not cloned this way even for an Organization\nAdmin; it stays an explicit installation. Each round is an attempt: a root that\ndoes not end current stops its Organization, and a denied or failed operation\nleaves that repository as it is until the next round.\n\nA change goes the other way as a Publication: a merged pull request, or for\nrepository-db data a commit and push of the unpublished change.\n\n## Access by Team\n\nWhich Teams reach a module is decided by the live grant on GitHub (decision\n0186). `teams` in the Organization's manifest is only the default when a module\nis created, and creating a module grants Write to each Team named. Organization\noverview changes a grant through the GitHub app Lazurio Administration Access,\nwith the acting person's own rights, so GitHub's audit names that person. A\nchange that a Module Maintainer asks for is a request that an Organization\nAdmin approves.\n\nRevoking access stops the operations on that repository but does not delete what\nan Environment already has. The checkout stays, an agent with access to that\nEnvironment can still read it, and it stops updating. The Organization's manifest\nnames every module, so a name alone is not hidden.\n\nLazurio controls entry to a module and passes it a verified identity. What each\nperson may do inside is the Organization's own rules in its code and data\n(decision 0196).\n\n## What goes to GitHub and what does not\n\n| What | Where it lives | On GitHub |\n| --- | --- | --- |\n| Process, skills and app code | The module's repository | Yes |\n| Content of a `v2` module | `data/v2/` in the module's repository | Yes |\n| Records of a `v3` module | The data repository `-data` | Yes |\n| Schema of a `v4` module | The module's repository | Yes, once deployed |\n| Rows of a `v4` module | The database in the Server services | No, once deployed |\n| Secrets | The vault | No |\n| Files | The Documents folder of one Environment | No |\n| Sign-ins of tools | The Machine under the Environment | No |\n| Data in connected apps | Those apps | No, unless an agent copies it into a module |\n\n## Where a module keeps its data\n\nThe generation of an app, the directory `app/v`, names where the data lies,\nnot the app's quality (decision F69, in release candidate v0.1.21-rc.1).\n\n| Generation | Where the data lies | When it fits | Public example | Status |\n| --- | --- | --- | --- | --- |\n| `v1` | Content is part of the app. There is no data layer. | The module has no records of its own. | Design System and Presentations templates | Available |\n| `v2` | Content lies beside the app in the same repository, in `data/v2/`. There is no data layer of its own. | There is a lot of content, it changes now and then and agents edit it. | [This documentation](https://github.com/Lazurio/documentation) | Available |\n| `v3` | Records lie in a data repository `/-data`, managed by repository-db and checked out as `db/`. A person's edit is an unpublished change; publishing it is one commit and push. | Records change daily and you want history and approval. This is the default for a new module with data. | Mission Control template | Available |\n| `v4` | Records lie in a Dolt database in the Server services of the Organization's server. GitHub holds the app, the process and the schema, not the rows. | Many people write at once, access differs inside the data, personal data must be deletable, or an outside service writes. | None yet | **Decided, not deployed** |\n\nThree things about the table:\n\n- **Before v0.1.21.** In release v0.1.20, a new module with data starts in\n `app/v1`, with its data in repository-db. From v0.1.21 it starts in `app/v3`.\n An existing module keeps its directory and moves at its next planned\n transition.\n- **Moving up.** A module starts as low as it can. A transition is a planned\n step: a new generation beside the old one, the data converted, then the\n default app switched by a Module Maintainer or the user. A module keeps\n at most two generations.\n- **`v4` today.** No template exists, `lazurio module create` has no stack for\n it, and how an app gets its connection without `.env` is an [open\n question](https://github.com/Lazurio/LazurioPlatform/issues/818). The decided\n design is a primary on one server, a hot standby on a second server where\n there is one, and a copy of the whole database every 15 minutes to Google Cloud\n Storage in the Organization's own project in the EU. An Environment connects\n only to the services of its own server. A Dolt database outside the server is\n a connection setting of `v4`, not a `v5`.\n\n## Module or Integration\n\nAn outside system stays where it is. An agent reaches it as an Integration, for\nexample through a custom MCP server in Executor, and sees what that connection\nallows. The data stay in that system. The `v4` database is for the Organization's\ninternal work; production apps and databases that serve its customers are\nseparate systems outside it (decision 0209).\n\nOur assessment, not a technical limit: build a module when you want your own\nprocess and app, and connect an Integration when you mostly use someone else's\napp.\n\n## Who did what\n\nA change to a repository is a Git commit with its author, and a pull request\nkeeps its review. GitHub's audit names the person who changed a Team's grant\n(decision 0186). For `v4`, a Dolt commit with its author and message is the\nplanned publication; the stack profile calls that mapping a design to prove on a\nprototype, not verified behaviour.\n\n## Sources\n\n- [Lazurio Module Standard](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/module-standard.md) at release v0.1.20, and [at v0.1.21-rc.1](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/module-standard.md) for the generations.\n- [Stack profiles](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/stack-profiles.md) at v0.1.21-rc.1: the data layer of each generation, `app-data` and `app-database`.\n- [Content synchronization](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/content-sync.md) at release v0.1.20.\n- [Environment access](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/environment-access.md) at v0.1.21-rc.1.\n- [Decision register](https://github.com/Lazurio/LazurioPlatform/blob/d1d8917cdf1afdf49c5091115ca9d615abc0c376/docs/decision-register.md) at v0.1.21-rc.1: decisions 0162, 0171, 0172, 0186, 0192, 0193, 0196, 0198, 0203, 0209, 0213 and 0228.\n- [Decision F14](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f14--agent-manuals-live-in-the-lazurio-folder) (what a module holds) and [F52](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f52--one-module-generator-in-the-platform-a-persons-own-modules-in-their-personalspace) (one generator, personal modules)." }, { "stableId": "lazurio-doc-data-access-security", "locale": "en", "route": "/en/data-access-security/", "canonicalUrl": "https://documentation.lazurio.ai/en/data-access-security/", "sourcePath": "data/v2/docs/en/data-access-security.md", "title": "Data access and security", "summary": "Which data an agent can use and how to test access restrictions.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Before deployment, check which account the agent uses, which files and\nservices it can access, and who approves its results. Chat instructions alone\ndo not restrict access. Technical protection comes from OS, repository and\nservice permissions, plus any sandbox provided by the AI tool. Lazurio does\nnot add a universal sandbox of its own.\n\n## Boundary map\n\nA trust boundary limits how far access or a compromised process can reach.\nSeparate folders organize work, but do not by themselves stop a program with\nthe same permissions from reading their contents.\n\n### Identity and session\n\nA task agent works for the signed-in principal and owns no separate rights. A\nprompt creates no repository or provider grant. At the same time, policy text\ncannot remove a capability already available to the process: a readable file,\nactive session or exposed credential may be usable by the client.\n\n### Machine and Organization\n\nAn Organization is one company's GitHub and repository boundary. Company data,\nsecrets and strategy must not cross into another Organization. One machine,\nhowever, is one trust domain. Directory and repository boundaries are not\nkernel or cryptographic isolation from another process with the same OS access.\nUse separate machines or equivalent infrastructure when a compromise must not\ncross company boundaries.\n\n### Personalspace\n\nPersonalspace is private to one principal, not a shared company store. Company\nknowledge needed by colleagues belongs in an authorized Organization source of\ntruth rather than another person's private context.\n\n### External tools and secrets\n\nFor a new connection, the [integration standard](https://github.com/HumanAndMachines/Lazurio/blob/6416d27786296583baf08b75526cff225e2673f7/manual/external-app-integrations.md)\nprefers an official MCP server, then an official CLI, permitted Composio,\na reviewed open-source implementation and finally supervised browser use.\nExecutor manages custom MCP servers in Lazurio. For an existing connection,\nagents use the app's tool, Executor or Composio according to its recorded\nroute, in that order.\n\nComposio is an approved broker only where the Organization or Personal\nEnvironment user permits it. Composio holds credentials and processes call\ncontent. Connected accounts belong to the Composio account and organization;\ndo not assume that separate machines isolate them. Use team accounts in a\nTeam Environment.\n\nThe standard excludes new ChatGPT or claude.ai connectors, other shared\nbrokers, and scraping or browser-session servers. A provider-operated remote\nMCP can fit when its configuration and token remain separately revocable for\nthe machine.\n\nA workflow that writes may need read-and-write provider scopes. A draft stored\nat the provider can already transfer data. Check account scope, token custody\nand write restrictions in [Connecting an Environment to apps](/en/environment-app-connections/).\nReal credentials stay outside Git in scoped ignored paths or approved provider\nstores. Endpoint, backup, rotation and incident controls must protect them.\n\n## Threats to test\n\n| Threat | Acceptance test |\n| --- | --- |\n| Access to another company | Confirm GitHub denial for an identity without the grant, then separately test the chosen client's local filesystem boundary. |\n| Unapproved publication | Attempt a protected merge or deployment without the required permission, check or review. |\n| Credential copied into source | Read back the scanning actually enabled and run an approved safe-canary exercise in a test repository. |\n| Over-broad integration | Inspect live scopes and revoke one credential without affecting unrelated access. |\n| Prompt injection | Seed a harmless canary and confirm the agent neither expands scope nor publishes without the relevant gate. |\n| Lost endpoint | Exercise device lockout, credential revocation, recovery and offboarding. |\n| Documentation drift | Expire or change a source reference in a test branch and confirm validation fails. |\n\nThe documentation repository's own checks include a narrow denylist for known\nprivate markers and local-path patterns. They are not general secret scanning,\nSAST or DLP for every Organization. Record the live controls rather than\npromoting one repository's test into a product-wide claim.\n\n## Model and hosted-service boundaries\n\nThe agent client sends selected prompts, files and tool results to the\nmodel provider. Lazurio does not handle those model requests itself. The operator must name the client, provider, account tier,\nauthentication, telemetry, retention and region where relevant. This site\nmakes no universal training or retention claim across providers.\n\nDashboard, hosted team workspaces and per-owner Resident/Buddy services are\noptional or separately deployed. If enabled, each needs its own operator,\nidentity, storage, network path, processor list, logs, retention, backup,\ndeletion and incident controls. Source code being present does not prove that a\nservice is active.\n\n## Audit and residual risk\n\nGit records file changes, pull requests and approvals. Deployment records\nshow which version went live. These records do not automatically cover local\nfile reads, model requests or external API calls.\n\nFor each type of action, identify where the account, target and result are\nlogged and how long the record is kept. Note any missing logs in the deployment\nreview.\n\nAn authorized identity can still expose data or approve a harmful change. A\nmodel can follow malicious content. A machine can be compromised, and a Draft\nbranch or provider draft may already move data before final publication.\nLazurio narrows and exposes these decisions; it does not replace least\nprivilege, endpoint security, provider review, testing or accountability. See\nthe [security and control evidence](/en/public-evidence/) for the exact public-source\nbasis of these claims." }, { "stableId": "lazurio-doc-deployment-operations", "locale": "en", "route": "/en/deployment-operations/", "canonicalUrl": "https://documentation.lazurio.ai/en/deployment-operations/", "sourcePath": "data/v2/docs/en/deployment-operations.md", "title": "Deployment and operations", "summary": "Plan the deployment, assign owners and test recovery and access revocation.", "audience": [ "it-admin", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Lazurio deployments vary. In the version described here, the operator manages\nlocal working copies and individual modules. Start by listing the machines,\nrepositories, AI tools, model providers and connected services you will use.\nName an owner for each.\n\n![Lazurio deployment and data-flow overview](/diagrams/lazurio-data-flow.svg)\n\n## Current and target state\n\n| Surface | Status | Operational meaning |\n| --- | --- | --- |\n| Source checkout with Git and Bun | Supported today | The operator owns repository access, dependencies and updates. |\n| Launchpad, Guide and Doctor | Available today | These are local tools for finding applications, reading guidance, running applications and checking the installation. Loopback listeners are not caller authentication. |\n| CLI v0 | Experimental | Pin versions and test any production automation that depends on it. |\n| Packaged CLI and generated non-Git root | Future target | Do not include them in a current bill of materials. |\n| Dashboard, hosted workspace and Resident/Buddy | Optional, separately deployed | Inventory each enabled service with its own identity, network, storage and operating owner. |\n\nAssign an owner to each part of the installation: the principal's machine,\nthe local Lazurio root, Organization repositories, modules, GitHub, the\nagent client, model provider and each connected application.\nSome modules remain local; others run internally or publish a public website or service.\nTheir deployment and rollback contracts stay module-owned.\n\n## Rollout sequence\n\n### 1. Define the Organization\n\nName its GitHub organization, repositories, teams, administrators and\noffboarding owner. State what company data belongs there and what is excluded.\n\n### 2. Approve the machine boundary\n\nDocument ownership, encryption, patching, endpoint monitoring, local backup,\nremote wipe and incident handling. The recommended starting point is one\nOrganization per machine. A multi-Organization machine is an accepted\nexception inside one shared trust domain, not hard tenant isolation. Keep its\nprovider sessions separately named and revocable.\n\n### 3. Select the agent and model providers\n\nRecord the client, model provider, account type, authentication, data handling,\nretention, telemetry and contractual owner. Repeat the review when the client\nor account tier changes.\n\n### 4. Enable only the required context\n\nBegin with one bounded use case. Grant only the repositories and provider\nscopes it needs, follow the [external application\nstandard](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md),\nand test revocation.\n\n### 5. Enforce publication\n\nSet branch rules, checks and reviewers for repository changes. For messages,\ninfrastructure, billing, secrets and destructive actions, name the real\nprovider-side permission or confirmation. Where none exists, mark the rule as\nprocess-only.\n\n### 6. Exercise the rollout\n\nProve the normal task, a repository denial, the client's local filesystem\nboundary, credential revocation, failed CI, rollback, offboarding and incident\nescalation. Keep the evidence with the approval decision.\n\n## Updates, rollback and ownership\n\nLazurio source, Organization configuration and modules are versioned\nindependently. Updates should advance clean primary checkouts, run their\ndeclared checks and reach production from a reviewed exact commit. Rollback\nreturns only the affected source or deployment to a previously verified\nrevision; it must not revive revoked credentials or obsolete access.\n\nBefore production use, close the remaining deployment-specific questions:\n\n- Who maintains machines, GitHub teams, dependencies and integrations?\n- Where do services run, and which networks can reach them?\n- Which logs exist, how long are they retained and who handles incidents?\n- How are local data and credentials backed up, deleted and recovered?\n- Which components are stable, experimental, optional or target-only?\n- Who provides support, and what response time—if any—is promised?\n\nKeep these answers with the deployment approval. Assign an owner to resolve\nany missing answer before production use." }, { "stableId": "lazurio-doc-environment-app-connections", "locale": "en", "route": "/en/environment-app-connections/", "canonicalUrl": "https://documentation.lazurio.ai/en/environment-app-connections/", "sourcePath": "data/v2/docs/en/environment-app-connections.md", "title": "Connecting an Environment to apps", "summary": "Choose a connection, approve its permissions and revoke access when needed.", "audience": [ "builder", "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-decision-0162", "lazurio-external-apps-0162", "lazurio-composio-runbook", "lazurio-platform-tools-decisions", "lazurio-platform-environment-tools", "lazurio-platform-decision-f19", "lazurio-platform-release-v0-1-7", "lazurio-platform-release-v0-1-8-rc-35", "lazurio-platform-release-current", "lazurio-platform-release-v0-1-9", "lazurio-platform-tools-screen-review", "lazurio-platform-composio-write-gate-question", "lazurio-platform-composio-custody-question", "lazurio-platform-composio-shared-connections-question", "composio-authentication", "composio-token-custody", "composio-data-retention", "composio-zero-data-retention", "composio-pricing" ], "markdown": "You decide which external apps your Environment reaches. Agents in that\nEnvironment act wherever the sign-ins on its Machine reach. An Organization can\nswitch Composio off for its Environments; beyond that, Lazurio enforces nothing\ncentrally. Before you connect the first app, read\n[what you accept](#what-you-accept-before-the-first-connection) and check\n[what is available today](#what-is-available-today).\n\nAn **Environment** is the place where agents work for you. It can run on your\nown computer or be hosted as a Personal, Work or Team Environment. The\n**Machine** is the computer or virtual machine under an Environment. The\n**user** is the person for whom and with whom agents work, and who controls the\nEnvironment and the agents that run there. An **Integration** is an app or\nservice connected to an Environment. The rules on this page apply to every kind\nof Environment.\n\n## The model in one paragraph\n\nThe `lazurio` command and Apps (called Launchpad in the sources) use the same\ncore. They manage the Environment's tools and prepare agent instructions. Codex,\nClaude Code, `gh`, Composio and other tools are command-line programs installed\nand signed in on the Machine. If you work across several Organizations, the same\nEnvironment can serve them. Agents work there with full access: whatever the\nEnvironment allows, they may do, without a sandbox or approval of single\ncommands. If you need narrower rights or separate contexts, create another\nEnvironment and sign in other accounts there.\n\n## Which path an app takes\n\nEvery Integration has exactly one path. Every Environment requires GitHub CLI\n`gh`.\n\n1. **Its own tool** from Settings → Tools, such as `gh` for GitHub or `wacli`\n for WhatsApp.\n2. **Directly through Executor**, the Environment's MCP gateway. Lazurio\n installs and runs it, and it answers only on localhost. An app goes this way\n where its official MCP server is just as easy, or where it is a company app\n your Organization set up.\n3. **Through Composio**, with your own Composio account, where your Organization\n allows it.\n\nAgents use them in that order, and every agent and bot of the Environment gets\nall of them. An app that is already connected keeps its path. Where an\nEnvironment has no Executor, as on your own computer today, an app takes the\nnext path.\n\nAgents never connect an Integration themselves, because signing in is your\nconsent. They send you a link to its card in **Apps → Integrations**. A custom\nMCP server goes into the Environment's Executor, and only on your explicit\ninstruction.\n\nA company app is a choice for the whole Organization, and it then connects\ndirectly. Today that is Microsoft 365, which Lazurio supports since release\nv0.1.9. Its setting goes into the Organization's repository by a reviewed pull\nrequest, because editing it in Organization overview is decided, not yet\ndeployed. See [Microsoft 365 for IT and the Organization Admin](/en/microsoft-365/). Google\nWorkspace as a company app is decided and not implemented yet, so Google apps\ntake the paths above.\n\nFor a connection Apps → Integrations does not offer, the Lazurio integration\nstandard proposes this order. The first route that works wins, and you have the\nlast word:\n\n1. the provider's **official MCP server**, remote or self-hosted, added to\n Executor;\n2. the provider's **official CLI**;\n3. **Composio**, when the provider has no suitable official MCP server or CLI\n and Composio is allowed;\n4. a **reviewed open-source MCP server or CLI**, pinned to an exact release or\n commit, with a verified publisher and licence;\n5. **the browser**, under your supervision, when none of the above exists.\n\nNever allowed, at any step: scraping a website, reusing browser cookie sessions,\nshared brokers other than Composio, keys or tokens in a chat, Git or a log, and\nnew ChatGPT or claude.ai connectors.\n\n**The rule.** Agents do not use the ChatGPT apps, plugins and connectors their\nharness offers, unless the Organization, or you on a Personal Environment, allows\nthem, and then only for apps outside Integrations. Agents get this rule in the\nFolder instructions. The Organization's switch for it is decided, not yet\ndeployed.\n\n**What Lazurio does technically.** Where they are not allowed, Lazurio adds two\nsettings of its own to Codex's configuration in a Remote Environment: apps off by\ndefault, and no suggestions of plugins. That is a safeguard, not a guarantee:\n\n- An app that the configuration enables by name stays on. Lazurio reports it as\n an exception.\n- A configuration Lazurio cannot read or does not support, such as a file that\n does not parse, stays as it is and is reported.\n- Where the apps are allowed, Lazurio takes its settings back.\n- It covers only Codex in a Remote Environment. Lazurio never changes your own\n computer, where a connector may keep running.\n\nTo see the real state, look at the foot of Apps → Integrations → All, which warns\nwhere the apps are not allowed and Codex still has them. For IT and agents,\n`lazurio integrations chatgpt-apps` prints the same.\n\n## The tool catalog\n\nThe catalog lists the tools that agents can be told to use. Each has a\n**tier** and a **setup mode**.\n\n| Tool | Command | Tier | Setup mode |\n| --- | --- | --- | --- |\n| GitHub CLI | `gh` | Required: always on, cannot be turned off | Launchpad |\n| Executor | `executor` | Required; offered in a Remote Environment on Linux | Lazurio's own setup |\n| Composio | `composio` | Recommended | Launchpad |\n| Bitwarden CLI | `bw` | Recommended; offered in a Remote Environment on Linux | Its own flow |\n| wacli | `wacli` | Optional | Launchpad |\n| gogcli | `gog` | Optional; offered on a computer and in a personal Remote Environment, not in a work one | Agent |\n| Neon CLI | `neon` | Optional | Agent |\n\n- **Launchpad setup** has a curated installation and sign-in, both in the\n Launchpad and on the command line. See\n [connecting a tool](#connecting-a-tool).\n- **Agent setup** gives you a prepared prompt. You copy it into a new agent\n chat; the agent installs the tool and guides your sign-in.\n\nEach catalog entry tells the agent how the installed tool should be set up. If\nthe prepared installation fails, Lazurio offers a prompt to finish it with an\nagent. A tool the Environment does not offer is left out of the agents'\ninstructions and cannot be turned on.\n\nOn an Organization's Environment the Organization's settings take precedence.\nWhere they do not allow Composio, agents do not use it, whatever you chose:\nSettings → Tools shows its switch locked off and offers neither adding nor\nsigning in.\n\n## Connecting a tool\n\nOpen **Settings → Tools** in the Launchpad. Each tool has a row with its real\nname, one sentence on what it is for and its state: **Connected as** an\naccount, or **Not connected**. The row offers one action:\n\n- **Add and connect** when the tool is not installed yet;\n- **Connect** when it is installed but not signed in;\n- **Link SSH key** when `gh` is signed in but the Machine's key is not linked;\n- **Disconnect** when it is signed in;\n- **Connect with an agent** for a tool an agent sets up.\n\nFor IT and agents, the same flow runs on the command line with\n`lazurio tools install `, `lazurio tools login ` and\n`lazurio tools logout `.\n\nThe installation is for the current user, without administrator rights, from\nthe tool's official source; Composio comes as Lazurio's own build of its CLI. A\ntool that already works is left as it is. You never copy an API key, and you can\nfinish the sign-in on any device:\n\n- **`gh`** shows a one-time code and the GitHub device page. Open the page and\n enter the code. Lazurio then links the Machine's SSH key to your account.\n- **`composio`** shows a link. Open it and sign in. An Organization's Environment\n then works in the Composio organization named after that Organization: Lazurio\n selects it itself and, where it does not exist yet, shows the one step that\n creates it. A Personal Environment uses the account's default organization,\n which you choose at sign-in.\n- **`wacli`** shows a QR code to scan in WhatsApp, or pairs with your phone\n number instead.\n\nDisconnecting `gh` or `composio` forgets the sign-in on this Machine only. If\nthe access must end at the provider too, revoke it there. Disconnecting `wacli`\nunlinks the device. Every sign-in on a Machine can be ended on its own.\n\nThe curated flows run on Linux and macOS. On Windows they are refused and the\nprepared agent prompt is offered instead.\n\n## What \"Used by agents\" does\n\nEach row has a switch, **Used by agents**. A tool you connect in the Launchpad\nturns it on, so agents can use the tool right away; you can turn it off again.\nFor IT and agents, the switch on the command line is `lazurio tools enable` and\n`lazurio tools disable`.\n\nA tool that is used by agents is written into the agent instructions of the\nLazurio Folder on that Machine. The **Lazurio Folder** is the directory whose\ngenerated instructions and manual agents read when they start. Executor manages\nMCP servers and exposes them to agents. Where an Environment does not run\nExecutor, agents use the MCP servers available in their client.\n\nThe switch changes agent instructions. It does not grant access, install a tool,\nsign in an account or pin a version. Turning it off removes the tool from the\ninstructions. It does not sign you out or disconnect any app: to remove access,\ndisconnect the app in Apps → Integrations or disconnect the tool.\n\nYou can add a short note to a tool that agents use, for example \"read-only for\ncustomer mail\", under the tool's details. Agents read it in the Folder manual.\nThe note instructs agents but does not technically restrict access. Turning the\ntool off removes its note.\n\n## Connecting an app\n\n1. Decide which Environment you connect. Organization rules apply in Work and\n Team Environments; you decide in a Personal Environment.\n2. Open **Apps → Integrations** and find the app. An agent can send you the link\n to its card.\n3. Choose **Connect**. If the app goes through Composio and Composio is not\n signed in yet, you sign in to Composio first.\n\n
\n \"Apps\n
Each card shows the app's path. The accounts in the picture are examples.
\n
\n\n4. Sign in directly at the app, with the account agents should use.\n5. Confirm on the card that the intended account is connected.\n\n
\n \"The\n
A connected app shows its path and its account.
\n
\n\n6. If agents should not have all of the app, narrow the connection before you\n hand them work.\n\n[Lesson 6 of the course](/en/guide/course/connected-apps/) explains the tabs and\nwhat agents may do with a connected app, and [Connect your\ntools](/en/guide/tool-connections/) walks through common connections.\n\n### The account of the Environment\n\nA connection made through Composio belongs to the Composio account and its\norganization, not to a Machine. Two Environments signed in with the same account\nand the same Composio organization share their connections. That follows from\nComposio's documentation and the source of its CLI, [checked on\n2026-10-07](https://github.com/Lazurio/LazurioPlatform/issues/45) without a live\nrun. Do not treat a separate Machine as isolation of connected accounts. Use a\nseparate Composio account when access must differ.\n\n### Team Environments\n\nA Team Remote Environment is shared by the members of a Team, so the accounts\nsigned in there belong to the whole Environment. Every Team member and every\nagent there can use them.\n\n- **GitHub.** A Team Environment works in GitHub through the Organization's\n GitHub App, Lazurio for GitHub. Personal GitHub accounts are not signed in\n there.\n- **Composio.** A Team Environment signs in with the Team's Composio account,\n never with a person's own.\n- **Other apps.** Sign in only team accounts, such as a shared mailbox or\n calendar, that everyone in the Team may use. Connect personal accounts in your\n own Environment. The Launchpad warns about this before a sign-in, and an agent\n asks which team account to connect before it connects an app.\n\n## Guidance for Organization Admins\n\nBeyond the Organization's settings, Lazurio does not enforce or monitor how a\nuser connects an Environment.\n\n- **Organization settings.** Whether Composio is allowed is a setting of the\n Organization. Where it says no, no app of its Environments goes through\n Composio.\n- **Composio accounts and organizations.** Each user signs in with their own\n Composio account, and works in a Composio organization of their own named after\n the Lazurio Organization, with nobody else in it. A Team Environment uses a\n team account. Lazurio holds no Composio organization key and creates no shared\n Composio organizations. Names help select the right connection; verify actual\n access with the provider.\n- **Integrations the whole Organization shares** go into the Organization's\n tracked integration catalog, through a reviewed pull request. The catalog holds\n commands, addresses and the names of environment variables, never their values.\n It is a recommendation and a shared definition, not a gate: a tool a user uses\n only on their own Environment is not written there.\n\n## Writes and Publication\n\nA connected app is available to agents in full, including writing and deleting,\nuntil you narrow it. A capability to write is not consent to publish. An agent\nmakes an externally visible write, such as sending an email or changing a shared\ncalendar, only on your instruction. Full access inside the Environment does not\nchange this.\n\nToday this is a working rule that agents follow. Lazurio does not block a write\nthrough a connected app. Executor can pause a call for approval, but the agent\nitself resumes it, under the same rule. Whether Composio's own filters hold on\nevery path is an [open question](https://github.com/Lazurio/LazurioPlatform/issues/39).\nThe Microsoft 365 company app has one technical limit: it has no `Mail.Send`\npermission, so an agent can prepare a draft through it but cannot send mail. An\nOrganization would have to add sending deliberately, as a separate permission\nwith admin consent; the setting for that is decided, not yet deployed.\n\n## What you accept before the first connection\n\nReview these conditions and risks before connecting:\n\n- **A third party holds tokens and call content.** With Composio, app tokens and\n the content of calls are held by Composio unless an Organization runs its own\n installation. Composio's\n [token custody documentation](https://docs.composio.dev/docs/security/token-custody)\n says that Composio has custody of the credentials in its default cloud\n deployment. It describes private VPC, self-hosted and customer-managed-key\n deployments as alternatives, and says that with your own OAuth app Composio\n still stores the connected-account tokens. Lazurio has not verified these\n options, their terms or their price.\n- **Composio keeps logs.** Its [data retention\n page](https://docs.composio.dev/docs/security/data-retention), read on\n 2026-11-06, says that tool execution logs stay for up to one year on every plan\n and that files staged for a tool are deleted after 24 hours. [Zero Data\n Retention](https://docs.composio.dev/docs/security/zero-data-retention) stops\n storing the payloads of covered calls. It is available on paid plans for a\n usage-based price and included on Enterprise, and it does not stop processing\n during a call. Apps connected through Composio's own OAuth app are covered only\n on Enterprise.\n- **Where the data is and on what terms.** Composio's public pages read on that\n date name no hosting region and point to its Trust Center for sub-processors\n and data-handling terms. Its [pricing page](https://composio.dev/pricing) lists\n a Data Processing Addendum on Pro and Enterprise, not on Hobby. Lazurio has not\n reviewed those terms, and whether to recommend Zero Data Retention to\n Organizations is [still open](https://github.com/Lazurio/LazurioPlatform/issues/40).\n- **A sign-in reaches wherever its account reaches.** Agents can use everything\n the signed-in account can use, not only what the current task needs.\n- **Several Organizations on one Machine are one Environment.** Agents choose the\n tool of the Organization they work for and do not move data between\n Organizations. That is a working rule, not a technical boundary. Where a\n boundary must hold, use separate Environments.\n- **An Organization does not see into your Composio organization.** Nobody else\n is in it, and Lazurio holds no key to it.\n\n\n\n## Release status on 6 November 2026\n\nThe latest final release of [LazurioPlatform](https://github.com/Lazurio/LazurioPlatform)\nis [v0.1.20](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20) of\n2026-11-04.\n\n| Capability | Status | Evidence |\n| --- | --- | --- |\n| Catalog with tiers and setup modes; `lazurio tools list`, `enable`, `disable`, `note` and `prompt`; tools in the Folder instructions | Released since v0.1.7 (2026-09-27) | [Decision F18](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f18--enabled-tools-of-the-environment), [release v0.1.7](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.7) |\n| Curated installation and sign-in of `gh`, `composio` and `wacli` on Linux and macOS | Released since v0.1.7 (2026-09-27) | [Decision F19](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f19--curated-installation-and-login-of-catalog-tools), [environment tools](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/environment-tools.md) |\n| **Settings → Tools** with Connect and Disconnect, a sign-in that turns **Used by agents** on, `gh` linking the Machine's SSH key, `gh` on a Team Environment through Lazurio for GitHub | First in v0.1.8 release candidates ([v0.1.8-rc.35](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.35), 2026-10-06); in v0.1.20 | [Tools section](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#tools-section) |\n| **Apps → Integrations**, Executor in a Remote Environment, Lazurio's build of Composio, the Organization's setting for Composio, the two Codex settings against ChatGPT apps in a Remote Environment, with the exceptions above | In v0.1.20 | [Integrations](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md) |\n| The Microsoft 365 company app (Outlook, OneDrive, SharePoint) without `Mail.Send`, set by a reviewed pull request | Supported since [v0.1.9](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.9) (2026-10-19), with [open checks](/en/microsoft-365/) | [Integrations](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md#the-microsoft-365-company-app) |\n| The Organization's switch for ChatGPT apps; the Microsoft 365 settings in Organization overview, including sending mail | Decided, not yet deployed | [Decision 0162](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0162--integrations-applications-connected-to-an-environment-one-path-each) |\n| Google Workspace as a company app | Decided, not implemented | [Integrations](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md), [decision 0162](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md#0162--integrations-applications-connected-to-an-environment-one-path-each) |\n| Handing a tool's prepared prompt directly into an agent chat (today it is shown for copying); the curated flows on Windows | Planned, not built | [Decision F19](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f19--curated-installation-and-login-of-catalog-tools) |\n\nCheck which version your Environment actually runs. An older version can name\nthese actions differently or not have them: v0.1.7 names them **Install and sign\nin**, **Sign in** and **Sign out** and does not turn the switch on by itself.\n\n## Sources\n\n- [Lazurio decision register](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decision-register.md) at release v0.1.20: decision 0162 with its addenda, 0170 (Environment), 0172 (full access inside the Environment) and 0175 (the user).\n- [Integrations](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/integrations.md) at release v0.1.20: the path rule, the Composio organization of an Environment, ChatGPT apps and Executor's approvals.\n- [External application integration standard](https://github.com/HumanAndMachines/Lazurio/blob/46867061e6d0abf7781f9f9d0b93791be32da4d9/manual/external-app-integrations.md): the order of routes, what stays excluded and the Organization's integration catalog.\n- [LazurioPlatform decisions F17, F18 and F19](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/decisions.md#f18--enabled-tools-of-the-environment), with their addenda: the user's tools, the catalog, the Folder instructions, the note, the curated sign-in, `gh` on a Team Environment and team accounts on a Team Environment.\n- [Environment tools](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/environment-tools.md): the catalog, where a tool is offered, what the Organization decides and the `lazurio tools` commands.\n- [Launchpad Tools section](https://github.com/Lazurio/LazurioPlatform/blob/5edbc2b7ebf53aec4e116663db60021d24593dbe/docs/launchpad-development.md#tools-section): what the section shows and its actions.\n- LazurioPlatform [release v0.1.20](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.20), [release v0.1.7](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.7) and [release candidate v0.1.8-rc.35](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.8-rc.35).\n- [Composio authentication](https://docs.composio.dev/docs/authentication), [token custody](https://docs.composio.dev/docs/security/token-custody), [data retention](https://docs.composio.dev/docs/security/data-retention), [Zero Data Retention](https://docs.composio.dev/docs/security/zero-data-retention) and [pricing](https://composio.dev/pricing): Composio's own description of sign-in, credential custody, logs and terms." }, { "stableId": "lazurio-doc-faq", "locale": "en", "route": "/en/faq/", "canonicalUrl": "https://documentation.lazurio.ai/en/faq/", "sourcePath": "data/v2/docs/en/faq.md", "title": "Frequently asked questions", "summary": "Answers about the product, access, data and approval of results.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody", "microsoft-copilot-architecture" ], "markdown": "
\n\nIs Lazurio an AI model?\n\nNo. Lazurio is the working environment for company materials and applications.\nThe selected AI client and model provider supply the AI. Review their pricing,\nsecurity and data terms separately.\n\n
\n\n
\n\nIs Lazurio a finished, packaged product?\n\nNo. At the referenced revision, Lazurio runs from a source checkout using\nGit and Bun. CLI v0 is experimental; a packaged installation is planned. Lazurio is currently source-available under\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md);\nthe [security and control evidence](/en/public-evidence/#product-form-and-maturity) explains\nthe license and maturity details.\n\n
\n\n
\n\nDoes Lazurio replace Microsoft Copilot?\n\nThe tools serve different needs. Microsoft Copilot mainly assists with work\nin Microsoft 365. Lazurio focuses on reviewing and approving versioned work\nacross repositories and tools. An Organization may use both. See the [full\ncomparison](/en/lazurio-vs-microsoft-copilot/).\n\n
\n\n
\n\nCan an agent access everything the user can?\n\nIt depends on the setup. An agent may use files, accounts and tools available\nto its running process. OS permissions, the AI tool's sandbox, the workspace\nand service credentials determine access. A prompt neither grants new rights\nnor removes existing ones. Test what should be allowed and what should be denied.\n\n
\n\n
\n\nIs all Lazurio data stored locally?\n\nNo. Working checkouts are local, while Git repositories, model requests,\nexternal applications and deployed modules may use provider infrastructure.\nOptional hosted Lazurio services add further stores when enabled. The concrete\ndata-flow and processor map belongs to the deployment.\n\n
\n\n
\n\nHow are secrets handled?\n\nReal secrets stay outside Git in scoped ignored paths or approved provider\nstores. Tracked files contain only schemas, required variable names and\ninstructions. Endpoint, backup, rotation and incident controls must protect the\nactual custody location.\n\n
\n\n
\n\nWhat stops an agent from publishing a bad change?\n\nFor Git work, branch rules, required checks, reviews and merge permissions can\nmechanically protect the target branch. Pushing a review branch is still a data\ntransfer to GitHub. Email, chat and other providers need their own permissions\nand confirmations; explicit authorization is process-only where no provider\ninterlock exists.\n\n
\n\n
\n\nAre Organizations isolated from each other on one machine?\n\nThey are separate GitHub and repository boundaries, not isolated operating-system environments. One\nmachine is one trust domain. Use separate machines or equivalent infrastructure\nwhen a process compromise must not cross company boundaries.\n\n
\n\n
\n\nIs Lazurio certified for a compliance framework?\n\nNo certification or universal compliance claim is made. Evaluate the actual\ndeployment, providers, controls and legal obligations.\n\n
\n\n
\n\nIs there an audit trail?\n\nGit changes can be tied to commits, pull requests, reviews and deployments.\nProvider and endpoint actions need their own logs. Local file reads and model\nrequests are not automatically logged by Lazurio.\n\n
\n\n
\n\nDoes the documentation have an MCP server?\n\nNot yet. Agents can use [/llms.txt](/llms.txt) and\n[/content-index.json](/content-index.json) today. A future MCP server is\nplanned as a read-only view over the same content, not a second source.\n\n
\n\n
\n\nWhere should I start an IT review?\n\nStart with the [ten-minute IT briefing](/en/it-administrators/), then test\n[data access and security](/en/data-access-security/) and [deployment and\noperations](/en/deployment-operations/) against the proposed configuration.\n\n
" }, { "stableId": "lazurio-doc-github-baseline", "locale": "en", "route": "/en/github-baseline/", "canonicalUrl": "https://documentation.lazurio.ai/en/github-baseline/", "sourcePath": "data/v2/docs/en/github-baseline.md", "title": "GitHub baseline for a new Organization", "summary": "The GitHub settings an Organization Owner prepares and reads back before the first Module Contributor: the app, base permission none, the builders Team, infra only for Organization Admins, protected main and merging.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-gen4", "lazurio-decision-register-admin-ai", "lazurio-decision-0234-role-names", "lazurio-first-organization-rollout", "lazurio-organization-install", "lazurio-root-agent-rules", "lazurio-platform-folder-roles", "lazurio-platform-decision-f31", "lazurio-platform-team-github", "lazurio-github-app-broker", "github-organization-roles", "github-base-permissions", "github-install-app", "github-protected-branches", "github-rulesets", "github-code-owners", "github-repository-collaborators", "github-rest-pull-requests" ], "markdown": "GitHub is the only authority for access to an Organization's source code in\nLazurio. Membership, Teams, repository grants and branch rules decide who\nreads, writes, reviews and merges; Lazurio keeps no second access list. One\nLazurio Organization is one GitHub Organization and one access boundary. Before\nthe first Module Contributor installs Lazurio for a new Organization, an\nOrganization Owner sets up the baseline below and reads it back against the\nOrganization's manifest (decision 0150).\n\nPeople enter Environments with a Lazurio account and need no GitHub account for\nthat. GitHub still decides what can be done with the repositories and what may\nbe published, and for accounts linked to GitHub, live membership of the GitHub\nOrganization mirrors membership of the Lazurio Organization. This entry model\nis Lazurio's target under decision 0192; the transition is not complete.\n\n## The baseline\n\n| Item | Required state | What enforces it |\n| --- | --- | --- |\n| GitHub Organization | One per Lazurio Organization. Today its active Organization Owners are the Organization Admins. As the target, Organization Owners appoint Organization Admins as a role of Lazurio (decision 0228, not yet deployed). | Today GitHub's owner role; the target Organization Admin role will be held by Lazurio Auth (decision 0228, not yet deployed) |\n| Root repository | The Organization's root repository on `main`, by convention `/_GEN3`, with the manifest `lazurio.organization.json`. | Lazurio reads it; GitHub controls access |\n| Lazurio for GitHub | An Organization Owner installs the app with access to **All repositories**. \"Only select repositories\" is a supported exception; it must include the root and every repository Lazurio serves, and it is never presented as the full Organization. | GitHub installation scope |\n| Base repository permission | `none` (API `default_repository_permission`). Membership alone opens no private repository. | GitHub |\n| Team `builders` | Exactly one Team gives the approved people their Write on the Organization's repositories. Its complete roster equals the approved list, and each is an active member of the GitHub Organization, not a pending invitation. | GitHub membership |\n| Grants of `builders` | Explicit Write (API `push`) on the root and on every active repository that is not restricted. A new repository gets this grant in the same step that creates or activates it. | GitHub grants |\n| Restricted repositories | No grant for `builders`, or for its members who are not Organization Admins, on `infra` or on any repository the manifest declares `default_access: restricted` or `private`. | GitHub grants |\n| Design Systems | Every person and account in the Organization, including the accounts of Environments with automations, has at least Read on the Organization's Design Systems. | Process: the Organization Admin checks it |\n\nGitHub cannot express \"every current and future repository except `infra`\",\nso each new regular repository needs its own grant for `builders`. Whether a\nrepository is restricted follows only from its declaration in the manifest,\nnever from its name or path (decision 0143). Organization Owners reach\nrestricted repositories through GitHub's owner role; Lazurio records that as\nan owner-role exception, never as a grant of `builders`. Changing members, Teams, grants or app\ninstallations is a write to GitHub that needs the user's explicit instruction;\nan agent prepares it and reads it back.\n\nAn Organization that runs automated work in an Environment with automations\n(Henry) adds its persona: a machine user account with two-factor\nauthentication, an Organization Member and never an Organization Owner,\ndifferent in every Organization. It works through a Team `steward` with\nMaintain, the Module Maintainer role, on all repositories except `infra`. On\n`infra` it may get only a direct Write, never through a Team and never GitHub's\n`admin` permission, as the named reviewer of infra pull requests once the Organization\nswitches its review policy to it (decisions 0169 and 0093).\n\n## Read it back before the first Module Contributor\n\nThe Organization Owner compares the live state with the manifest's active\nrepositories, not with a hand-kept list. An `unknown` status, incomplete\nprovider data or a member of `builders` who is missing or extra blocks the\ninstallation (decision 0150).\n\n```sh\ngh api \"orgs/\" --jq '{login, id, default_repository_permission}'\ngh api \"orgs//teams/builders\" --jq '{name, slug, id, privacy}'\ngh api --paginate \"orgs//teams/builders/members?role=all&per_page=100\" \\\n --jq '.[].login'\ngh api --paginate \"orgs//teams/builders/repos?per_page=100\" \\\n --jq '.[] | {name, push: .permissions.push}'\ngh api --paginate \"repos//infra/collaborators?affiliation=all&per_page=100\" \\\n --jq '.[] | {login, role_name}'\n```\n\nRepeat the last command for every restricted repository. GitHub's list of\ncollaborators includes Organization Owners and members who have access through\na Team or the base permission, so it shows effective access and does not say\nwhere it comes from. Compare it with each person's Organization role: a person\nwho is not an Organization Owner must not appear there, apart from the\npersona's direct Write on `infra` described above.\n\nWhen a person's Work Environment or computer installs the Organization,\n`lazurio organization install ` first verifies that person's live role\non GitHub. Module Contributors and Module Maintainers skip the repositories\nonly for Organization Admins, and a role that cannot be verified stops the\ninstallation (decision 0188).\n\n## Roles\n\nA role name authorizes nothing by itself; the person's live rights on GitHub\ndecide (decision 0062). Every role names its level, and its English and Czech\nnames, identifier and the deployed value it maps to are fixed by decision 0234.\n\n| Role | What the role does | On GitHub today |\n| --- | --- | --- |\n| Organization Owner | Owns the GitHub Organization and appoints and removes the Organization Admins. Gets no access to Environments by that alone (decision 0228). | GitHub's owner role |\n| Organization Admin | A role of Lazurio that an Organization Owner appoints (decision 0228, not yet deployed); until it is deployed, an active Organization Owner is the Organization Admin. Administers members, Teams, grants, restricted repositories, app installations and branch rules, and the Organization's Environments, devices and AI source. May merge their own pull request where GitHub allows it (decision 0095). | GitHub's owner role |\n| Organization Member | Everyone else in the Organization. What they may do follows from their Module and application roles; without a Module role they install nothing and use the applications made available to them (decisions 0060 and 0231). | Membership of the GitHub Organization |\n| Module Reader | Reads a Module's source and changes nothing. Gives no application role by itself. | `pull` |\n| Module Contributor | Builds the Module and proposes changes, and may merge a young `main` that is still deliberately open. | `push` where the repository can have branch rules |\n| Module Maintainer | May also merge the Module's protected `main` and typically releases it. | `maintain`, or `push` where the repository cannot have branch rules (decision 0232) |\n| Application Admin, Application User | The two roles in a Module's application. What they may do is the Organization's rule in the Module's code (decision 0231, not yet deployed). | None; Lazurio's module kit will report `appRole: \"admin\"` or `\"user\"` |\n\nThe Team slugs `builders` and `steward` and the install option values\n`--role builder`, `--role steward` and `--role reader` are identifiers and\nkeep their names; they no longer name roles.\n\n## Protecting `main` and who merges\n\nAgents deliver every change as a pull request. A merge is a Publication: it\nhappens only on the user's explicit instruction, through an assignee handover\nor under a standing mandate that a decision records, and the user's live GitHub\nrights decide what may be merged. Before merging, the agent checks that the\napproval belongs to the exact head commit and merges with\n`--match-head-commit` (decision 0103). Every pull request has an assignee who\ntakes it to `main` (decision 0222; its automatic check is not deployed yet).\n\n`main` locks progressively. A young Module's `main` may stay open so that a\nModule Contributor can publish; the Organization Admin locks it deliberately\nwith branch rules when it matters. The Organization Admin also decides who\nmust approve: in GitHub,\nbranch protection rules and rulesets are created by people with admin access to\nthe repository, and requiring a review from code owners needs admin or owner\npermissions. Organization Owners have complete administrative access.\n\nYour GitHub plan decides what GitHub enforces. Branch protection rules,\nrulesets and code owners work in private repositories only with GitHub Pro,\nGitHub Team or GitHub Enterprise; GitHub Free offers them for public\nrepositories. By default, branch protection does not apply to people with admin\naccess unless \"Do not allow bypassing the above settings\" is on. Where GitHub\ndoes not enforce a rule, it is held by process and by the Organization's\n`AGENTS.md`. Where the plan offers no GitHub Draft pull requests, as in private\nrepositories on GitHub Free, agents open a regular pull request and state its\nprogress in the description (decision 0103).\n\nOur recommendation for a locked `main` on a paid plan:\n\n- require a pull request with at least one approval;\n- require a review from the code owners named in `CODEOWNERS`;\n- dismiss stale approvals when new commits are pushed, so GitHub itself keeps\n the approval tied to the reviewed head;\n- require conversation resolution and the repository's status checks;\n- do not allow bypassing the rules.\n\nThree Lazurio rules depend on this:\n\n- **A Team Environment never merges.** Its pull requests come from\n `lazurio-for-github[bot]` with the label `team:`, and a named person\n approves and publishes them under their own account (decision 0148). This\n is a working rule on every plan. Branch protection that requires an\n approval and checks does not stop the app: once they are met, its token,\n which may write repository contents, can merge. Only a restriction that\n allows merging to named people or Teams and leaves the app out would\n enforce the rule, and an Organization Admin who relies on one verifies it on\n the repository.\n- **The persona's own pull requests are approved by a person**: an\n Organization Owner, an Organization Admin or a Module Maintainer. The\n persona merges only pull requests it is assigned to, never\n runs an infrastructure apply, issues no Release and changes no access,\n secrets or billing (decision 0169). On a paid plan branch rules enforce the\n approval; on a free one it is an agreement.\n- **A Release is not a Publication.** Only someone whose GitHub rights allow it\n issues a Release, and only on the user's explicit instruction or under a\n standing mandate that a decision records.\n\nEvery text an agent writes on GitHub ends with\n`Agent: environment · T3 thread `, or `bot ` for a bot of\nLazurio MausBot (decision 0218). This is a rule agents follow, not a GitHub\ncontrol.\n\n## What Lazurio for GitHub can do\n\nA Team Environment, shared by the members of a Team, works on GitHub through the\nLazurio for GitHub app via the Organization's token broker. People's personal\nGitHub accounts are not signed in there, and Lazurio refuses such a sign-in.\nOn Personal and Work Environments the user signs in to GitHub with their own\naccount, and agents act with that account's live rights (decision 0165).\n\nThe broker's [public source](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md),\nrelease 0.14.0 of 21 October 2026, issues a short-lived installation token for\none repository at a time. The Team's live grant on that repository chooses the\npermissions:\n\n| Team's grant | Token permissions |\n| --- | --- |\n| Write, Maintain or Admin | `actions: write`, `checks: read`, `contents: write`, `members: read`, `pull_requests: write`, plus `workflows: write` and `issues: write` where the Organization's broker policy declares them |\n| Read or Triage | `actions: read`, `checks: read`, `contents: read`, `members: read`, `pull_requests: read`, plus `issues: write` where the policy declares it |\n\nThe token never gets administration or membership changes. The app's private\nkey exists only in the broker, never on the Environment. GitHub's\ndocumentation adds that an installed app always has at least read-only access\nto all public repositories on GitHub.\nLazurio's decision register still lists the Team-bound check of every token as\na target that is not built (decision 0147), while the broker's public source\nalready implements it; public source is not proof of what a deployment runs, so\nask the operator of your Lazurio deployment which broker release serves your\nOrganization.\n\nChanging a Team's grant from Organization overview is assigned to a separate\nnarrow app, Lazurio Administration Access, which uses the acting person's own\none-time token, so GitHub's audit log names that person; neither Lazurio for\nGitHub nor the broker can change access (decision 0186). A change that a\nModule Maintainer asks for is a request that an Organization Admin approves.\n\nIn GEN3, a Module Contributor's computer runs `lazurio organization install --role builder`,\nwhich refuses to clone when Write is missing on the root or on any repository\nof the `builders` Team and changes nothing on GitHub (decision 0141).\n\n## Sources\n\n- Lazurio: the [decision register](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (decisions 0060, 0062, 0093, 0095, 0103, 0141, 0143, 0147, 0148, 0150, 0165, 0169, 0186, 0188, 0192, 0218 and 0222) and, for the names of roles, [decision 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent) with 0231 and 0232, the GEN3 [Organization rollout](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/first-client-organization-rollout.md) and [Organization install](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/organization-install.md) runbooks (in Czech), the [rules for agents](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/AGENTS.md) (in Czech), the Folder's [role descriptions](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/manual.ts#L888-L904), [decision F31](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f31--a-team-environment-publishes-under-the-teams-identity), [gh on a Team Environment](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/environment-tools.md#gh-on-a-team-environment) and the [Lazurio for GitHub broker](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md).\n- GitHub, read on 1 November 2026: [roles in an organization](https://docs.github.com/en/organizations/managing-peoples-access-to-your-organization-with-roles/roles-in-an-organization), [base permissions](https://docs.github.com/en/organizations/managing-user-access-to-your-organizations-repositories/managing-repository-roles/setting-base-permissions-for-an-organization), [installing a GitHub App](https://docs.github.com/en/apps/using-github-apps/installing-a-github-app-from-a-third-party), [protected branches](https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/about-protected-branches), [rulesets](https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/about-rulesets), [code owners](https://docs.github.com/en/repositories/managing-your-repositorys-settings-and-features/customizing-your-repository/about-code-owners), [repository collaborators](https://docs.github.com/en/rest/collaborators/collaborators) and [draft pull requests by plan](https://docs.github.com/en/rest/pulls/pulls)." }, { "stableId": "lazurio-doc-guide-ai-source", "locale": "en", "route": "/en/guide/ai-source/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/ai-source/", "sourcePath": "data/v2/docs/en/guide/ai-source.md", "title": "Where your AI comes from", "summary": "The Organization's AI pool or your own ChatGPT account: where you see which one your Environment uses, who switches it and what a switch interrupts.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-platform-launchpad-texts-pairing" ], "markdown": "The agents in your Environment need AI: Codex and, if you want it, Claude\nCode. **Settings → Getting started → Connect AI** shows where your\nEnvironment takes it from.\n\n## Two sources\n\nIn a Personal Environment you always sign in with your own account.\n\nA Work Environment on a server where your Organization runs an AI pool takes\nits AI from one of two sources:\n\n| Source | What it means | What Connect AI shows |\n| --- | --- | --- |\n| **The Organization's pool** | Agents use subscriptions the Organization signed in once for everyone. You sign in nothing. | **Provided by your Organization.** |\n| **Your own account** | You sign in with your own ChatGPT account, a work seat in your Organization's ChatGPT Business or a personal account, and with Claude if you want it. | **Connected:** with your account |\n\nYour Organization may mix both and move people one by one, in either\ndirection ([decision 0229](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0229--the-organization-admin-sets-where-each-work-environment-takes-its-ai-from)).\n\n## What you do yourself\n\nIn an Environment that is not on the pool, open **Settings → Getting started\n→ Connect AI** and choose **Sign in to ChatGPT** or **Sign in to Claude**.\nThe step is done when it shows your account.\n\nOn the pool, do not sign in with your own account. Switching sources is the\nOrganization Admin's job.\n\n## Who switches the source\n\nOnly your Organization Admin moves an Environment between the pool and an\nown account. If you want the other source, ask them: see\n[How to ask the Organization Admin](/en/guide/ask-the-admin/). Tell them which account you\nwould use, a seat in ChatGPT Business or a personal account, whether you use\nClaude Code, and a time that suits you.\n\nOnce the change is done:\n\n- **On your own account**, sign in at Getting started. Agents work again after\n you sign in.\n- **Back on the pool**, Getting started shows **Provided by your\n Organization.**\n\n## What a switch interrupts\n\n- Running chats in your Environment end. Start new threads afterwards.\n- Everyone else on the same pool loses their running chats briefly too,\n because the pool restarts. The Organization Admin therefore agrees a time with you and\n warns the others.\n- Claude Code leaves the pool together with Codex. If you use it, sign in to\n Claude as well.\n- Your phone connects differently: see [Phone and\n computer](/en/guide/phone-and-computer/).\n\n## What is still coming\n\nDecision 0229 is decided but not yet deployed. When it is, the Organization Admin will set\nthe source per Environment in the Organization's Dashboard. You will ask for\nthe other source right in Getting started, and you will see there when a\nchange is under way. Until then the Organization Admin makes the change by a reviewed\nchange to the Organization's server configuration." }, { "stableId": "lazurio-doc-guide-ask-the-admin", "locale": "en", "route": "/en/guide/ask-the-admin/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/ask-the-admin/", "sourcePath": "data/v2/docs/en/guide/ask-the-admin.md", "title": "How to ask the Organization Admin", "summary": "What only your Organization Admin does, how to ask them today and what a request must and must never contain.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-decision-0230-request", "lazurio-decision-0234-role-names" ], "markdown": "Some things in your Organization only its Organization Admin does. Ask them\nwith a request they can act on without asking back.\n\n## What only the Organization Admin does\n\n- Moves your Environment between the Organization's AI pool and your own\n account ([Where your AI comes from](/en/guide/ai-source/)).\n- Approves or removes a device ([Device approval](/en/guide/device-approval/)).\n- Arranges a new Environment or more memory or disk.\n- Gives you a Module role in another Team's module, or access to its\n application. Under decision 0231, not yet deployed, that module's Module\n Contributors and Module Maintainers will also give application roles.\n- Connects an Integration for the whole Organization, such as a shared mailbox.\n- Changes a server.\n\nWhat you can do yourself is in Settings. Examples are signing in to AI off the\npool, pairing a phone where Connections offers it and connecting your own\nIntegrations.\n\n## How to ask today\n\nUntil Lazurio carries requests itself, decision 0230 names two ways. Both\ncarry the same content (next section):\n\n1. **An issue in your Organization's root repository on GitHub**, titled\n \"Request for the Admin: …\" (in Czech \"Žádost pro Admina: …\"), that\n mentions the Organization Admins. Use it if you have access to that\n repository. The title is the fixed form that decision 0230 and the agents'\n skill use.\n2. **A message to the Organization Admin**, sent the way your team usually\n reaches them.\n\nIn a **public Environment**, one that anyone with a Lazurio account may try,\nno request is filed. It has no Organization Admin of yours to ask.\n\n### With your agent\n\nLazurio teaches agents to file such a request with the skill\n`admin-request`. It reaches your Environment with the Lazurio release that\nincludes it ([LazurioPlatform#860](https://github.com/Lazurio/LazurioPlatform/pull/860),\nnot yet released). In an Environment with that version, say for example \"Ask\nthe Organization Admin to move me to my own ChatGPT account\". The agent then:\n\n1. checks that the matter really is the Organization Admin's;\n2. collects what the Organization Admin needs;\n3. files the issue;\n4. gives you the link, or, without access to the repository, a text for you\n to send.\n\nUntil then, your agent can prepare the request text with you by this page,\nand you file or send it yourself.\n\n## What a request contains\n\n- **What:** one action.\n- **For whom and where:** your name, the Environment, and the device or module\n if it concerns one.\n- **Why:** what you need it for.\n- **State now:** what you see, for example in Getting started.\n- **When:** a time that suits you, and what the change interrupts.\n\n**Never** put a password, token, pairing code or verification code in a\nrequest.\n\n## Who the Organization Admin is\n\nThe Organization Admin is a role of Lazurio that an Organization Owner\n(GitHub's owner role) appoints\n([decision 0228](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0228--the-organization-admin-is-a-lazurio-role-and-the-admin-also-enters-every-environment-of-their-organization-in-the-browser),\nnot yet deployed). Until it is deployed, an active Organization Owner is the\nOrganization Admin. The role names follow\n[decision 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent).\n\n## What is coming\n\nUnder decision 0230 you will ask the Organization Admin right in Lazurio. You\nwill file the request where the matter shows, and it reaches every\nOrganization Admin in the Organization's Dashboard. You will see its state and may withdraw it while it waits.\nThe first such request is the AI source in Getting started (decision 0229).\nUntil Lazurio carries requests, the ways above apply.\n\n## For the Organization Admin\n\nOpen requests are the issues titled \"Request for the Admin\" or \"Žádost pro\nAdmina\" in the Organization's root repository, and the messages your\ncolleagues send you. Check that a request is the requester's own and ask for\nanything missing where it arrived. Agree a time for a change that interrupts\nwork, and write the progress and the result back. A request grants nothing by\nitself and replaces no review." }, { "stableId": "lazurio-doc-guide-course-connected-apps", "locale": "en", "route": "/en/guide/course/connected-apps/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/connected-apps/", "sourcePath": "data/v2/docs/en/guide/course/connected-apps.md", "title": "Lesson 6: Connected apps", "summary": "What an Integration is, who connects it and what agents may do with your mail or calendar.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-01", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-folder-agent-rules", "lazurio-platform-onboarding-decisions", "lazurio-platform-launchpad-texts", "lazurio-external-apps-current" ], "markdown": "**In this lesson:** what an Integration is, who connects it and what agents\nmay do with it.\n\nAn **Integration** is an app or service connected to your Environment, such\nas mail, a calendar or a chat. You find them in Apps → **Integrations**, in\nthe tabs **All**, **Connected** and **Custom**. Each app has exactly one\nroute: a tool from Settings → Tools (for example `gh` for GitHub), the\nEnvironment's Executor, or Composio with your own account where your\nOrganization allows it.\n\n**You connect apps yourself.** Signing in is your consent, so an agent never\nconnects an app on its own; it sends you a link to the app's card instead.\nOnce an app is connected, every agent and bot of this Environment can read,\nwrite and delete there until you narrow it.\n\n**Being able to write is not consent to publish.** Sending an email or a\nmessage, inviting people to a meeting or submitting a form is Publication.\nAn agent prepares such a step, for example as a draft in your mailbox, and\nfinishes it only when you allow it. \"Reply to that email\" asks for a draft,\nnot for sending. Today this is a rule that agents follow; no Lazurio mechanism\nblocks a write through a connected app\n([Connecting an Environment to apps](/en/environment-app-connections/)).\n\nNever paste passwords, tokens or verification codes into a chat. If the\nEnvironment has a vault and an agent needs a password or a key, it asks for\nit in Apps → **Vault**, where you fill it in yourself.\n\n## Your task\n\n1. Open Apps → **Integrations** → **Connected**.\n2. In Chat, send:\n\n ```text\n Which apps are connected in this Environment and through which route?\n Do not read or change anything in them.\n ```\n\n3. Compare the answer with the page.\n\n**Done means:** you know which apps agents can reach here, and that sending,\ninviting or submitting waits for your consent. To connect your mail or\ncalendar, continue with [Connect your tools](/en/guide/tool-connections/)." }, { "stableId": "lazurio-doc-guide-course-find-your-way", "locale": "en", "route": "/en/guide/course/find-your-way/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/find-your-way/", "sourcePath": "data/v2/docs/en/guide/course/find-your-way.md", "title": "Lesson 3: Find your way around", "summary": "Chat, Apps and Automate, your Organization's Modules, Files and how to get a page explained.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-onboarding-decisions", "lazurio-platform-launchpad-texts" ], "markdown": "**In this lesson:** the three parts of Lazurio, where your Organization's\nModules are and how to get a page explained.\n\nAt the top of the left column is the switch **Chat · Apps · Automate**:\n\n- **Chat** is where you work with agents. In an Environment it is T3 Code,\n labelled T3 Code (Lazurio). Start a new thread for each new task.\n- **Apps** shows your Organization's Modules and the pages **Files**,\n **Integrations** and, where the Environment has a vault, **Vault**.\n- **Automate** is for regular tasks and automation. Where it does not run,\n the tour says so.\n\nA **Module** is one area of your work, for\nexample Mission Control for plans or a Knowledgebase for shared knowledge.\nUnder **Workspace**, Apps lists every Module of the Organization that your\nEnvironment's GitHub identity can reach, each once. Under **Productionspace**\nit shows the Organization's production repositories, read-only. Your\nOrganization decides which Modules it has. If a colleague mentions a Module\nyou do not see, you may not have access to it; ask your Organization Admin.\n[Modules](/en/guide/modules/) explains what a module holds, how it comes to be\nand who gets it.\n\n**Files** is the Documents folder of this Environment. Upload materials for\nagents there and download what they prepare, a whole folder as a ZIP if you\nneed it. The **?** after a page heading explains that page in place.\n\n## Your task\n\n1. In **Apps**, find one Module related to your work. Open its menu and\n choose **Module information**.\n2. Open **Files** and look at what is there.\n3. Open **Chat**, start a new thread and send:\n\n ```text\n I am new in this Organization. List the Modules I can see in Apps and\n say in one sentence what each one is for. Use only our Organization's\n own documents and say where you found each answer. Do not change anything.\n ```\n\n**Done means:** you know which Module holds your Organization's plans and\nwhich holds its shared knowledge, or that it has neither, and you can find\nFiles and Settings → Getting started again." }, { "stableId": "lazurio-doc-guide-course-first-sign-in", "locale": "en", "route": "/en/guide/course/first-sign-in/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/first-sign-in/", "sourcePath": "data/v2/docs/en/guide/course/first-sign-in.md", "title": "Lesson 1: Sign in to your Environment", "summary": "What an Environment is, which kind you work in and how you get in.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-folder-manual", "lazurio-platform-shell-column-head", "lazurio-platform-launchpad-texts" ], "markdown": "**In this lesson:** what an Environment is, which kind you work in and how\nyou get in.\n\nAn **Environment** is the computer on which agents work for you. Lazurio is\nyour window into it: in the browser you see its Chat, Apps and Automate,\nwhile the agents, their files and the sign-ins stay on the Environment.\nPeople see three kinds of hosted Environment:\n\n- **Work Environment.** Your Organization owns it and assigns it to you.\n Agents in it act for you, within your rights. It serves only work:\n conversations from every client you use are stored in it, so personal\n matters do not belong there.\n- **Team Environment.** The members of a Team share it. Everyone with access\n uses the accounts signed in there, so only team accounts belong in it.\n- **Personal Environment.** It belongs to you alone. Every new one comes\n with Buddy, your personal representative.\n\nLazurio on your own computer has no kind; it is simply **your computer**.\nAn Environment with automations is an ordinary Work Environment, named Henry\nwhere it needs a name. This course uses a Work Environment.\n\n## How you get in\n\nLazurio's approved access model keeps three conditions apart\n([decision 0192](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md)):\nthe network, active membership of the Organization and a grant to the\nEnvironment or to one of its apps. Your Organization Admin arranges the\nmembership and the grant. Where the Environment is reachable only in the\nOrganization's tailnet, your device also needs Tailscale and the Organization\nAdmin's approval. The transition to this model is not complete, so how a device is\napproved today can still differ between Organizations.\n\nSign in to Lazurio in your own browser. The browser in the right panel of an\nEnvironment belongs to the Environment, and every agent there shares its\nsign-ins. Never sign in to Lazurio in it.\n\n## Your task\n\n1. Open the address of your Environment and sign in with your Lazurio account.\n2. In the header of the left column, find the name of the Environment and\n whom it serves. The gear beside it opens the Settings of exactly this\n Environment.\n3. In Settings, open the section named after the Environment, for example\n **This Work Environment**, and read **Kind**, **Owner** and **Assignment**.\n\nIf the address does not open, follow\n[Reach an Environment through Tailscale](/en/guide/tailscale/).\n\n**Done means:** you are signed in, you see the switch Chat · Apps · Automate\nat the top of the left column, and you can say which kind of Environment this\nis, who owns it and to whom it is assigned." }, { "stableId": "lazurio-doc-guide-course-first-task", "locale": "en", "route": "/en/guide/course/first-task/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/first-task/", "sourcePath": "data/v2/docs/en/guide/course/first-task.md", "title": "Lesson 7: Your first task", "summary": "Brief an agent in Chat and have the result saved as a draft for your review.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-02", "reviewedAt": "2026-11-02", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-agent-rules", "lazurio-platform-folder-manual", "lazurio-onboarding-decision-register", "github-about-pull-requests", "github-protected-branches" ], "markdown": "**In this lesson:** how to brief an agent in Chat and how it saves the\nresult for your review.\n\nStart a new thread in Chat. Every new thread starts in the Lazurio\n**Folder**, the folder in which Lazurio keeps the agents' instructions next\nto your Organizations; from there the agent finds your Organization\n(decision 0189). Name the Organization and the work in your request.\n\nDescribe the task in your own words: what you want, why, from which\nmaterials, what must not change, and that you want a draft for your review.\nYou do not need technical names; the agent looks up your Organization's\nterms in its own documents. You can also dictate the request (see\n[Recommended applications](/en/guide/recommended-apps/)). More about good\nbriefs is in [How to think about Lazurio and agents](/en/guide/start-here/).\n\n## What the agent does\n\nThe instructions Lazurio generates for agents, the Folder's `AGENTS.md`,\ntell every agent to\n([`render.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/folder/render.ts)):\n\n1. work in a **worktree**, a separate working copy of the repository, so that\n the valid version on `main` stays untouched;\n2. put the work on GitHub right away as a **Draft pull request**, a proposed\n change that GitHub does not let anyone merge while it is a draft. Where the\n repository's GitHub plan offers no drafts, the agent opens an ordinary pull\n request and writes in its description that the work is in progress;\n3. ask you with a question that offers options whenever it needs a decision.\n Until you answer, that part of the work waits;\n4. when the work is finished and checked, mark the pull request **Ready for\n review** and end with a **handoff**: the link, what Publication would\n introduce, what it has verified, and the question whether to publish in\n your name or to ask another colleague.\n\nIf you can only read the repository, the agent writes the proposal as an\nissue there instead. A file that belongs in no repository goes to Files,\nand you get a link to it; the task below uses the repository or issue you\nchose in lesson 5.\n\nThese are rules in the agents' instructions, not technical locks. GitHub\nenforces review and merge rules only where your Organization has protected\nthe branch.\n\n## Your task\n\nHave the piece of work from lesson 5 saved. Send in a new Chat thread:\n\n```text\nIn our Organization [name], add this to [the place we agreed on] as a\ndraft for my review: [your two or three sentences].\nFirst check whether something similar already exists and whether I can\nwrite there. If I can, prepare a pull request; if I can only read it,\nwrite the proposal as an issue. Ask me if anything is unclear. Do not\npublish anything. At the end, give me the link.\n```\n\nAnswer the agent's questions when they appear.\n\n**Done means:** the agent has given you a link to a pull request marked Ready\nfor review, or to an issue; the change itself is visible there; and nothing\nhas been published. For a pull request, the closing question is waiting for\nyour answer. Do not answer it yet: review the change first in lesson 8. An\nissue ends without that question, because the colleagues mentioned in it\ndecide on the change." }, { "stableId": "lazurio-doc-guide-course-getting-started", "locale": "en", "route": "/en/guide/course/getting-started/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/getting-started/", "sourcePath": "data/v2/docs/en/guide/course/getting-started.md", "title": "Lesson 2: Finish Getting started", "summary": "Connect AI and GitHub and download your Organization, in this order.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-getting-started", "lazurio-platform-launchpad-texts", "lazurio-platform-shell-column-head" ], "markdown": "**In this lesson:** what your Environment needs before agents can work for\nyou, and in which order.\n\n**Getting started** is the first section of the Environment's Settings. It\nlists the steps that make the Environment ready for work. It checks each\nstep against the Environment's own state, not against your browser, so it\nshows the same wherever you open it\n([`start-view.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/launchpad/start-view.ts)).\nWhile a required step is missing, the header of the left column shows\n**Finish setting up**, for example **(1 of 3)**, and leads you there\n([`view.ts`](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/src/shell/view.ts)).\n\nThe required steps go in this order:\n\n1. **Connect AI.** Sign in with your ChatGPT or Claude account, or with both.\n On an Environment on a server, the sign-in page opens in the browser in the\n right panel; passkeys and your computer's password manager do not work\n there. If your Organization provides AI, the step says **Provided by your\n Organization.**\n2. **GitHub.** **Connect** becomes available once AI is connected. Confirm the\n one-time code on github.com with the GitHub account that has access to your\n Organization.\n3. **Download** your Organization. It starts by itself once GitHub is connected\n and downloads the Organization's Modules.\n\nAI comes first so that an agent in Chat can help you with the rest. When a\nstep stops, it says what to do next. **Solve in Chat** opens a new Chat thread\nwith a prepared request that is not sent yet. **The Organization's Admin\nprepares it.** means that your Organization Admin has to act, not you.\n\nBelow the required steps are optional ones, such as Composio for mail and\ncalendars, SSH from your own computer and a tour of the app. You can add them\nat any time. A Team Environment has its required steps prepared in advance.\n\n## Your task\n\n1. Open Settings → **Getting started**.\n2. Complete the required steps until the page says **The Environment is ready.**\n3. Under **App tour**, choose **Start the tour** and click through Apps, Chat\n and Automate.\n\n**Done means:** every required step is done, the page says **The Environment\nis ready.** and the row **Apps, Chat and Automate** shows **Seen**." }, { "stableId": "lazurio-doc-guide-course", "locale": "en", "route": "/en/guide/course/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/", "sourcePath": "data/v2/docs/en/guide/course/index.md", "title": "Onboarding course", "summary": "Nine short lessons from your first sign-in to your first task that an agent saves and you review.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-platform-launchpad-texts", "lazurio-platform-folder-agent-rules" ], "markdown": "This course takes you from your first sign-in to an Environment to your\nfirst task that an agent saves and you review. It is written for people\nwho are new in an Organization and work in a Work Environment. Each lesson\nends with one practical task and tells you how to know that it is done.\n\n## Before you start\n\nYou need:\n\n- **An Environment assigned to you** and its address. Your Organization\n assigns it; if you do not have the address, ask your Organization Admin.\n- **Tailscale on an approved device**, if your Organization's Environments\n are reachable only in its tailnet. The tailnet is the default; see\n [Reach an Environment through Tailscale](/en/guide/tailscale/).\n- **A ChatGPT or Claude account**, unless your Organization provides AI for\n its Environments.\n- **A GitHub account** with access to your Organization's repositories.\n\n## The lessons\n\n1. [Sign in to your Environment](/en/guide/course/first-sign-in/): what an Environment is and which kind you work in.\n2. [Finish Getting started](/en/guide/course/getting-started/): connect AI and GitHub and download your Organization.\n3. [Find your way around](/en/guide/course/find-your-way/): Chat, Apps, Automate and Settings.\n4. [Who works with you](/en/guide/course/who-works-with-you/): you, agents, colleagues, Henry and Buddy.\n5. [Where things belong](/en/guide/course/where-things-belong/): Knowledgebase, Mission Control, an issue or Files.\n6. [Connected apps](/en/guide/course/connected-apps/): what agents may do with your mail or calendar.\n7. [Your first task](/en/guide/course/first-task/): brief an agent and have the result saved as a draft.\n8. [Review and Publication](/en/guide/course/review/): check the result and decide who publishes it.\n9. [When something does not work](/en/guide/course/when-stuck/): where to turn and what never to send.\n\nYou do lessons 1 and 2 once per Environment. Lessons 5 to 8 are one piece\nof work: you choose it in lesson 5, have it saved in lesson 7 and review it\nin lesson 8. Use real but non-sensitive work.\n\n## What this course describes\n\nThe course describes Lazurio Platform as its public source stood on\n1 November 2026. A newer release may show other labels. If your\nOrganization still works with the Lazurio Root on your own computer (GEN3),\nsome screens and steps differ.\n\nThe prompts are examples: copy them into Chat and adapt them to your work.\nA prompt grants no access. Agents can use only what is signed in to your\nEnvironment.\n\n## After the course\n\n- Save a recurring procedure and use it again: exercises 2 and 3 of\n [First steps with an agent](/en/guide/first-steps/).\n- Let an agent work on a website: [Tips for working](/en/guide/work-tips/).\n- Connect your mail or calendar: [Connect your tools](/en/guide/tool-connections/).\n- Look up a term: [Glossary](/en/guide/glossary/)." }, { "stableId": "lazurio-doc-guide-course-review", "locale": "en", "route": "/en/guide/course/review/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/review/", "sourcePath": "data/v2/docs/en/guide/course/review.md", "title": "Lesson 8: Review and Publication", "summary": "Check what an agent saved, ask for changes and decide who publishes it.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-01", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-manual", "lazurio-platform-folder-agent-rules", "lazurio-onboarding-decision-register", "github-reviewing-pull-requests", "github-protected-branches" ], "markdown": "**In this lesson:** how to check what an agent saved and how Publication\nworks.\n\nOpen the link from the handoff. If the page does not open, check that you\nare signed in to GitHub with the account you connected in Getting started.\nA pull request has a description and, in the tab **Files changed**, the\nexact change. Read the change itself, not only the agent's summary, and\ncheck that:\n\n- it is in the right place and says what you meant;\n- every fact has a source and nothing is invented: polished text with\n nothing behind it goes back to the agent;\n- it contains no private data and nothing from another Organization;\n- a new colleague would understand it.\n\nIf something is wrong, say so in the same Chat thread, concretely: \"Remove\nthe deadline; the source does not confirm it.\" The agent adds the fix to the\nsame pull request or issue. You and your colleagues can also comment on\nGitHub.\n\n## Publication\n\n**Publication** is the step that makes work hard to take back or visible to\nothers: merging a pull request, sending an email or a message, submitting a\nform, a payment. Until then the work is a draft that can still change or be\ndiscarded. The agent publishes only when you allow it: when you choose\n**Publish in your name** in its closing question, write \"publish\", or allow\nit in advance for a task or a whole thread. Your last word applies.\n\nYour live rights on GitHub decide whether a merge may happen. If you may\nnot merge, or you want someone else to check the work, choose **Ask another\nKolega**: the agent requests that colleague's review, assigns the pull\nrequest to them and mentions them on GitHub. In a Team Environment the\nagent asks instead whom it should hand the change to.\n\nWhen you allow Publication, the agent's instructions require it to merge the\nexact latest version of the pull request, and GitHub refuses that merge if\nanother change has arrived in the meantime. So check the latest version\nbefore you allow it. The rule that agents publish only with your consent\nlives in their instructions; GitHub enforces merge rules such as required\nreviews only on protected branches.\n\n## Your task\n\n1. Read the change from lesson 7 in **Files changed**, or read the issue.\n2. Ask for at least one concrete improvement and check that it appears in\n the same pull request or issue.\n3. For a pull request, answer the closing question. If you are not sure\n that the decision is yours, choose **Ask another Kolega**. For an issue,\n check that it names who can make the change.\n\n**Done means:** you have read the change itself, your feedback is in it, and\nyou have answered the closing question or know who decides on the issue.\nYour first task is saved and reviewed." }, { "stableId": "lazurio-doc-guide-course-when-stuck", "locale": "en", "route": "/en/guide/course/when-stuck/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/when-stuck/", "sourcePath": "data/v2/docs/en/guide/course/when-stuck.md", "title": "Lesson 9: When something does not work", "summary": "Where to turn when something stops, how to describe a problem and what never to send.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-launchpad-texts", "lazurio-platform-folder-manual", "lazurio-onboarding-decision-register" ], "markdown": "**In this lesson:** where to turn when something stops, and how to describe\na problem so that someone can help.\n\n| What happens | What to do |\n| --- | --- |\n| The Environment's address does not open | Follow [Reach an Environment through Tailscale](/en/guide/tailscale/). |\n| A step in Getting started stops | Read what the step says. Once AI is connected, **Solve in Chat** opens a new thread with a prepared request; read it and send it. If the step says that the Organization's Admin prepares it, contact your Organization Admin. |\n| The app of a Module does not open | Its overview in Apps says why. Ask an agent in Chat to look at it. |\n| An agent seems stuck | First look for a question it is waiting for you to answer. Then ask it what it has verified, what it is waiting for and what is missing. |\n| Lazurio itself reports a fault | Settings → **Recovery** shows Lazurio's own checks. When one fails, it offers a prepared prompt for a repair agent and a prepared issue. |\n\nWhen an agent finds a problem it cannot fix now, it records it as a GitHub\nIssue in the repository concerned, gives you the link and goes on with the\nrest of the work.\n\nDescribe a problem in three parts: what you wanted to do, what happened and\nwhat you see, with a screenshot if it helps. Remove passwords, tokens, codes\nand other people's data from it first, and never send them in a chat. Do not\nkeep clicking when you do not know what is happening.\n\n## Your task\n\n1. Open Settings → **Recovery** and read whether Lazurio in this Environment\n is healthy. Do not start anything.\n2. In the thread of your first task, send:\n\n ```text\n Summarize what you have verified, what you are waiting for and what is missing.\n ```\n\n**Done means:** you know where to turn in each situation in the table, and\nyou have a status summary of your first task.\n\nThis is the end of the course. Continue with the links in\n[After the course](/en/guide/course/#after-the-course)." }, { "stableId": "lazurio-doc-guide-course-where-things-belong", "locale": "en", "route": "/en/guide/course/where-things-belong/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/where-things-belong/", "sourcePath": "data/v2/docs/en/guide/course/where-things-belong.md", "title": "Lesson 5: Where things belong", "summary": "Where work is saved so that colleagues and agents find it: Knowledgebase, Mission Control, issues, repositories and Files.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-02", "reviewedAt": "2026-11-02", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-folder-manual", "lazurio-platform-folder-agent-rules" ], "markdown": "**In this lesson:** where work is saved so that colleagues and agents find\nit later.\n\nChat is the working conversation. Agents treat it as a cache: what stays\nonly in a chat is lost to everyone else. Each kind of result has its home:\n\n| What | Where it belongs |\n| --- | --- |\n| Shared knowledge: procedures, context, what you have learned | the Organization's Knowledgebase |\n| Plans, their status and who is responsible | the Organization's Mission Control |\n| An open problem or an uncertainty | a GitHub Issue in the repository it concerns |\n| Software and documentation | a repository on GitHub, changed by a pull request |\n| A finished file that belongs in no repository, such as a presentation | Files of the Environment |\n| Personal matters | your Personal Environment, never a Work Environment |\n\nEvery change to a repository goes as a pull request. If you can only read\nthe repository, the agent writes the proposal as an issue there and\nmentions who can make the change. Your Organization may call its Modules\ndifferently; the agent finds them in the Organization's own instructions\nand documents.\n\n## Your task\n\nPick one thing from your recent work that a new colleague would need to\nknow: a term, a step of a procedure or a rule. Choose something that belongs\nin a repository or an issue, because lessons 7 and 8 save it as a pull\nrequest or an issue and review it there; a finished file for Files is not\npart of this exercise. Write it down in two or three sentences. Then send in\nChat:\n\n```text\nI want to save this for colleagues: [your two or three sentences].\nTell me where it belongs in our Organization (Knowledgebase, Mission\nControl or an issue) and why. Check whether something similar\nalready exists. Do not save anything yet.\n```\n\n**Done means:** you have one small, real piece of work and you know where\nit belongs. You will have it saved in lesson 7." }, { "stableId": "lazurio-doc-guide-course-who-works-with-you", "locale": "en", "route": "/en/guide/course/who-works-with-you/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/course/who-works-with-you/", "sourcePath": "data/v2/docs/en/guide/course/who-works-with-you.md", "title": "Lesson 4: Who works with you", "summary": "You as the user, agents, colleagues and their roles, Henry and Buddy: who decides what.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-onboarding-decision-register", "lazurio-decision-0234-role-names", "lazurio-platform-folder-manual" ], "markdown": "**In this lesson:** who decides what in your Environment and in your\nOrganization.\n\n**You are the user.** The agents in your Environment work for you and act\nwith your rights. You give the instruction to publish their work and you\nhave the last word.\n\n**An agent** (Task Agent) is a working session of an AI tool such as Codex\nor Claude Code, for example one thread in Chat. It has no authority of its\nown, and no prompt gives it any. Inside the Environment it works with full\naccess, without a sandbox and without approval of each command: the\nEnvironment is the boundary (decision 0172). Whatever is signed in to your\nEnvironment, its agents can use. Full access is a capability, not consent:\nPublication stays with you.\n\n**A colleague** (Kolega) is a user in an Organization. Their roles and Teams\nsay what they may do. Every role names its level (decision 0234):\n\n- **Organization:** the **Organization Owner** owns its GitHub Organization\n and appoints the Organization Admins, the **Organization Admin** manages\n the Organization's members, Teams, access and Environments, and everyone\n else is an **Organization Member**.\n- **Module:** a **Module Reader** reads it and changes nothing, a **Module\n Contributor** builds it and proposes changes, and a **Module Maintainer**\n may also merge its protected `main` and release it.\n- **Application:** an **Application Admin** and an **Application User** may\n do what the Organization's rule in the Module allows. These application\n roles are decided and not yet deployed (decision 0231).\n\nA role name authorizes nothing by itself. For the Organization and Module\nroles, the live grant on GitHub decides today (decisions 0062 and 0232).\n\n**Henry** is the name of an Organization's Work Environment with\nautomations. A team of bots works there under the Organization's persona,\nand one responsible user, an Organization Owner or an Organization Admin,\nanswers for it (decision 0169). Where your Organization runs Henry, you meet it\nmostly on GitHub, for example in a review of a pull request.\n\n**Buddy** is your personal representative. Buddy runs in your Personal\nEnvironment, if you have one, and acts only within your rights and the\nmandates you give. Billing and ownership, recovery, secrets, changes of\naccess and destructive steps always need your consent to that exact step,\nand so do a merge, a publication or a release that no explicit mandate\ncovers (decision 0089).\n\nA persona is an Organization's agent account, such as Henry's. Like the name\nyou give your Buddy, it is not a user and holds no authority of its own. The\ndecision numbers refer to the public\n[Lazurio decision register](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md).\n\n## Your task\n\nIn a new Chat thread, send:\n\n```text\nCheck what I may do in our Organization on GitHub. For the Organization's\nroot repository and for the repository where we keep shared knowledge,\ntell me whether I can write to them or only read them, and who can merge\nchanges there. Only read; do not change anything.\n```\n\n**Done means:** you know whether you can write to the repository where your\nfirst task will go and, if you cannot, who publishes changes there." }, { "stableId": "lazurio-doc-guide-device-approval", "locale": "en", "route": "/en/guide/device-approval/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/device-approval/", "sourcePath": "data/v2/docs/en/guide/device-approval.md", "title": "Device approval", "summary": "Why a registered device may still not reach your Environments, who decides about access and what to do when you lose a device.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-environment-access-model" ], "markdown": "In Lazurio's target model, an Organization that reaches its Environments\nthrough a tailnet lets in only devices its Organization Admin approved\n([decision 0192](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0192--entry-with-a-lazurio-account-and-an-admin-approved-device-sharing-inside-the-organization)).\nThat decision is in force as the target, but the transition is not complete.\n**How a device gets access today can still differ between tailnets**, as\n[Reach an Environment through Tailscale](/en/guide/tailscale/) says. Your\nOrganization Admin, or your Organization's own rules, tell you how it works\nin yours.\n\n## What you do\n\n[Add a new device to the tailnet](/en/guide/tailscale-add-device/) walks you\nthrough it: installing Tailscale, signing in with your Lazurio account, how\nto tell waiting from approved, and [what to send your Organization\nAdmin](/en/guide/tailscale-add-device/#ask-your-organization-admin-for-approval).\nRegistration alone does not guarantee access; if the Environment's address\nstill does not open, ask the Organization Admin as that guide says.\n\n## When you need no device in the tailnet\n\n- **An Organization with public addresses**\n ([decision 0213](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0213--network-for-people-an-organization-may-switch-from-tailnet-to-public-dns))\n needs no tailnet and no device approval. You sign in with your Lazurio\n account, but only to the web interface: Launchpad, chat, MausBot and Buddy.\n There is no SSH and no phone pairing for people there.\n- **A phone paired through the ChatGPT app**, where your Environment offers\n pairing ([Phone and computer](/en/guide/phone-and-computer/)). The phone\n needs no tailnet. You create the pairing code inside the Environment,\n though, so you must already be able to open it.\n\n## When you lose a device\n\nTell the Organization Admin at once, so they remove its access. If you paired the lost\nphone through ChatGPT, also remove it under **Paired phones** in Settings →\nConnections. In the target model you will be able to remove your own lost\ndevice yourself (decision 0192). Until Lazurio offers that, the Organization\nAdmin does it.\n\n## For the Organization Admin\n\nHow to approve a device today, what to check first and the target in the\nDashboard are in [For the Organization\nAdmin](/en/guide/tailscale-add-device/#for-the-organization-admin).\nApproving a device for the Organization's Environments opens nothing in a\nperson's Personal Environment." }, { "stableId": "lazurio-doc-guide-first-steps", "locale": "en", "route": "/en/guide/first-steps/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/first-steps/", "sourcePath": "data/v2/docs/en/guide/first-steps.mdx", "title": "First steps with an agent", "summary": "Try assigning a task, reviewing the result and saving a procedure for next time.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-external-apps" ], "markdown": "Use a small work task to practise giving instructions, reviewing a draft\nand saving a procedure for next time. If you are new to agents,\nread the [short introduction](/en/guide/start-here/) first.\n\nThe example conversations are scripted. Copy the prompts into your chat and\nadapt them to the task. Supply only materials you are allowed to use there.\n\n## 1. Brief your first task and review the result\n\nChoose the correct organization and area of work in Launchpad. Open a task\nin the corresponding working context in your agent tool. Before starting,\ncheck with the agent which organization and materials it is working with.\n\n```text\nUse the attached notes to draft an agenda for a 30-minute team meeting.\nFor each item, include its goal, proposed duration and the question to decide.\nUse only these notes. Flag missing information; do not invent it.\nReturn a short list. Do not send anything or create calendar events.\n```\n\n
Show an example conversation

AI · illustration: The first item does not specify the decision you need. Are we choosing an option or just sharing progress?

You: We need to choose an option. Allow 15 minutes for that item and shorten the others to keep the whole meeting within 30 minutes.

\n\n**Done means:** the agenda matches the notes, durations total 30 minutes,\nunconfirmed facts are marked and nothing was sent. The agent saying “done”\nis not enough — read the actual draft.\n\n## 2. Explain one recurring procedure\n\nChoose something you regularly explain at work. Describe it in your own\nwords, by voice if you prefer. The agent can organize it; you check that it\naccurately reflects your work.\n\n```text\nI want to explain how we prepare team meetings.\nFirst ask me about the inputs, sequence of steps and finished result.\nThen draft a procedure for our organization's Knowledgebase.\nCheck whether one already exists; do not propose an unnecessary duplicate.\nShow the changes, their location and who will have access. Do not publish yet.\n```\n\n
Show an example of feedback

AI · illustration: The draft does not cover unresolved items from the previous meeting. How do you handle them?

You: First compare them with the current situation. Do not carry outdated items forward automatically. Add that to the draft and show the final wording.

\n\n**Done means:** the procedure is accurate and you know where it belongs.\nApprove publication as a separate step under your permissions and your\norganization's rules. If another colleague must approve it, ask for a handoff\nto that person.\n\n## 3. Use the approved procedure in a new task\n\nAfter the procedure is approved and published, start a new task in the same\norganization. You are checking that saved materials are actually loaded,\nnot testing “chat memory”.\n\n```text\nFind the approved meeting preparation procedure in our organization's\nKnowledgebase. Show its source and summarize the rules. If you cannot find\nor access it, tell me; do not guess its contents. Then use it to draft an\nagenda from the new attached notes. Do not send anything.\n```\n\n**Done means:** you can see the actual source and the draft follows its rules.\nIf the agent cannot find it, check the organization, location, publication\nand access.\n\n## When to start a new thread\n\nStay in the same thread when refining the same result. Start a new task for\na different goal: a meeting agenda and an unrelated document analysis can\nrun in parallel. Give the new task its materials; do not assume it knows\nthe neighboring chat. Do not have two agents edit the same document without\ncoordination.\n\n## Outlook, SharePoint and other tools\n\nFirst verify an available **approved connection**, the correct account and\nthe access scope. Being signed in through your regular browser is not proof\nthat the agent has access.\n\n```text\nI need to work with Outlook. Check whether an approved connection is\navailable in this environment and tell me which account and operations\nyou can use. Do not read or change anything yet. If the connection is\nmissing, explain the next step; do not switch to another service or browser\ncontrol without discussing it with me.\n```\n\nAfter verification, try a small read-only task:\n\n```text\nIn the specified SharePoint folder [link], find the document [name].\nSummarize it in five points and include the source. Search only that folder.\nDo not edit or share anything. If you lack access, stop and explain why.\n```\n\nReplace brackets with actual details. These are task instructions, not\nautomatic access setup. See more examples in [Connect your tools](/en/guide/tool-connections/)\nand [working in the browser](/en/guide/work-tips/).\n\n## When a response is slow or misses the point\n\nIf your tool offers a reasoning setting, try a lower level for simple tasks\nand a higher one for demanding analysis. This does not guarantee speed or\naccuracy. Controls vary by application, and delays can have other causes.\n\n```text\nSummarize what you have verified, what you are waiting for and what is missing.\nPropose the smallest next step. Do not repeat the same unsuccessful approach.\n```\n\nWhen the result misses the point, describe the difference: “I need a decision,\nnot a transcript of the notes.” If the problem persists, send support the\napplication name, a short brief, expected and actual results, and a sanitized\nscreenshot of the error. Do not include passwords, tokens or sensitive materials.\n\n## Your first two weeks, without a separate training project\n\n- **Day one:** finish a small task and improve the draft with specific feedback.\n- **Week one:** capture one recurring procedure in Knowledgebase and have it approved.\n- **Week two:** use the procedure in a new task and fill gaps exposed by real work.\n\nAdjust the pace to your work; these are suggestions, not deadlines." }, { "stableId": "lazurio-doc-guide-glossary", "locale": "en", "route": "/en/guide/glossary/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/glossary/", "sourcePath": "data/v2/docs/en/guide/glossary.md", "title": "Glossary", "summary": "Terms for everyday work, administration and development in Lazurio.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-product-vocabulary", "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-onboarding-decision-register", "lazurio-decision-0234-role-names", "lazurio-platform-folder-manual", "lazurio-platform-launchpad-texts", "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-parts-f14", "lazurio-platform-marketplace-v0-1-21", "lazurio-marketplace-registry", "github-about-pull-requests", "github-protected-branches" ], "markdown": "The basic terms cover everyday work. The advanced section explains\nadministration, development and change approval.\n\n## Basic terms\n\n
\n\n**Lazurio** A shared work environment for people and AI agents. It helps\nyou find applications, work, and the information you need.\n\n**Environment** The place where agents work for you. Hosted Environments\nhave three kinds: Personal, Work and Team.\n\n**Personal Environment** Your Environment with Buddy and a Personal Workspace.\n\n**Work Environment** An Organization Environment assigned to a particular\nuser. It may run automations; these do not create a separate fourth kind.\n\n**Team Environment** An Environment shared by Team members. Every authorized\nmember can use its connected accounts, so connect team accounts there.\n\n**Your computer** Your own device running Lazurio locally. It is not a fourth\nkind of hosted Environment.\n\n**Apps (called Launchpad in older sources)** The part of Lazurio where\nyou open Organization applications. Within an Environment, switch between\nChat, Apps and Automate.\n\n**Chat** The part of an Environment where you work with agents, one thread\nper task. In an Environment it is T3 Code.\n\n**Automate** The part of an Environment for regular tasks and automation.\n\n**Getting started** The first section of an Environment's Settings. It shows\nthe steps that make the Environment ready for work: AI, GitHub and the\nOrganization's content, in this order.\n\n**Guide** Practical help for Lazurio. When you are unsure what something\nmeans or how to continue, start here.\n\n**GitHub** The service that hosts repositories and manages their\npermissions. It determines which repositories you can read or change.\nYour AI provider account and subscription are separate.\n\n**AI subscription** Your provider's plan determines available models and\nusage limits. It is separate from GitHub repository permissions.\n\n**Tokens** Units used to measure AI usage. They are consumed when reading\nrequests and generating responses; they are not passwords or access keys.\n\n**Organization** A separate workspace for one company. It has its own\npeople, applications, data, and access.\n\n**Team** A group of people who work together in a specific\narea, such as sales or product.\n\n**Workspace** The part of an Organization that contains applications for\nday-to-day work.\n\n**Module** One area of your work, such as orders, the website or\nrecipes. It keeps together the process agents follow, the data the work is\nabout, and the app in which you see and change it. Mission Control and\nKnowledgebase are modules. See [Modules](/en/guide/modules/).\n\n**Marketplace** The place at the bottom of Apps for module templates. A\ntemplate is added to your Organization as your own private copy. From version\n0.1.21, a release candidate on 5 November 2026, it offers the templates of\nLazurio's public registry.\n\n**Mission Control** The place for managing work. It shows what is being\naddressed, who is responsible, and what should happen next.\n\n**Knowledgebase** A shared company notebook with procedures and context for\nfuture work. An agent can use an entry if it has access and loads it. Chat\ncontent is not saved there automatically.\n\n**Integration** An app or service connected to an Environment, such as mail\nor a calendar. You connect it yourself in Apps → Integrations; every agent\nof that Environment can then use it. Sending or publishing through it still\nneeds your consent.\n\n**Personal Workspace** Your private working content in a Personal\nEnvironment. It serves you and your Buddy, rather than the Organization.\nOlder technical sources call it Personalspace.\n\n**Colleague (Kolega)** A user in an Organization. Their roles and Teams\ndecide what they may do.\n\n**AI Colleague** An older name for a long-running AI role. Current\ndocumentation describes automation as agents working in a Work Environment\nwith a responsible user. A role name grants no permissions by itself.\n\n**Henry** The name of an Organization's Work Environment with automations.\nA team of bots works in it under the Organization's persona, and one\nresponsible user answers for it. It is not a separate kind of Environment.\n\n**Buddy** The name of Lazurio's personal product and of your personal AI\nrepresentative. Buddy belongs to your Personal Environment and acts only\nwithin your rights and the mandates you give. Billing, secrets, access\nchanges, and a merge or publication outside an explicit mandate always need\nyour consent to that exact step.\n\n**Prompt** A request you write for AI. For example: “Prepare an overview of\nunpaid invoices and explain what I should address first.”\n\n**Start** Turn an application on so it can be used.\n\n**Open** Go to the selected application. If it is not running yet, Launchpad\nmay start it first.\n\n**Stop** Turn off a locally running application. This does not delete its\ndata.\n\n**Sync** Load the current state of projects and applications so you work\nwith the latest changes.\n\n
\n\n## Advanced terms\n\n
\n\n**User** The person agents work for, who has the final say. The bare word\nuser names no role. When someone is to be made an \"admin\" or a \"user\", say\nwhether the Organization or which application is meant.\n\n**Role** A named access of a person at one level: in the Organization, in a\nmodule, in an application or in an Environment. It is written with a capital\ninitial and always names its level, such as Organization Admin or\nApplication User. A role name authorizes nothing by itself; actual access\ndecides.\n\n**Organization Owner** Owns the GitHub Organization in which the\nOrganization lives (GitHub's owner role). Appoints and removes Organization\nAdmins. Gets no access to Environments by that alone.\n\n**Organization Admin** Manages the Organization's members, Teams, access and\nEnvironments; this does not grant access to another person's Personalspace.\nIt is a role of Lazurio that an Organization Owner appoints (not yet\ndeployed); until it is deployed, an active Organization Owner is the\nOrganization Admin.\n\n**Organization Member** Every other person in the Organization. What they may\ndo follows from their roles in modules and applications. As the target,\nmembership in Lazurio decides, which needs no GitHub account; for now, live\nmembership of the GitHub Organization decides.\n\n**Module Reader** Reads a module's source code and changes nothing. GitHub's\n`pull` permission. This role by itself gives no role in the module's\napplication.\n\n**Module Contributor** Builds the module and proposes changes. GitHub's\n`push` permission on a repository that can have branch rules.\n\n**Module Maintainer** May also merge the module's protected `main` and\nrelease it. GitHub's `maintain` permission, or `push` where the repository\ncannot have branch rules.\n\n**Module access** The setting that holds a person's or a Team's role in a\nmodule. It is not a role itself. Whoever has no role in a module has no\naccess to it.\n\n**Application Admin** A role in a module's application, decided and not yet\ndeployed (decision 0231). What it may do is the Organization's rule in the\nmodule's code. Without any setting, the\nApplication Admins are the Module Contributors, the Module Maintainers, the\nOrganization Admin and whoever has the whole Environment where the\napplication runs.\n\n**Application User** The other role in a module's application, also not yet\ndeployed. What it may do is also the Organization's rule in the module's code.\n\n**Assigned User** The person a Work Environment is assigned to.\n\n**Service entry** Entry to an Environment for someone other than its\nAssigned User. It is not a role. As decided and not yet deployed (decision\n0228), the Organization Admin will have service entry to every Environment of\ntheir Organization; anyone else only when it is granted for one Environment.\n\n**Persona** An Organization's agent account, such as Henry's. It never names\na person's role.\n\n**Principal** A term for the responsible identity in older Lazurio sources.\nCurrent copy uses “user” for the person who assigns work and has the final say.\n\n**Task Agent** An AI tool session for a particular task. It has no\npermissions of its own; it uses access available in the Environment and\nfollows the user's instructions.\n\n**Skill** A saved guide for an agent doing a particular kind of work, such as\npreparing a presentation or reviewing changes. It may contain instructions,\ntemplates and scripts. You still need to check the result.\n\n**MCP server** A connection through which AI can use a specific tool or work\nwith its data, such as GitHub. It does not grant AI extra permission — it uses\nonly the access available on that Machine.\n\n**Guardian** In older sources, a designated person who helps with recovery\nor a service intervention for an AI Colleague. This does not grant general access.\n\n**Draft** Work in progress that is not official yet. You can review, change,\nor discard it.\n\n**Publication** The moment a Draft becomes official or visible to others,\nsuch as merging a pull request or sending an email or a message. An agent\npublishes only with the explicit approval of the user, whose live rights\ndecide what may be published.\n\n**Handoff** How an agent ends a piece of work: the link to it, what\nPublication would introduce, what the agent verified and the question who\npublishes it.\n\n**Release** An official, labeled version of a product or application, such\nas a new version for customers.\n\n**Pull request (PR)** A proposed set of changes awaiting review and approval\nbefore it enters the official version.\n\n**Draft pull request** A pull request that is still in progress. GitHub does\nnot let anyone merge it until it is marked ready for review. Agents in\nLazurio open one as soon as they start a change.\n\n**Review** A check of a pull request by someone other than its author before\nit is merged. On a protected branch, GitHub can require an approving review.\n\n**Main** The project's primary, currently valid version. Work in progress\nenters it only after the required checks.\n\n**Worktree** A separate working copy of a project. An Agent or developer can\nsafely prepare changes there without affecting the main version.\n\n**Productionspace** The technical part of an Organization for source code\nand systems that are not ordinary work applications.\n\n**Folder (Lazurio Folder)** The folder in an Environment where Lazurio keeps\nthe agents' instructions, manuals and skills, next to your Organizations.\nEvery new Chat thread starts there. Lazurio generates these files, so a\nchange made in them by hand blocks Lazurio's updates of them.\n\n**Bun** A technical tool used to install, run, and test applications. If you\nare not a developer, you usually do not need to use it directly.\n\n**Machine** A device or isolated work environment in which Lazurio runs. It\nalso forms a boundary for security, access, and recovery.\n\n**Access** Actual permission to view or change something. GitHub determines\nrepository permissions. A role name alone grants no access.\n\n
\n\nThese names follow the public [Lazurio decisions](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md),\nespecially 0170 and 0207 with their addenda, 0169 for Henry and 0089 for\nBuddy. [Decision 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent)\nsets the names of roles; the earlier names Builder, Steward and User no\nlonger name roles. A particular installation may still show older labels; technical\nnames and commands stay unchanged. The [onboarding course](/en/guide/course/)\nuses these terms step by step." }, { "stableId": "lazurio-doc-guide", "locale": "en", "route": "/en/guide/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/", "sourcePath": "data/v2/docs/en/guide/index.mdx", "title": "Guide", "summary": "Choose a guide to assigning tasks, sharing procedures or connecting tools.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Anna Blazickova", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme" ], "markdown": "
\n

Learn to brief an agent, share a company procedure and check the result. Start with the introduction or choose a specific task below.

\n \"Mattyčus,\n
\n\n\n\nMissing a guide? Tell your agent what you need to do and where you got stuck.\nIf that does not help, contact your team's support." }, { "stableId": "lazurio-doc-guide-modules", "locale": "en", "route": "/en/guide/modules/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/modules/", "sourcePath": "data/v2/docs/en/guide/modules.md", "title": "Modules", "summary": "What a module is, where you find it, how it comes to be, who gets it and where its data lies.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-platform-module-standard-v0-1-20", "lazurio-platform-module-standard-v0-1-21", "lazurio-platform-module-parts-f14", "lazurio-platform-decision-f52", "lazurio-platform-content-sync-v0-1-20", "lazurio-platform-new-module-tile-v0-1-20", "lazurio-platform-texts-v0-1-20", "lazurio-platform-prompt-handoff-v0-1-20", "lazurio-platform-release-v0-1-20", "lazurio-platform-release-v0-1-21-rc-1", "lazurio-platform-marketplace-v0-1-21", "lazurio-marketplace-registry", "lazurio-template-adoption", "lazurio-platform-stack-profiles", "lazurio-platform-register-modules", "lazurio-platform-folder-manual", "lazurio-decision-0234-role-names" ], "markdown": "**A module is one area of your work, such as orders, the website or\nrecipes. It keeps together the process agents follow, the data the work is\nabout, and the app in which you see and change it.**\n\n
\n \n
A module is one area of your work. A process, data and an app in one package. Agents follow the process, people work in the app. The Organization Admin decides who gets the module. Build yours with an agent or from a template.
\n
\n\n## The three parts\n\n| Part | For whom | What it is |\n| --- | --- | --- |\n| **Process** | agents | How the work is done: the steps, rules and instructions agents follow. |\n| **Data** | people and agents | The records and content of the work: orders, the pages of your website, recipes. |\n| **App** | people | The screen where you see and change the data: an overview, a form, a board, a website. A module can start without one. |\n\nUnder the three parts is a repository on GitHub. Changes in a module have a\nhistory and can be taken back, so you can try things without worry. That does\nnot cover records in a database or what an agent sent out, such as an e-mail.\n\n## An example every company has\n\nTake your **website**. The process says how you write texts and which colours\nyou use. The data are the pages, texts and images. The app is the website\nitself and its preview. That is why it is enough to send an agent a screenshot\nand write \"fix this sentence\": the website's module tells the agent where the\ntext lies and how to publish the change.\n\nTwo more examples:\n\n- **Orders:** the process of taking an order, the orders themselves and an\n overview of them.\n- **Finance without an app:** the process and the tables. You add an app when\n you want one.\n\nA module is not a folder. A module without an app still has its process and\ndata, and agents work with them.\n\n## Where you find a module\n\nOpen **Apps**. Under **Workspace** you see every module of your Organization\nthat your Environment can reach, each once. A tile opens the module's app in\nyour browser; the app itself runs in your Environment.\n\nIf a colleague mentions a module you do not see, you may not have access to it.\nAsk your Organization Admin.\n\n## How a module comes to be\n\n**With an agent.** Under **Workspace** in Apps, choose **New module**. Chat\nopens in a new thread with a prepared brief, not sent. You describe what the\nmodule should do, the agent asks about what it still needs and chooses the\ntechnical details itself. It shows you a plan and creates the module only after\nyou confirm it.\n\nWho can do this depends on where the module goes:\n\n- **In an Organization, the Organization Admin creates modules.** Only they see the\n **New module** tile. The module becomes a private repository of the\n Organization.\n- **If you are not the Organization Admin,** describe what you need and\n [ask them](/en/guide/ask-the-admin/).\n- **In your Personal Environment, you create your own.** The same tile is in\n your personal space. The module becomes a private repository on your own\n GitHub account, belongs only to you and does not go into any Organization.\n\n**From a template.** Version 0.1.21, a release candidate on 5 November 2026,\nbrings templates to the **Marketplace** at the bottom of Apps: Mission Control,\nDesign System and Presentations. **Add to Organization** hands a brief to your\nagent, who shows you a plan and prepares a private copy in your Organization.\nThe Organization Admin creates it here too; otherwise your agent prepares a\nrequest for them.\n\nHowever a module comes to be, it is your module. Start with a small first\nversion. A module grows in further requests in Chat.\n\n## How a module changes\n\nWrite what you want changed in Chat. The agent prepares the change and shows it\nto you in the panel on the right. When you are happy with it, write \"publish\".\nNobody has to go to GitHub. [Review and\nPublication](/en/guide/course/review/) explains that last step.\n\n## Who gets a module and when it appears\n\nAn Organization shares its modules by Team. The Organization Admin decides which\nTeams reach a module, in Organization overview or directly on GitHub. A Team's\naccess to a module has a level, one of the Module roles: Module Reader, Module\nContributor or Module Maintainer (decisions 0232 and 0234). A module\nis delivered to an Environment: what is not in the Environment does not show in\nApps, and an agent there cannot read it. The agent can still see its name in the\nOrganization's manifest.\n\nWhat counts is what the Environment actually holds. Whoever has full access to a\nshared Environment works with its modules too, even without their own access to\nthe module. And taking access away does not delete the copy an Environment\nalready has: it stays there, an agent in that Environment can still read it, and\nit only stops updating.\n\nSince version 0.1.20, a module you have been given access to comes by itself.\nLazurio tries to bring it to your Environment when it starts and then every hour,\nso it usually appears in Apps within an hour and nobody has to install anything.\nThat is an attempt, not a guarantee. If your Environment's copy of the\nOrganization's root repository cannot be updated, or GitHub refuses the operation\nor it fails, the module does not arrive and Lazurio tries again in the next round.\nIf a module you expect stays away, ask your Organization Admin.\n\nTwo cases work differently:\n\n- **A Team Environment** does not receive a new module this way. Ask your\n Organization Admin.\n- **A module restricted to Organization Admins** does not arrive by itself, not\n even for them. It is installed separately.\n\nA personal module stays in your Personal Environment.\n\n## Modules, Files and Integrations\n\n| | What it is | What it means for you |\n| --- | --- | --- |\n| **Module** | A shared area of work of your Organization. | It has a history and reaches people by their access. |\n| **Files** | The Documents folder of one Environment: a desk where you hand materials to agents and collect finished files. | It stays in that one Environment and has no change history. |\n| **Integration** | Someone else's app that agents use from outside, such as e-mail or a calendar. | You work with what the connection offers. The app's code is not yours. |\n\nTwo rules of thumb, which are our recommendation:\n\n- What your team should share, or what must outlive one Environment, belongs in\n a module.\n- Build a module when you want your own process and app. Connect an Integration\n when a ready-made app does most of the job.\n\n## Where the data lies\n\nModules differ in where they keep their data. You do not have to choose: the\nagent picks the simplest place that fits, and a module moves on only when real\nuse needs it.\n\n| Where the data lies | When it fits | Example |\n| --- | --- | --- |\n| In the app itself | The module has no records of its own. | A set of presentations |\n| Beside the app, in the same repository | There is a lot of content, it changes now and then and agents edit it. | This documentation |\n| In a data repository of its own | Records change daily and you want history and approval. A change waits until a person publishes it. | Plans in Mission Control |\n| In a database on your Organization's server | Many people write at once, access differs inside the data, or personal data must be deletable. **Decided, not available yet.** | A CRM for a whole sales team |\n\n[Architecture](/en/architecture/) gives the same table with its technical names\nfor IT.\n\n## Frequently asked questions\n\n**If twenty people use a module, are there twenty sets of data?**\nNo. There is one source on GitHub. Each Environment with access keeps a copy,\nand Lazurio updates it regularly.\n\n**Does everyone have their own repository, or is there one for the whole\nOrganization?**\nNeither. The Organization has one root repository and each module has a\nrepository of its own. People work on a copy in their Environment.\n\n**Are these our own modules, or yours?**\nAlways yours. A template is added as your own private copy.\n\n**Is Apps something other than a module?**\nYes. Apps is the page in Lazurio where you find modules. A module is what its\ntile opens.\n\n**Do I have to put a new module into a folder?**\nNo. The agent creates it in its place, and it appears in Apps.\n\n**Can one request build a complete CRM?**\nNot in one go. Ask for a small first version that does one thing well, then add\nto it in Chat.\n\n**Do I have to merge anything on GitHub to change a module?**\nNo. Write the change in Chat, check it in the panel on the right and write\n\"publish\".\n\n**Can an agent reach our existing database or another system?**\nYes, as an Integration, if the system offers a way to connect. IT will find the\ndetails in [Architecture](/en/architecture/#module-or-integration)." }, { "stableId": "lazurio-doc-guide-phone-and-computer", "locale": "en", "route": "/en/guide/phone-and-computer/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/phone-and-computer/", "sourcePath": "data/v2/docs/en/guide/phone-and-computer.md", "title": "Phone and computer", "summary": "When you can control your Environment's chats from the ChatGPT app on your phone or from ChatGPT Desktop on your computer, and what to use when Connections does not offer it.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-decision-register-admin-ai", "lazurio-platform-launchpad-texts-pairing" ], "markdown": "**Settings → Connections** in your Environment shows what it offers you.\nFollow what the page shows. This page explains each case.\n\n## When pairing is possible\n\nPairing connects the ChatGPT app with your Environment through your ChatGPT\naccount\n([decision 0215](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0215--chatgpt-apps-pair-with-an-environment-through-the-chatgpt-account-ssh-stays-a-hidden-option-for-advanced-users)).\nIt works only when all of these hold:\n\n- your Environment uses **your own ChatGPT account**, not the Organization's\n AI pool ([Where your AI comes from](/en/guide/ai-source/), decision 0229);\n- Lazurio has recognized the remote-control feature in your Environment. The\n feature is experimental, so Lazurio checks for it and offers pairing only\n where it finds it;\n- your Organization does **not** use public addresses (decision 0213). There\n pairing shows as unavailable, and you use the web interface instead:\n Launchpad, chat, MausBot and Buddy.\n\nThe ChatGPT app must be signed in with the same account as Codex in your\nEnvironment, ChatGPT Plus or higher.\n\n## Phone\n\nIf **Settings → Connections → Phone** offers **Pair a phone**:\n\n1. Choose **Pair a phone**.\n2. On your phone, open the ChatGPT app, go to **Codex → Add computer** and\n scan the QR code.\n3. Done when the page says **Your phone is paired**.\n\nYour phones are listed under **Paired phones**. **Remove access** ends a\nphone's access at once, for example when you lose it.\n\nIf the page shows a message instead:\n\n| The page says | What it means |\n| --- | --- |\n| **First sign in with your ChatGPT account.** | Sign in at Settings → Getting started → Connect AI first. |\n| **Coming soon for Environments on the Organization's AI.** | Your Environment uses the Organization's AI pool. Pairing needs your own account. Ask your Organization Admin to move you to your own account, or whether your Organization has another way for your phone: see [How to ask the Organization Admin](/en/guide/ask-the-admin/). |\n| **A Team Environment has no phone pairing.** | Shared Team Environments are not paired with a person's phone. |\n| **Pairing is not available right now.** | Pairing is not available in this Environment now, for example in an Organization with public addresses. Use the web interface in your phone's browser, or try again later. |\n\n**Restart Codex** on that page ends the chats running in Codex. Use it only\nwhen nothing important is running.\n\n## Computer\n\nIf **Settings → Connections → Computer** offers **Connect a computer**, the\npage gives you a prompt: copy it, open ChatGPT Desktop, paste it to the agent\nand click **Add to Codex**. If the page does not offer it, work in the web\ninterface in your browser.\n\n**SSH from your devices** on the same page is an advanced option. It is\noffered only where SSH into the Environment is allowed, never in an\nOrganization with public addresses.\n\nIf your Organization reaches its Environments through a tailnet, a computer\nthat connects to it also needs Tailscale and the access your Organization\nrequires: see [Add a new device to the tailnet](/en/guide/tailscale-add-device/)\nand [Device approval](/en/guide/device-approval/)." }, { "stableId": "lazurio-doc-guide-recommended-apps", "locale": "en", "route": "/en/guide/recommended-apps/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/recommended-apps/", "sourcePath": "data/v2/docs/en/guide/recommended-apps.mdx", "title": "Recommended applications", "summary": "Tools for dictation, checking AI limits and keeping a Mac awake.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "wispr-flow", "wispr-context-privacy", "codexbar", "codexbar-permissions", "amphetamine" ], "markdown": "These applications help with dictation, checking AI limits and keeping a Mac\nawake. They are not part of Lazurio. Check your Organization's rules before\ninstalling them.\n\n
\n
\n
\"Wispr
\n

Voice input

Wispr Flow

\n

Dictation that works in text fields across applications. Speak naturally and Wispr Flow turns your speech into polished text.

\n

Useful when: You want to dictate a longer prompt, email, or message quickly instead of typing everything.

\n

Privacy: With Context Awareness enabled, Flow can send surrounding text, app details and conversation history with a dictation. Wispr states that it does not take screenshots. On iPhone, the keyboard sends text around the cursor and has no separate Context Awareness switch. Before using work data, get its processing and permissions approved; on Mac and Windows in sensitive environments, turn off Context awareness in Settings → Data and Privacy. Wispr says the app name and website domain are still sent; Command Mode and Polish also send the text being edited. Check retention and model-training settings separately. What Wispr can read.

\n Download Wispr Flow →\n
\n
\n
\"CodexBar\"
\n

AI limit overview

CodexBar

\n

A free, open-source macOS application that shows AI service usage, available limits, and reset times in the menu bar.

\n

Useful when: Before assigning a longer task to an agent, you want to see how much capacity remains and when the limit resets.

\n

Permissions: Depending on the service, CodexBar may use browser cookies, Keychain or OAuth credentials. Reading Safari cookies may require Full Disk Access. These permissions do more than display a number: get the specific access approved before connecting a work account and choose the least access needed. Never paste cookies or tokens into chat. Permission documentation.

\n Open CodexBar →\n
\n
\n
\"Amphetamine\"
\n

A Mac that stays awake

Amphetamine

\n

A free macOS app from the Mac App Store that keeps the computer from sleeping. When connected to power, it can keep a MacBook running even with the lid closed.

\n

When it helps: A long-running task needs the Mac to stay awake.

\n Open Amphetamine in the App Store →\n
\n
" }, { "stableId": "lazurio-doc-guide-start-here", "locale": "en", "route": "/en/guide/start-here/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/start-here/", "sourcePath": "data/v2/docs/en/guide/start-here.mdx", "title": "How to think about Lazurio and agents", "summary": "What an agent needs to work and how to use shared Knowledgebase procedures.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-architecture" ], "markdown": "A new assistant can write and research, but does not yet know your\nprocedures, abbreviations or expectations.\n\nAn agent needs a similar introduction: what to do, which materials to use\nand how you will judge the result. You do not need a special formula.\nDescribe the task in your own words and correct misunderstandings. Lazurio\nprovides shared materials and rules for this work.\n\n## You set the direction. Your assistant prepares the work.\n\n
\n
\n
👤You

You know your company, the goal and what matters.

\n
Brief and materials →← Draft for review
\n
👤Your AI assistant

Prepares work, asks questions and incorporates feedback.

\n
\n
▤Knowledgebase · a shared notebook

Verified procedures and context for future work. Propose an entry, review it and have it approved under your team's rules.

\n
Collaboration illustrated: brief → draft → review → approved procedure in the shared notebook. Authorized colleagues and their agents can use it when they have access and load it.
\n
\n\nThe human analogy helps with delegation; it is not literal. An agent is not\na person, can make mistakes and does not automatically have your experience\nor access to everything. Here we mean an **agent working on a specific task**,\nnot automatically a long-term personal Buddy or a separate AI Colleague.\n\n## What would you tell a new assistant?\n\nInstead of “Prepare the meeting”, explain what you need:\n\n```text\nI am preparing for a team meeting. Use the attached notes to create a\none-page brief: what is done, what is blocked and what we need to decide.\nKeep it concise for colleagues who know the project. Do not invent missing\nfacts; mark them as questions. Prepare a draft only; do not send it anywhere.\n```\n\n
See an example assistant response

AI · illustrative response: I will prepare those three sections. I will turn a missing deadline into a question rather than guess a date. First, I need the notes to work from.

You: Here are the notes. For each blocked item, add who could help us.

\n\n## Knowledgebase is your shared notebook\n\nYou would give a new assistant a company handbook. In Lazurio,\n**Knowledgebase** serves that purpose: a place for shared knowledge,\nprocedures and context. You do not have to explain everything from scratch\neach time — provided it is recorded correctly, accessible and loaded by the\nagent for the task.\n\n**Chat is the working conversation. Knowledgebase holds what should last.**\n“Remember this” alone is not evidence that a rule was saved for other people.\nAsk to see the actual entry, its location and who can access it. Private\ninformation does not belong in the shared notebook.\n\n```text\nTurn what we clarified into a proposed procedure for our organization's\nKnowledgebase. First check whether a similar procedure already exists.\nShow the proposed changes, where they belong and who has access.\nDo not publish yet. If you cannot access Knowledgebase, tell me.\n```\n\n## Introduce your work through real tasks\n\nYou do not need to document the entire company first. Start with one small\ntask. Give specific feedback, such as “Include a deadline only when the\nsource confirms it”. If the rule will be useful again, prepare a Knowledgebase\nentry. Here, onboarding means supplying context and procedures, not training\nthe underlying AI model.\n\nNext time, refer to the approved procedure and explain only what has changed.\n\nContinue with [First steps with an agent](/en/guide/first-steps/): three short\nexercises from your first brief to reusing a shared procedure." }, { "stableId": "lazurio-doc-guide-tailscale-add-device", "locale": "en", "route": "/en/guide/tailscale-add-device/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/tailscale-add-device/", "sourcePath": "data/v2/docs/en/guide/tailscale-add-device.md", "title": "Add a new device to the tailnet", "summary": "Install Tailscale, enter your Organization's login server, sign in with your Lazurio account and wait for an Organization Admin to approve the device.", "audience": [ "builder", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-environment-access-model-device-approval", "lazurio-agent-manual-device-enrollment", "lazurio-device-node-names", "headscale-project", "headscale-connect-apple", "headscale-connect-android", "tailscale-custom-control-server", "tailscale-machine-names", "tailscale-system-policies", "tailscale-android-package", "tailscale-install-ios", "tailscale-install-android", "tailscale-install-macos", "tailscale-install-windows", "tailscale-install-windows-msi", "tailscale-cli-login-output", "microsoft-powershell-call-operator", "microsoft-windows-terminal-interaction" ], "markdown": "You add a new device to your Organization's tailnet yourself: **install\nTailscale, enter your Organization's login server in it, sign in with your\nLazurio account and wait until the Organization Admin tells you the device\nis approved.** Until then, do not expect the Organization's\nEnvironments to open from it.\nEach device (phone, tablet, computer) is added and approved separately. On\niPhone, Android and Mac the whole procedure is done by clicking in the app.\nWindows needs one line in PowerShell; the pictures show every click, and you\ncan also hand that step to your agent.\n\nIf the device is already in the tailnet and you only cannot connect, follow\n[Reach an Environment through Tailscale](/en/guide/tailscale/).\n\n## Before you start\n\nHave **the address of your Organization's login server** ready. Lazurio runs\nits tailnets on [Headscale](https://github.com/juanfont/headscale), a\nself-hosted server that the Tailscale app signs in to instead of Tailscale's\nown server. The address usually looks like\n`https://headscale..lazurio.io`. Your Organization Admin\ngives you the exact address. Do not guess it:\nwith a different address you sign in to someone else's network, or not at all.\n\nAlso decide what the device should be called: `-`, for example\n`jannovak-iphone` or `jannovak-macbook`. You do not set the name in the app;\nyou only tell it to your Organization Admin (see [Device name](#device-name)).\n\n## Add the device\n\nThe steps follow the official Tailscale and Headscale documentation as of\n3 November 2026. We went through the Android steps the same day in the real\nTailscale app, version 1.104.5, and the pictures come from it. The iPhone and\nAndroid apps change their menus between versions. If you cannot find an item\nunder the name given here, look for a similar option for a custom or\nalternate server.\n\n### iPhone and iPad\n\n1. Install [Tailscale from the App Store](https://apps.apple.com/app/tailscale/id1470499037).\n It works on iOS 15 or later.\n2. Open it, choose **Get Started** and allow the VPN configuration to be\n added. Do not sign in yet.\n3. Tap the profile icon at the top right. Settings open.\n4. If you are not signed in to another tailnet in Tailscale, tap **Log in**.\n Otherwise, tap your signed-in account.\n5. Open the menu at the top right and choose **Use a custom coordination\n server**.\n6. Enter your Organization's login server address and tap **Log in**.\n7. The Lazurio sign-in opens. Sign in with your Lazurio account and return to\n the Tailscale app.\n\nWe do not have our own iPhone pictures yet. Tailscale describes the screens\non [Configure Tailscale clients to use a custom control\nserver](https://tailscale.com/docs/how-to/set-up-custom-control-server).\n\n### Android\n\n1. Install\n [Tailscale from Google Play](https://play.google.com/store/apps/details?id=com.tailscale.ipn).\n It works on Android 8.0 or later.\n2. Open it. Android asks whether Tailscale may set up a VPN connection. Tap\n **OK**.\n\n
\n \"Connection\n
Allow the VPN connection. This does not connect you to any network yet.
\n
\n\n3. Do not tap the large **Log in** button: it leads to Tailscale's own\n server. Tap the gear at the top right.\n\n
\n \"Tailscale\n
Open settings with the gear, not with the Log in button.
\n
\n\n4. In settings, tap **Accounts**.\n\n
\n \"Tailscale\n
\n\n5. Tap the three dots at the top right and choose **Use an alternate server**.\n\n
\n \"Accounts\n
\n\n6. In **Custom control server URL**, enter your Organization's login server\n address and tap **Add account**.\n\n
\n \"Add\n
The picture shows an example address. Enter your Organization's address.
\n
\n\n7. The Lazurio sign-in opens. Sign in with your Lazurio account and return to\n the Tailscale app.\n\n### macOS\n\nTailscale for macOS needs macOS Ventura 13.0 or later.\n\n1. Install Tailscale: the\n [Standalone variant from Tailscale's website](https://tailscale.com/download)\n (which Tailscale recommends), or the Mac App Store variant.\n2. Start the app, go through the onboarding and allow the VPN configuration.\n Do not sign in yet.\n3. Hold the **Option** key (⌥) and click the Tailscale icon in the menu bar.\n Point at **Debug** and, under **Custom Login Server**, choose **Add\n Account…**.\n4. Enter your Organization's login server address and click **Add Account**.\n5. The Lazurio sign-in opens in your browser. Sign in with your Lazurio\n account.\n\nIf you are already signed in to another tailnet in Tailscale, Tailscale also\ndocuments a second way: Tailscale icon in the menu bar → **Settings** →\n**Accounts** tab → down arrow at the bottom left → enter the address → **Add\naccount**.\n\nSteps 3 and 4 are described in the Headscale documentation; we do not have\nour own Mac pictures yet.\n\n### Windows\n\nThe Tailscale app for Windows cannot take a custom login server in its window\n(Tailscale's documentation says so). On Windows you therefore enter the server\nwith **one line in Windows PowerShell**. It is the only command in this guide.\nThe pictures below show every click, and if you prefer, [let your agent do\nit](#let-your-agent-do-it).\n\n1. Install [Tailscale for Windows](https://tailscale.com/download/windows)\n (Windows 10 or later) and finish the installer. **Do not sign in** in the\n Tailscale app: its Log in button leads to Tailscale's own server, not to\n your Organization.\n2. Click **Start**, type **PowerShell** and open **Windows PowerShell**. You\n do not need **Run as administrator**.\n\n
\n \"Illustrative\n
Illustrative mockup, not a screenshot. Open Windows PowerShell with a normal click.
\n
\n\n3. Copy this whole line. Put your Organization's login server in place of\n ``, for example `https://headscale.example.lazurio.io`:\n\n ```powershell\n & \"C:\\Program Files\\Tailscale\\tailscale.exe\" login --login-server=\n ```\n\n Paste it into the PowerShell window with **Ctrl+V** or a right click and\n press **Enter**. Keep the `&` and the quotation marks at the start: without\n the `&`, PowerShell only prints the quoted path instead of running\n Tailscale.\n\n
\n \"Illustrative\n
Illustrative mockup with the example address. The line may wrap in the window; that is fine.
\n
\n\n4. The window writes **To authenticate, visit:** and an address that starts\n with your login server. Hold **Ctrl** and click the address. If nothing\n opens, select the whole address with the mouse, right-click it to copy it,\n and paste it into your browser's address bar. Do not press **Ctrl+C** in\n the window: without a selection it stops the command.\n\n
\n \"Illustrative\n
Illustrative mockup. Your address is different every time.
\n
\n\n5. The Lazurio sign-in opens in your browser. Sign in with your Lazurio\n account and close the browser tab when it is done. Leave the PowerShell\n window open meanwhile.\n6. Back in PowerShell, the window writes **Success.** You can close it. The\n device is now in your Organization's tailnet and waits for approval (see\n [What happens next](#what-happens-next)).\n\n
\n \"Illustrative\n
Illustrative mockup. Success. means the sign-in is finished, not that the device is approved.
\n
\n\nIf PowerShell answers in red that the term is not recognized, Tailscale is not\ninstalled in its usual folder: install it (step 1) and paste the line again.\nIf it only repeats the quoted path, the `&` at the start is missing.\n\nThese pictures are illustrative mockups drawn from Microsoft's and\nTailscale's documentation and from the messages in Tailscale's source; we\nhave not taken them on a real Windows computer yet.\n\n#### Let your agent do it\n\nIf you work with an agent on this Windows computer (ChatGPT Desktop, Codex or\nClaude), copy the prompt below into a new chat and put your Organization's\nlogin server in place of ``. The agent runs the line, reads the\naddress and tells you where to click. Signing in stays with you, and the\nagent cannot approve the device.\n\n```text\nConnect this Windows computer to my Organization's tailnet in Tailscale. The Organization's login server is .\n\n1. Check that Tailscale is installed: C:\\Program Files\\Tailscale\\tailscale.exe exists. If it does not, stop and tell me to install it from https://tailscale.com/download/windows. Do not install it yourself.\n2. In PowerShell run exactly this line, without administrator rights, so that you can read its output while it keeps waiting (for example in a separate window or in the background):\n & \"C:\\Program Files\\Tailscale\\tailscale.exe\" login --login-server=\n3. The output says \"To authenticate, visit:\" and an address. Give me that address as a clickable link and tell me in one or two sentences: open it, sign in with my Lazurio account, then come back to this chat. Do not open, fill in or confirm the sign-in yourself, and never ask me for a password or a code.\n4. When the output says \"Success.\", tell me in plain words that this computer is now in the tailnet of that login server and waits for the Organization Admin's approval. Read this computer's name in the tailnet (tailscale status --json, Self.HostName) and tell me to send it to my Organization Admin together with my login.\n\nRules: do not use an auth key, do not change the Windows registry or Tailscale's policies, leave other Tailscale accounts on this computer as they are, do not turn Tailscale off, and do not try to approve the device. If anything fails, tell me what the window said and stop.\n```\n\n## Device name\n\nTailscale names a device after the system: a computer after its name, a phone\nusually only after its manufacturer or model. The Tailscale app for Android\nhas no setting for the name (checked in version 1.104.5), and Tailscale's\ndocumentation does not describe a clickable name setting for the other systems\neither. So do not rename anything on the device; tell your Organization Admin\nthe name you want. It helps them recognise which device is yours.\n\nThe name has the form `-`:\n\n- `` is your login in lowercase. If your Lazurio account is linked to\n GitHub, it is your GitHub login. If it is not, use the label your\n Organization Admin gives you.\n- `` is a short, stable label such as `iphone`, `ipad`, `pixel`,\n `android`, `macbook` or `windows`. Choose it once and use the same one in\n every tailnet. If you have two devices of the same kind, tell them apart\n permanently, for example `macbook-air` and `macbook-pro`.\n- Only lowercase letters, digits and hyphens, without the Organization's name.\n\nDo not rename a device that is already approved just to follow this rule. The\nname is part of its approval, and an Organization Admin has to prepare the change. The name\nis only a label and grants no access.\n\n## What happens next\n\nAfter you sign in, the device is registered in the tailnet and **waits for\napproval by the Organization Admin**. Under Lazurio's rules, the Organization\nAdmin approves each device for their Organization, and approval for one\nOrganization does not open another. How the approval is carried out today is\ndescribed in [For the Organization Admin](#for-the-organization-admin).\nThis guide does not promise that a device which is not approved yet is\nblocked: the Organization's network rules decide that, and the Organization\nAdmin and the network operator manage them.\n\n**You are waiting when** the Organization's tailnet is in Tailscale's account\nlist and the app may show that it is connected, but the addresses of the\nOrganization's Environments do not open.\n\n**You are approved when** the Organization Admin tells you so and the addresses of the\nEnvironments you have access to open. Check with Tailscale on and the\nOrganization's tailnet chosen (see [Reach an Environment through\nTailscale](/en/guide/tailscale/)).\n\n### If nothing happens\n\n- **Sign-in ended with an error.** Your Lazurio account may not be allowed\n into this Organization's tailnet yet, or you entered a different server\n address. Check the address and write to your Organization Admin.\n- **The tailnet is missing from the account list.** The sign-in did not\n finish. Go through the steps again from entering the server.\n- **The device is still waiting.** Your Organization Admin may not know about\n it. Write to them as described in the next section.\n- **The device appeared in the tailnet under another name or with a `-1`\n suffix.** That is normal. Do not delete anything or sign in again yourself;\n write to your Organization Admin.\n\n### Ask your Organization Admin for approval\n\nWrite to your Organization Admin and include:\n\n- your login;\n- the device name you want (`-`);\n- the kind of device (iPhone, Android, Mac, Windows);\n- the login server address you entered;\n- when you signed in.\n\nThe Organization Admin approves a device only when they know you are the one asking. Write\nto them through a channel they recognise you by.\n\n## For the Organization Admin\n\nThe Organization Admin approves each device. An approval is a\nrelationship between a specific device, its owner's account and your\nOrganization. On a tailnet that serves more than one Organization, each\nOrganization approves separately.\n\n**How it works today (as of 5 November 2026).** The Organization Admin\napproves the exact device and the Environments it may reach through the\nmanaged procedure of the network operator, who runs the server of the tailnet.\nThat change is reviewed and deployed before the device can reach anything new.\nSeveral waiting devices can go in one batch, so approval can take longer than\na few minutes. Dashboard does not list waiting devices yet: agree with the\nperson directly which device is theirs, and ask your network operator how to\nsubmit the approval.\n\n**Target.** Lazurio's access model (decision 0192) describes a registered\ndevice that reaches nothing until the Organization Admin approves it in Dashboard, with a\nservice on the Conglomerate Host that applies the approval within tens of\nseconds. That is being built (`issue-2026-11-03-002`). This guide does not\nclaim that it already runs for your Organization.\n\nBefore approving, check:\n\n1. that the device's owner is asking for it, through a channel you trust;\n2. that the device in the tailnet belongs to that person's account;\n3. the device name. A device arrives with the name its system gave it, and\n the person cannot change it by clicking in the Tailscale app. Agree with\n them which device it is, and tell them the name you approve it under. This\n guide does not yet describe how to set the name during approval;\n4. that it is a fresh registration the person actually made. Do not approve\n a device you do not recognise.\n\nA person with Windows enters the login server with one PowerShell line, or\nlets their agent do it (see [Windows](#windows)). A clickable way for Windows\nis still a gap (`issue-2026-11-03-003`).\n\nWhen a person loses a device or stops using it, have its approval removed\nthe same way it was granted. The rules for who may approve and what an approved device\ncan reach change through a reviewed change to the Organization's\nconfiguration, not by approving a single device." }, { "stableId": "lazurio-doc-guide-tailscale", "locale": "en", "route": "/en/guide/tailscale/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/tailscale/", "sourcePath": "data/v2/docs/en/guide/tailscale.md", "title": "Reach an Environment through Tailscale", "summary": "Turn on Tailscale, choose the right network and troubleshoot connection problems.", "audience": [ "builder", "decision-maker", "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-environment-network-decisions", "lazurio-environment-access-model", "lazurio-platform-decision-f41", "lazurio-platform-release-v0-1-8-rc-41", "headscale-project", "tailscale-fast-user-switching", "tailscale-install-windows", "google-chrome-secure-dns", "tailscale-android-private-dns-request", "webkit-storage-cap" ], "markdown": "If an Environment's address will not open, first check that your device\nis connected to the right private network.\n**Turn on Tailscale, choose the tailnet the Environment needs and open the\naddress again.** If your browser shows the Lazurio page **Turn on Tailscale**,\nit redirects automatically once the Environment responds. If it\nstill does not open, see [Still not working?](#still-not-working)\n\n## Why Tailscale\n\nA **tailnet** is a private network of devices connected with\n[Tailscale](https://tailscale.com/). By default, the apps of a Remote\nEnvironment, such as its Launchpad, Chat or Automate, have addresses that work\nonly inside the tailnet that serves them. No public route leads to them: outside that tailnet\nyour browser cannot open them, and usually cannot even find the address. It\nshows an error such as \"This site can't be reached\".\n\nAn Organization can switch to public addresses instead (decision 0213, partly\ndeployed). Its people then need no tailnet, and this page does not apply to them:\nsee [Device approval](/en/guide/device-approval/#when-you-need-no-device-in-the-tailnet).\n\nTo reach an Environment, your device needs three things:\n\n1. the Tailscale app, turned on;\n2. the right tailnet chosen in it;\n3. access for this device to that tailnet, which your Organization Admin\n arranges.\n\nLazurio runs its tailnets on [Headscale](https://github.com/juanfont/headscale),\nan open-source server that the Tailscale app connects to. That is why the\nTailscale app names such a tailnet by the address of its server, for example\n`headscale.example.com`, rather than by the name of a company. The Lazurio page\n**Turn on Tailscale** shows the exact name you need.\n\n## Turn on Tailscale and choose the tailnet\n\n### macOS\n\n1. Click the Tailscale icon in the menu bar.\n2. Turn on the **Tailscale** switch.\n3. Point at your account and choose the tailnet in the list.\n\n### Windows\n\n1. Right-click the Tailscale icon at the bottom right of the taskbar. If you\n do not see it, select the up arrow (**^**) first.\n2. Point at your account and choose the tailnet in the list.\n3. If Tailscale is not connected, choose **Connect**.\n\n### iPhone and iPad\n\n1. Open the Tailscale app.\n2. Tap your account picture at the top right, then your account, and choose\n the tailnet in the list.\n3. Turn on the Tailscale switch.\n\n### Android\n\n1. Open the Tailscale app.\n2. Tap the account icon at the top right, then your account, and choose the\n tailnet in the list.\n3. Turn on the Tailscale switch.\n\nIf the tailnet is not in the list, this device has not joined it yet. Add it\nwith [Add a new device to the tailnet](/en/guide/tailscale-add-device/).\n\n## More than one tailnet\n\nIf you work for more than one Organization, their Environments may be in\ndifferent tailnets. The Tailscale app keeps one account active on a device at a\ntime, so while one tailnet is active, the Environments of another do not open.\nSwitch whenever you move between them. Switching does not ask you to sign in\nagain unless the device's key for that tailnet has expired.\n\n## Still not working?\n\nWhere your browser keeps the Lazurio page (see\n[When Lazurio shows its own page](#when-lazurio-shows-its-own-page)), it shows\nthat page whenever the address cannot be reached, for any reason, not only when\nTailscale is off. With Tailscale on and the right tailnet chosen, check these\ncauses in order:\n\n1. **This device is not in the tailnet, or not approved yet.** If the tailnet\n is missing from your account list, the device has never joined it. If it is\n there and active but no Environment of the Organization opens, the device\n may not have access yet. Follow\n [Add a new device to the tailnet](/en/guide/tailscale-add-device/) and ask\n your Organization Admin to approve it. Lazurio's approved access model has an Organization Admin approve each device\n for each Organization (decision 0192 of 6 October 2026); how a device gets\n in today can still differ between tailnets.\n2. **The Environment does not answer.** If other Environments in the same\n tailnet open, this one may be stopped or restarting. Wait a few minutes and\n try again. If it does not come back, tell the Organization Admin of the\n Organization it belongs to. For\n your personal Remote Environment, contact your team's support.\n3. **Your browser uses its own secure DNS.** A browser can look up addresses\n with its own DNS provider instead of your device. That provider does not\n know the tailnet's names. When Chrome's **Use secure DNS** is set to a\n provider you chose, Chrome does not fall back to your device's ordinary\n lookup. Turn the setting off, or select your current service provider.\n Other browsers have similar settings.\n4. **Android uses its own Private DNS.** If **Private DNS** is set to a\n provider's hostname, Tailscale's names may not work; a user has reported\n this conflict to Tailscale in a public issue. As a troubleshooting step,\n set Private DNS to **Off** or **Automatic** in your phone's network\n settings and try again.\n5. **There is no internet connection.** Tailscale needs the internet. If other\n websites do not open either, fix the connection first.\n\n## When Lazurio shows its own page\n\nOnce you have opened the Launchpad, Chat or Automate of an Environment that\nruns Lazurio Platform v0.1.8-rc.41 or later, the browser keeps the Lazurio page\n**Turn on Tailscale** for that address. When\nthe address cannot be reached later, the browser shows that page at the same\naddress instead of its own error. The page names the Environment, its\nOrganization and the tailnet, and continues to the address by itself once the\naddress answers.\n\nYou still see the browser's own error in these cases, and the steps above\napply all the same:\n\n- the first time you open an Environment in a browser, and in private windows;\n- for apps of modules, which have addresses of their own;\n- in Safari, after seven days of Safari use without interacting with the\n Environment's pages, when Safari removes the website data it keeps;\n- after 30 days in which this browser has not reached the Environment. The page\n then removes itself, so a renamed or removed Environment leaves nothing\n behind.\n\nThe page belongs to the Environment's own address and talks only to it. It\nchecks for a new version whenever you open the Environment, updates itself, and\nremoves itself when the Environment stops offering it. Lazurio Platform added\nthe page in release candidate v0.1.8-rc.41 (8 October 2026). An Environment\nshows it once it runs that version or a later one." }, { "stableId": "lazurio-doc-tool-connections", "locale": "en", "route": "/en/guide/tool-connections/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/tool-connections/", "sourcePath": "data/v2/docs/en/guide/tool-connections.mdx", "title": "Connect your tools", "summary": "Connect email or a calendar and check what the agent can access.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-06", "reviewedAt": "2026-11-06", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-external-apps", "composio-authentication", "mcp-local-servers", "google-third-party-connections" ], "markdown": "export const walkthrough = {\n \"appLabel\": \"What would you like to connect?\",\n \"methodLabel\": \"Connection method\",\n \"demo\": \"Interactive example\",\n \"title\": \"Your chat with AI\",\n \"you\": \"You · copy this prompt\",\n \"assistant\": \"AI · example response\",\n \"next\": \"Next step →\",\n \"back\": \"Back\",\n \"restart\": \"Start again\",\n \"copy\": \"Copy prompt\",\n \"copied\": \"Prompt copied. Paste it into your AI chat.\",\n \"failed\": \"Copy failed. Copy the selected text manually.\",\n \"steps\": [\n \"Connect\",\n \"Verify\",\n \"First task\"\n ],\n \"manual\": \"Your part\",\n \"note\": \"Scripted example: no accounts are connected and nothing is sent. Your assistant must verify available tools and permissions; its replies may differ.\",\n \"apps\": [\n {\n \"id\": \"gmail\",\n \"name\": \"Gmail\",\n \"purpose\": \"Find important messages and prepare a summary without sending anything.\",\n \"test\": \"In the connected Gmail account, find up to 5 messages from the past 7 days and summarize their subjects and main points. Do not open attachments, change read status, delete or send anything. If the available tool cannot do this without changes, stop and explain why.\"\n },\n {\n \"id\": \"calendar\",\n \"name\": \"Google Calendar\",\n \"purpose\": \"See your day at a glance. Creating invitations requires separate approval.\",\n \"test\": \"In the connected Google Calendar account, list tomorrow's events from my primary calendar. State the date and time zone used. Do not create or edit events or send invitations.\"\n }\n ],\n \"connectStart\": \"I want to use \",\n \"connectEnd\": \" in this AI chat. First verify which tools and connections you actually support here. \",\n \"methods\": [\n {\n \"id\": \"mcp\",\n \"name\": \"Approved local MCP server\",\n \"prerequisite\": \"You need a trusted MCP server and a compatible client. Executor manages MCP servers in Lazurio; check the supported route for older versions. MCP itself does not grant account access.\",\n \"connect\": \"I want to use an approved local MCP server. First ask for my AI client, operating system and recommended server. In Lazurio, check the Executor route; in another client, follow that client's documentation. Verify the official source or reviewed version; explain installation, permissions and credential storage. Do not install anything until I approve the specific proposal. Preserve existing configuration and do not put secrets in chat.\",\n \"reply\": \"First we select a compatible server and verify its source. Installation and authorization follow approval. We do not consider the connection ready until the client lists real available tools.\",\n \"action\": \"Approve the specific server and procedure. Add it using your client's documentation without replacing other settings. Authenticate as instructed and reload the client if required. Running locally does not mean data never leaves the computer.\"\n },\n {\n \"id\": \"composio\",\n \"name\": \"Composio\",\n \"prerequisite\": \"In Lazurio, use Composio only where the Organization or Personal Environment user permits it. Composio holds credentials and processes call content. Check permissions and data-processing terms before connecting a work account. An account or prompt alone does not make Composio tools available to your AI client.\",\n \"connect\": \"I want to use Composio. If you do not have its tools, say so: ask for my AI app and version and guide me to its supported setup instructions. If you have them, initiate connecting my account and show the real authorization link returned by the tool. Explain the requested permissions first. Do not ask for passwords or tokens in chat.\",\n \"reply\": \"First I will check whether Composio is available. If configured, I can request an account connection. You complete sign-in and permission approval; a prompt does not grant access.\",\n \"action\": \"In your real AI app, open the authorization link returned by the tool and check the domain and account. Read the permissions. If they are broader than needed, clarify them before proceeding. Then return to chat.\"\n },\n {\n \"id\": \"plugin\",\n \"name\": \"Built-in connection\",\n \"prerequisite\": \"This option illustrates connections in a standalone AI app. Do not create new ChatGPT or claude.ai connectors in Lazurio; agents do not use ChatGPT apps in an Environment unless your Organization allows them. Availability depends on the app, plan and administrator settings.\",\n \"connect\": \"I want to use my AI app's built-in connection. If you do not know my app and plan, ask first. Show verified steps in its app directory or settings and explain permissions. If unavailable, say so; do not switch to another service without approval.\",\n \"reply\": \"First we need to verify your AI app and whether the connection is available. You install the add-on and sign in through that app. Different connections support different operations.\",\n \"action\": \"Check the add-on's publisher and capabilities in your AI app's directory. Connect the correct account, approve appropriate permissions and make the connection available in chat following the app's instructions.\"\n }\n ],\n \"verify\": \"Check the current connection state. State which account you are using if the tool can safely identify it, and which operations are actually available. Do not reveal credentials. Do not change or send anything. If the connection or permissions are missing, do not claim success.\",\n \"verifyReply\": \"Verification must come from a tool result, not an earlier chat response. If the account is unclear or permissions are insufficient, resolve that first. Then try a small read-only task.\",\n \"testReply\": \"The assistant should return a result from the connected app or explain exactly why it cannot. Compare the result with the app. Approve sending messages, changing events or other writes separately.\"\n};\n\nConnect AI to your email or calendar. Choose an app, walk through the example chat and copy the prompt into your assistant.\n\n\n\n## Before you start\n\nHave your AI app name, plan and intended account ready. Start with test\nor non-sensitive data.\n\n**Follow your Organization's rules in Lazurio.** Choose new connections\nusing the [connected-app standard](/en/environment-app-connections/).\nComposio is an option under that standard's conditions. Built-in connectors\nare also shown for standalone AI apps; this example does not approve a new\nprovider for work data.\n\n## If the connection fails\n\nCheck the account, plan availability, administrator restrictions and authentication state. A prompt cannot supply a missing connection or MCP server. Never paste passwords, tokens or sensitive diagnostic output into chat.\n\n## Revoke access\n\nDisconnect the account in the chosen integration service or AI app and check third-party permissions in your Google account too. For MCP, disable the server in your client and revoke its provider access according to the authentication method. Closing a chat does not revoke permissions.\n\n## Sources and example scope\n\nUse this example to request a connection and check that it works. Exact setup steps depend on your AI app and plan; check that app's documentation.\n\n- [Composio: authentication and connected accounts](https://docs.composio.dev/docs/authentication)\n- [MCP: connect local servers](https://modelcontextprotocol.io/docs/develop/connect-local-servers)\n- [Google: manage third-party connections](https://support.google.com/accounts/answer/13533235)" }, { "stableId": "lazurio-doc-guide-work-tips", "locale": "en", "route": "/en/guide/work-tips/", "canonicalUrl": "https://documentation.lazurio.ai/en/guide/work-tips/", "sourcePath": "data/v2/docs/en/guide/work-tips.md", "title": "Tips for working", "summary": "Assign work in the browser and review the result.", "audience": [ "decision-maker", "builder", "agent" ], "updatedAt": "2026-10-24", "reviewedAt": "2026-10-24", "reviewOwner": "Anna Blazickova", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-collaboration-model", "lazurio-external-apps", "openai-browser" ], "markdown": "## When an agent needs to work on the web\n\nWith **Browser Use**, an agent can open a website, read a page, click and\nfill forms. Ask for it when the task needs work on the site, not just a list\nof links. Your AI tool provides this feature, not Lazurio.\n\n
\n \n \"Illustrative\n \n
AI-generated mockup, not a screenshot: the task is on the left, the website\non the right. The site and details are fictional; the real interface may\ndiffer. The Czech prompt asks for contact details without sending anything.\nClick to enlarge.
\n
\n\n## Get started in ChatGPT\n\nIn the ChatGPT desktop app, chat and the built-in browser can appear side by side.\nOpen it with **New tab** and a URL, or with **Cmd + T** on Mac\n(**Ctrl + T** on Windows). **Cmd + Shift + B** (**Ctrl + Shift + B** on\nWindows) shows or hides the tabs beside the chat. Use **`@Browser`** in your request\nand select the suggested browser mention. Do not expect the same interface\nin Codex CLI or the IDE extension.\n\n1. **Give a URL and a goal.** What should the agent find or prepare?\n2. **Set boundaries.** What may it read, and what must it not change or submit?\n3. **Watch the open page.** Check the website and requests for access.\n4. **Sign in yourself.** The built-in browser has its own profile; your regular sign-in is not automatically shared.\n5. **Verify the result.** Ask to see the source or prepared form.\n\n## Prompt: find information on a website\n\nCopy this into your chat and replace the bracketed placeholders.\n\n```text\n@Browser Use the built-in browser to open [website URL].\nFind [what I need to know] on the page.\nWork directly with the open page, not just search results.\nDo not submit anything, make purchases or change settings.\nFinish with a summary and links to the pages you used.\nIf Browser Use is unavailable, say so. Do not pretend to operate the page.\n```\n\n## Prompt: prepare a form without submitting it\n\n```text\n@Browser Open [website URL] and help me prepare [form name].\nFirst inspect the fields and tell me which information you need.\nIf sign-in is required, pause and let me sign in myself.\nFill only the information I provide for this task.\nBefore submission, stop and show me the completed form for review.\nDo not submit without my explicit approval for that submission.\nDo not ask for passwords or verification codes in chat.\n```\n\n## Steer the agent\n\nBe specific, for example: **“Use the currently open tab. Show me the Contact\nsection and do not click anything yet.”** If the interface offers page comments,\nmark the relevant area directly. If a tool is unavailable, ask about supported\noptions; a prompt alone does not install a missing tool.\n\n:::note[Keep in mind]\nAccess to a website is not approval for every action. Page content can contain\nmisleading instructions and should not override your request. Approve sensitive,\ndestructive and publishing steps separately. Never put passwords or secrets\nin an ordinary chat.\n:::\n\nSource for controls and availability: [OpenAI — Browser](https://learn.chatgpt.com/docs/browser).\nThe interface may change with the app version and workplace settings.\n\n## Delete an agent thread\n\nIn the ChatGPT desktop app, permanent deletion of a thread is offered only in\n**Codex** mode:\n\n1. At the top left, switch the selector from **ChatGPT** to **Codex**.\n2. Right-click the thread in the sidebar.\n3. Choose **Permanently delete**.\n\nIn ChatGPT mode the thread menu only offers **Archive**. An archived thread\nstays stored; it is not deleted. Observed on 9 October 2026 in the ChatGPT app\nfor Windows; the interface may differ in other app versions." }, { "stableId": "lazurio-doc-how-it-works", "locale": "en", "route": "/en/how-lazurio-works/", "canonicalUrl": "https://documentation.lazurio.ai/en/how-lazurio-works/", "sourcePath": "data/v2/docs/en/how-lazurio-works.md", "title": "How Lazurio works", "summary": "Who assigns work, how an agent prepares a draft and who approves publication.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-05", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "In Lazurio, you give an agent a task and the materials it needs, then review\nthe result. The agent may prepare a document, an application change or other\nwork. Publishing or deploying that result requires approval from someone\nauthorized to make the decision. The agent cannot authorize itself.\n\nThe terms below describe the older source model. For current Environment,\nBuddy and Apps names, see the [glossary](/en/guide/glossary/). What a module is\ntoday is explained in [Modules](/en/guide/modules/), and how the parts fit\ntogether in [Architecture](/en/architecture/).\n\n## Five useful concepts\n\n**Principal** is the person or longer-lived AI colleague for whom work is\nbeing done. The principal holds real permissions and the last word.\n\n**Task agent** is the active tool session. It works for the principal and has\nno independent authority. It can propose and prepare; a prompt does not make it\nan administrator.\n\n**Organization** is one company's repository and access boundary. In the\ndocumented model it maps to a GitHub organization and a separate repository\nroot. Several Organizations can be mounted on one machine, but that machine\nremains one shared trust domain rather than a set of isolated operating-system environments.\n\n**Workspace module** is an application or bounded work area inside an\nOrganization. It has its own rules for running, testing and deployment.\nYou can change it or restore a previous version independently.\n\n**Personalspace** is private to one principal. It is not an organizational\ncollaboration store and is never a shortcut for moving company data across\naccess boundaries.\n\n## From request to published result\n\n1. **Scope:** identify the Organization, module and intended outcome.\n2. **Authority:** use the principal's live access; do not invent permissions\n in prose.\n3. **Context:** load only the repositories and tools needed for the task.\n4. **Draft + evidence:** make the work reversible and editable, commonly on a\n Git branch; run checks and gather review evidence as the Draft changes.\n5. **Decision:** an authorized principal approves or rejects the exact result.\n6. **Publication:** merge, deploy, send or otherwise make it effective.\n7. **Closeout:** update the source of truth, record what remains and clean\n temporary workspaces.\n\nPreparing a draft can already transfer data. The diagram shows approval of\nthe result; it does not mean that all preceding work stays on your machine.\n\n
\n \n \n \"A\n \n
The Agent prepares; it does not self-authorize. Lazurio calls the identity responsible for the decision the Principal.
\n
\n\nGit provides the clearest mechanical version of this flow. A task agent with\nwrite access may push a branch and open a pull request; at that point the\nsource has already reached GitHub, but the protected branch has not changed.\nBranch rules, checks, reviews and merge permission can then block publication.\nEmail, chat and other providers need their own controls. Where a provider\noffers no equivalent restriction, explicit authorization remains a process rule.\n\n## Source of truth, not one giant AI database\n\nKeep each kind of material in its designated place:\n\n- code in repositories;\n- plans in the Organization's Mission Control;\n- company knowledge in its Knowledgebase;\n- email and other service data in the original applications, accessed through approved connections.\n\nThe agent loads what the task needs. You do not have to copy everything into\none AI database. Change access in the system that manages it: revoke a\nrepository permission or an app credential. Renaming a role in a document\ndoes not restrict anything by itself.\n\n## What runs today\n\nThe setup described in the linked source revision uses a source checkout with Git and Bun. It\ncontains Launchpad, CLI/Core v0, Doctor, operating manuals and the contracts\nused by connected Organizations and modules. CLI v0 is experimental. A\npackaged CLI and automatically generated non-Git root are future targets.\n\nThe agent client sends model requests to the selected provider under their\nrespective terms. Dashboard, hosted team workspaces and per-owner Resident/Buddy\nservices are optional services, not hidden parts of every installation. The\n[IT briefing](/en/it-administrators/) explains what a concrete deployment must\nprove." }, { "stableId": "lazurio-doc-overview", "locale": "en", "route": "/en/", "canonicalUrl": "https://documentation.lazurio.ai/en/", "sourcePath": "data/v2/docs/en/index.mdx", "title": "Lazurio documentation", "summary": "First steps, practical guides and deployment information for Lazurio.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "In Lazurio, people work with AI agents using shared materials. Procedures,\nplans and applications stay where the team can find them and review changes.\n\nIt builds on GitHub, which can hold tasks, documentation and decisions as well\nas code. History shows who changed what; permissions control who can read, edit\nand approve the work. You do not need to move accounting, email or\nevery other existing service into GitHub.\n\n
\n \n \n \"Company\n \n
The business remains more than GitHub. Lazurio brings into it the work that benefits from versioning, access control and review.
\n
\n\nThe agent works with the materials and tools available for the task. It\nprepares a draft, checks it and presents it for review. You define the goal;\nan authorized person decides whether to publish or deploy the result.\n\n
\n \n \n \"People\n \n
GitHub is the context for the whole loop, not a step in it. People direct and authorize; Task Agents prepare the editable work between those decisions.
\n
\n\n## What Lazurio is today\n\nThe version described in the linked sources runs from source with Git and Bun. It includes\nLaunchpad, diagnostics, an experimental CLI v0 and the operating contracts used\nby connected Organizations and modules. A simple packaged installation is a\ntarget, not a released distribution.\n\nYou choose the AI model and client separately. Lazurio itself is not a\nmanaged SaaS service or a universal security sandbox for AI tools. Review\nthe selected providers' terms before deployment.\nThe [security and control evidence](/en/public-evidence/) shows where those claims\ncome from and what they do not prove.\n\n## Browse the documentation\n\nIf you are new to Lazurio, open the Guide. The other sections cover technical\nrequirements, access and operations.\n\n\n\nLazurio is currently source-available under\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md).\nSee the [security and control evidence](/en/public-evidence/#product-form-and-maturity) for the\nlicense, maturity and assurance details relevant to an approval decision." }, { "stableId": "lazurio-doc-it-administrators", "locale": "en", "route": "/en/it-administrators/", "canonicalUrl": "https://documentation.lazurio.ai/en/it-administrators/", "sourcePath": "data/v2/docs/en/it-administrators.md", "title": "A ten-minute IT briefing", "summary": "An IT checklist for access boundaries, provider terms and publication approval before deployment.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "Use this briefing to prepare a Lazurio pilot and decide what the operator\nmust demonstrate before deployment. Lazurio uses Git repositories for company\nmaterials and change history. Agents prepare drafts; publication is approved\nseparately. GitHub, the operating system and connected services still control\naccess.\n\nThe setup described in the linked source revision runs from source with Git and Bun. It\nincludes Launchpad, diagnostics, operating contracts and an experimental CLI\nv0. It is not a vendor-managed AI service, a stable packaged installer or an\nadditional sandbox around the selected agent client.\n\nBefore approval, identify **the account, machine, Organization, tool and\navailable data**. Separately verify who may publish the result.\n\n![Lazurio deployment and data-flow overview](/diagrams/lazurio-data-flow.svg)\n\nThe diagram is a reference model. Optional hosted services are separate\nservices and belong in the inventory only when a deployment enables them.\n\n## Decision snapshot\n\n| Item | Current public position |\n| --- | --- |\n| Product form | Developer-operated source checkout using Git and Bun. A packaged installation is a future target. |\n| Runtime maturity | Launchpad, Doctor and selected module flows work today; CLI v0 remains experimental. |\n| License | Source-available under [FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md), with Apache 2.0 applying to each published version after two years. |\n| Assurance | No certification, universal service level, retention period or deployment topology is claimed. Support and hosting terms belong to the concrete deployment. |\n\nSee [security and control evidence](/en/public-evidence/) for the license,\nsource links and limits of these claims.\n\n## The short version\n\n| Area | Lazurio's operating model | What IT should verify |\n| --- | --- | --- |\n| Identity | The signed-in principal supplies authority; a task agent has no independent rights. | The account, repository membership and machine owner are correct. |\n| Company boundary | One company maps to one Organization and GitHub access boundary. One machine remains one trust domain. | Only intended repositories are mounted; use separate machines or equivalent isolation when companies must not share an OS boundary. |\n| Working context | Work begins in checked-out source and explicitly enabled tools. | Endpoint protection, local data scope and provider terms meet policy. |\n| Publication | Agent output stays editable until an authorized merge, deployment, send or provider action. | Branch rules, reviews and provider permissions enforce the intended gate. |\n| Integrations | Connections are locally curated and separately revocable; official MCP or CLI paths are preferred. | Every provider, OAuth scope, owner, data path and revocation procedure is accepted. |\n| Evidence | Git and provider records can show who changed what, but coverage depends on the tools actually used. | Required endpoint, model, app and deployment logs exist and have named retention. |\n\n## What data can be reached?\n\nAccess depends on the account, machine, repository permissions, AI client and\nenabled tools. Check these five areas for your deployment:\n\n1. Git repositories and teams visible to the operating identity.\n2. Local files placed inside the active workspace or readable by the client.\n3. External applications enabled through an approved MCP server, CLI or\n browser workflow.\n4. The agent client, model provider and any hosting provider used by modules.\n5. Optional hosted Lazurio services such as Dashboard, a hosted team workspace\n or a per-owner Resident/Buddy service.\n\nAn integration existing in the ecosystem is not evidence that it is enabled.\nAsk for a live list with provider, scopes, owner and revocation instructions.\n\n## Where enforcement lives\n\nLazurio does not turn policy prose into a universal technical restriction.\nControls remain with the system that owns the capability:\n\n| Action | Effective control |\n| --- | --- |\n| Read a local file | OS permissions, workspace selection and any client sandbox. A readable file may be sent to the model provider as task context. |\n| Push a branch or open a pull request | GitHub write permission. This is reviewable Draft work, but the source has already reached GitHub. |\n| Merge or deploy an exact revision | Branch rules, required checks, reviews, merge rights and the module's deployment gate. |\n| Create or send something in an external provider | That provider's credential, scopes and confirmations. A provider draft may already transmit data; where no provider-enforced restriction exists, explicit authorization remains a process control. |\n\nAn agent prepares the change. Publication requires both the account's\npermission and approval from the person responsible for that decision.\n\n
\n \n \n \"A\n \n
The Agent prepares; it does not self-authorize. Lazurio calls the identity responsible for the decision the Principal.
\n
\n\n## Minimum approval package\n\nBefore production use, ask for:\n\n- the Organization, repository and enabled-service inventory;\n- named identities, GitHub team grants and offboarding owners;\n- the endpoint protection and local-data baseline;\n- the selected agent client, model provider and data-processing terms;\n- integration scopes, credential custody and revocation procedures;\n- branch protection and provider-specific publication authority;\n- logs, retention, backup, deletion, incident response and rollback; and\n- a bounded pilot that proves both the normal path and meaningful denials.\n\nUnknowns should become implementation issues, not security claims.\n\n## Suggested decision\n\nApprove a scoped pilot when the identities, repositories, endpoint boundary,\nproviders, integrations and action-by-action gates are concrete and testable.\nA source-checkout pilot carries different support and change-control risk from\na managed product. Continue with [data access and\nsecurity](/en/data-access-security/) and [deployment and\noperations](/en/deployment-operations/) before approving production use." }, { "stableId": "lazurio-doc-copilot-comparison", "locale": "en", "route": "/en/lazurio-vs-microsoft-copilot/", "canonicalUrl": "https://documentation.lazurio.ai/en/lazurio-vs-microsoft-copilot/", "sourcePath": "data/v2/docs/en/lazurio-vs-microsoft-copilot.md", "title": "Lazurio vs Microsoft Copilot", "summary": "Compare the work, access and administration each tool requires.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-05", "reviewedAt": "2026-11-05", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "microsoft-copilot-architecture", "microsoft-copilot-data-protection", "microsoft-copilot-privacy", "microsoft-copilot-requirements", "microsoft-copilot-extensibility" ], "markdown": "The choice depends on the work you want AI to do and who will manage it.\nMicrosoft Copilot mainly assists with work in Microsoft 365. Lazurio focuses\non company repositories and connected tools, including change review and\napproval. An organization may use both.\n\nPermissions matter in either case. Copilot uses work data available to the\nsigned-in Microsoft 365 user. An agent in Lazurio works with selected\nrepositories and tools it can actually access.\n\nMicrosoft has renamed Microsoft 365 Copilot to Microsoft Copilot and\nMicrosoft 365 Copilot Chat to Microsoft Copilot Chat. Some licenses,\nexperiences and linked pages, such as the extensibility documentation, still\nuse the earlier name during the transition. Microsoft product facts below come\nfrom current Microsoft Learn documentation. Lazurio positioning and the\nrecommendations are our assessment.\n\n## Side-by-side\n\n| Decision area | Microsoft Copilot | Lazurio |\n| --- | --- | --- |\n| Primary purpose | AI assistance inside the Microsoft 365 productivity environment. | Prepare, review and approve versioned work across repositories and tools. |\n| Natural context | With a Premium license, Microsoft Graph and the user's permitted Microsoft 365 content. Copilot Chat (Basic) and Microsoft 365 Copilot (Basic) ground in web data, plus content the user supplies or a pay-as-you-go agent. Configured agents and connectors add more. | Selected Organization repositories, local workspace context and individually approved external tools. |\n| Permission foundation | The signed-in user's Microsoft 365 permissions, identity controls and service boundary. | The signed-in principal's GitHub/provider permissions and machine-scoped integrations; prompts do not grant authority. |\n| Typical output | Answers, summaries, drafts and actions in Microsoft applications and Copilot experiences. | Changes, plans, reference material and app actions prepared for review and approval. |\n| Administration | Microsoft-administered tenant services, licensing, Purview, Entra and Microsoft 365 administration. | Organization-owned Git repositories, devices, module requirements and each provider's administration. |\n| Extensibility | Plugins: installable packages that can include declarative agents, skills, and configuration or references for Copilot connectors and MCP servers. | Modules, reusable agent instructions, MCP servers, official CLIs and browser workflows under local curation. |\n| Deployment | Microsoft-managed cloud service with published tenant requirements. | Framework and module deployment chosen per Organization; current public model begins with local checkouts and independently deployed modules. |\n| Best fit | Productivity and knowledge work already centered on Microsoft 365. | Work across repositories or tools that needs version history, tests and explicit approval. |\n\nMicrosoft documents that Copilot operates within the Microsoft 365 service\nboundary and only surfaces organizational data to which the user has at least\nview permission. With a Premium license, answers can be grounded in that\ndata through Microsoft Graph. Copilot Chat (Basic) and Microsoft 365 Copilot\n(Basic) ground in web data and can't use organizational data via Microsoft\nGraph; they reach organizational content only when the user supplies it or\nthrough a pay-as-you-go agent. See Microsoft's [Copilot overview](https://learn.microsoft.com/en-us/copilot/plan/copilot-overview)\nand [data protection and auditing](https://learn.microsoft.com/en-us/copilot/plan/architecture-data-protection-auditing).\n\nLazurio's public source defines GitHub as the access authority for repository\nwork, separates Organizations, and treats agent output as a draft until an\nauthorized publication decision. See the [security and control evidence](/en/public-evidence/)\nand its exact source links.\n\n## Data and privacy questions\n\nMicrosoft states that prompts, responses and data accessed through Microsoft\nGraph are not used to train foundation models, including those used by\nMicrosoft Copilot. It also documents stored interaction history, Purview\ncontrols, the need to check the terms of agents and the additional terms that\nmay apply when an administrator enables third-party AI models, such as\nAnthropic or OpenAI models. Read the current [Microsoft privacy and security statement](https://learn.microsoft.com/en-us/copilot/plan/microsoft-365-copilot-privacy)\nfor the exact product and tenant terms.\n\nLazurio cannot give one equivalent model-provider statement because it is not\none universal AI service account. Data flows depend on the selected AI client, model provider, Organization permissions and integrations. List those providers and permissions before approving a deployment. The Organization must manage that configuration.\n\n## Administration and prerequisites\n\nMicrosoft publishes tenant prerequisites including an eligible Microsoft 365\nsubscription with a Microsoft Copilot license, Microsoft Entra ID work\naccounts, an Exchange Online mailbox for mailbox-grounded experiences and\nnetwork access to the `*.cloud.microsoft` domain. It strongly recommends a\nsecure and governed data foundation built with SharePoint Advanced Management\nand Microsoft Purview. See the current [Microsoft requirements](https://learn.microsoft.com/en-us/copilot/plan/microsoft-copilot-requirements).\n\nLazurio instead requires the organization to own its GitHub structure,\nendpoint baseline, execution provider, repository rules and enabled\nintegrations. It offers more direct control of the working source and\npublication process, while leaving more operational choices to the\norganization.\n\n## Extending the tools\n\nMicrosoft Copilot is extended through plugins. A plugin is an installable\npackage that can include declarative agents and skills, with configuration or\nreferences for Copilot connectors and remote MCP servers that run separately.\nIt is then published or shared and made available under governance, as\ndescribed in Microsoft's [plugin overview](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/plugins-overview).\nUse this route for workflows managed within Microsoft's products.\n\nLazurio extensions are workspace modules and scoped tool integrations. The\ndocumented [external application standard](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md)\nprefers official local MCP servers or CLIs and separately revocable machine\nidentities. Use this route for work across repositories or providers that needs its own tests and approvals.\n\n## Which should you choose?\n\n### Choose Microsoft Copilot first when\n\n- most valuable work already happens in Outlook, Teams, Word, Excel,\n PowerPoint and SharePoint;\n- the tenant's Microsoft 365 permissions and administration are well managed;\n- you want a vendor-managed productivity experience with Microsoft's administration\n and compliance tools;\n- custom work can stay within Microsoft's agent and connector ecosystem.\n\n### Choose Lazurio first when\n\n- the output must become a reviewed repository change, module, operating plan\n or durable organizational source of truth;\n- work crosses GitHub, local source and several non-Microsoft providers;\n- you need explicit company boundaries and an inspectable draft-to-publication\n workflow;\n- your organization is prepared to own endpoint, repository, provider and\n integration configuration.\n\n### Use both when\n\nMicrosoft Copilot is the productivity assistant for Microsoft 365 while\nLazurio governs source-controlled delivery and cross-tool execution. Keep the\nresponsibilities and credentials distinct: do not assume an approval or data\nboundary in one automatically applies to the other.\n\n## Bottom line\n\nTry the options on a real task. Compare not only the result, but also the\nrequired access, change review and administration time. Start with Copilot\nif most work happens in Microsoft 365. Try Lazurio if you need to version and\napprove work across repositories and tools." }, { "stableId": "lazurio-doc-microsoft-365", "locale": "en", "route": "/en/microsoft-365/", "canonicalUrl": "https://documentation.lazurio.ai/en/microsoft-365/", "sourcePath": "data/v2/docs/en/microsoft-365.md", "title": "Microsoft 365 for IT and the Organization Admin", "summary": "One single-tenant Entra app with delegated Graph permissions and no secret: what IT approves, the Organization Admin's steps, Conditional Access, audit and revocation.", "audience": [ "it-admin", "decision-maker", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-microsoft-365-company-app", "lazurio-microsoft-365-for-it", "lazurio-platform-microsoft-365-company-app", "lazurio-platform-decision-f45", "lazurio-platform-release-v0-1-9", "lazurio-manifest-family-settings", "lazurio-decision-register-gen4", "microsoft-entra-permissions-consent", "microsoft-graph-permissions-reference", "microsoft-entra-app-consent-policies", "microsoft-entra-grant-admin-consent", "microsoft-entra-delegate-app-roles", "microsoft-entra-register-app", "microsoft-entra-add-redirect-uri", "microsoft-entra-enterprise-app-properties", "microsoft-entra-redirect-uri", "microsoft-entra-desktop-app-configuration", "microsoft-entra-auth-code-flow", "microsoft-entra-access-tokens", "microsoft-entra-refresh-tokens", "microsoft-entra-revoke-user-access", "microsoft-graph-revoke-sign-in-sessions", "microsoft-entra-session-lifetime", "microsoft-entra-error-codes", "microsoft-entra-noninteractive-sign-ins", "microsoft-purview-audit", "microsoft-entra-publisher-verification", "microsoft-graph-create-event", "microsoft-graph-event-cancel", "microsoft-graph-driveitem-createlink", "microsoft-graph-driveitem-invite", "microsoft-work-iq-permissions", "microsoft-work-iq-overview" ], "markdown": "Lazurio connects Outlook mail and calendar, OneDrive and SharePoint through one\napp that your IT registers in your own Microsoft Entra tenant. The app accepts\nonly your tenant's accounts, has only delegated Microsoft Graph permissions and\nno client secret, and IT consents to it once for everyone. Lazurio receives the\ntenant ID and the application (client) ID, which are not secrets. Each user then\nconnects their own work account, and agents in that user's Environment reach\nonly what that account can reach.\n\n**Status on 1 November 2026.** Lazurio Platform supports this company app since\n[release v0.1.9](https://github.com/Lazurio/LazurioPlatform/releases/tag/v0.1.9)\nof 19 October 2026. Two parts are not finished. The Organization Admin cannot yet edit the\nsetting in Organization overview, so it is added by a reviewed pull request to\nthe Organization's repository. Lazurio has not yet run the procedure end to end\non a real tenant: an exchange of the sign-in code without a secret on an HTTPS\nreturn address, refresh after the access token expires and revocation through\n\"Assignment required\" are still open checks. Lazurio's decision register lists\nthe Microsoft 365 setting of decision 0162 as decided, not yet deployed. Plan\nthe first Organization's setup as a pilot.\n\n## What the tenant needs\n\n| Item | Setting |\n| --- | --- |\n| App registration | One app in your tenant, for example \"Lazurio (<Organization>)\". Supported account types: single tenant only (`AzureADMyOrg`). |\n| Permissions | Delegated Microsoft Graph permissions only, listed below. No application permissions and no directory or administrative permissions. |\n| Client type | Public client. Users sign in with the authorization code flow and PKCE. The app has no client secret and no certificate. |\n| Redirect URIs | Platform \"Mobile and desktop applications\": the callback of each of the Organization's Environments on the server, `https://launchpad...lazurio.io/api/integrations/oauth/callback`, and `http://localhost/api/oauth/callback`. |\n| Consent | Tenant-wide admin consent, given once. |\n| Handed to Lazurio | The Directory (tenant) ID and the Application (client) ID. |\n\nMicrosoft allows at most 256 redirect URIs on an app that signs in work or\nschool accounts, and it ignores the port of a `localhost` redirect URI while\nthe path must still match. One registration of\n`http://localhost/api/oauth/callback` therefore covers the local return of the\nEnvironment's Executor. Lazurio's setting accepts at most 255 Environment\ncallbacks and no wildcards.\n\n## Permissions and what they allow\n\nAll permissions are delegated. Microsoft states that with a delegated\npermission the app can't access anything the signed-in user couldn't access.\nThe app asks for nothing about the directory, users, groups or tenant settings.\nAn administrator account connected through it therefore reaches only mail,\ncalendars, files and sites, but everything there that the account itself can\naccess.\n\n| Permission | Microsoft's description | What it means for agents |\n| --- | --- | --- |\n| `openid`, `profile`, `email`, `User.Read` | Sign in and read the signed-in user's profile | The account's name and address identify the connection. |\n| `offline_access` | Keep access to data the user gave access to; adds no permissions | Executor renews access without a new sign-in. |\n| `Mail.ReadWrite` | Create, read, update and delete email in user mailboxes; does not include permission to send mail | Agents read, sort, move and delete mail and create drafts. They cannot send. |\n| `Calendars.ReadWrite` | Create, read, update and delete events in user calendars | When an agent creates an event with attendees, Microsoft sends the invitations; this cannot be turned off. An organizer's cancellation sends a cancellation message. |\n| `Files.ReadWrite.All` | Read, create, update and delete all files the signed-in user can access | Covers OneDrive and SharePoint libraries, including sharing links and inviting people to a file. |\n| `Sites.Read.All` | Read documents and list items in all site collections for the signed-in user | Agents find sites, their libraries and lists. |\n\nThe app does not have `Mail.Send`: sending mail stays off until the\nOrganization deliberately adds it as a separate permission with admin consent.\nIt also does not request `MailboxSettings.ReadWrite`, shared-mailbox\npermissions (`.Shared`) or any Teams permission; Teams is planned for a second\nphase, for reading and drafts.\n\nThe setting's `apps` list chooses the parts Lazurio uses: `outlook` (mail and\ncalendar), `one_drive` (files) and `share_point` (files and sites). A sign-in\nasks only for the permissions of the chosen parts plus the sign-in permissions.\nIf a Lazurio release asks for a permission your tenant has not consented to, the\nsign-in reports that administrator approval is required (`AADSTS65001` or\n`AADSTS90094`). The Organization Admin asks IT to add the consent and the user connects\nagain.\n\n## Why IT must give the consent\n\nNew tenants use Microsoft's default user consent setting, \"Let Microsoft manage\nyour consent settings\". On 1 November 2026 Microsoft documented that under it\nusers may consent to delegated permissions except a list that includes\n`Mail.ReadWrite`, `Calendars.ReadWrite`, `Files.ReadWrite.All` and\n`Sites.Read.All`. Microsoft also requires administrator consent for an app that\nrequires user assignment. One tenant-wide admin consent covers every user, and\nno user is asked for consent.\n\nMicrosoft lets a Cloud Application Administrator, Application Administrator, AI\nAdministrator or Privileged Role Administrator grant tenant-wide consent to\ndelegated Microsoft Graph permissions. By default any user in the tenant can\nregister an app; if your tenant restricts that, the Application Developer role\ncan.\n\n## Who decides what\n\n| Who | Decides |\n| --- | --- |\n| IT, the tenant's administrators | Whether the app exists, its permissions and the consent; who may connect (\"Assignment required\" and a group); Conditional Access; disabling or deleting the app. Entra is the off switch. |\n| The Organization Admin in Lazurio | Records the tenant ID, client ID, chosen parts and registered callbacks in the Organization's settings, and asks IT to register the callback of every new Environment. |\n| Each user | Connects their own work account in Apps → Integrations, may add further accounts and disconnects them. |\n| Agents | Use the connected accounts. They never connect an account themselves, and they make changes other people see only on the user's instruction. This is a working rule that agents follow, not a technical barrier. |\n\n## The Organization Admin's procedure\n\nIT works in its own browser. Nobody signs in to an Environment with an\nadministrator account.\n\n1. **Collect the callbacks.** The Organization Admin, or an agent working for\n them, lists the callback of each of the Organization's Environments on the\n server, in the pattern shown above.\n2. **Register the app.** In the Microsoft Entra admin center open Entra ID →\n App registrations → New registration. Name it\n \"Lazurio (<Organization>)\", choose the single-tenant account type\n (\"Single tenant only\", `AzureADMyOrg` in the manifest) and register it.\n3. **Authentication.** On the app's Authentication page add a redirect URI,\n choose the platform \"Mobile and desktop applications\" and enter as custom\n redirect URIs every callback from step 1 and\n `http://localhost/api/oauth/callback`. Leave \"Allow public client flows\"\n off: Microsoft uses it for flows without a redirect URI, such as the device\n code flow. Add no Web or single-page application platform.\n4. **API permissions.** Add the nine delegated Microsoft Graph permissions from\n the table, then select \"Grant admin consent for <tenant>\".\n5. **Certificates & secrets.** Add nothing. Microsoft states that public clients\n must not use secrets or certificates when they redeem an authorization code.\n6. **Limit who may connect (recommended).** In Enterprise apps → the app →\n Properties set \"Assignment required\" to Yes, and under Users and\n groups assign the group of people who may connect. Anyone else is refused\n with `AADSTS50105`. Microsoft notes that users with the Global Administrator\n role can sign in regardless of this setting.\n7. **Hand over the identifiers.** Copy the Application (client) ID and the\n Directory (tenant) ID from Overview and give them to the Organization\n Admin.\n8. **Read it back.** Check that the account type is `AzureADMyOrg`, that the\n redirect URIs are exactly the intended ones, that no Web platform exists,\n that there are no secrets or certificates and that consent is granted for all\n nine permissions. The first real connection is the proof that it works.\n9. **Record the setting.** The Organization Admin approves a pull request that\n adds `settings.integrations.microsoft365` to the Organization's\n `lazurio.organization.json`: `tenant_id`, `client_id`, `apps` and\n `callbacks`, the last being exactly the registered Environment callbacks\n without the `localhost` one. The setting accepts no other key, so it cannot\n hold a secret. Before the first setting, confirm that every Environment of\n the Organization runs a Lazurio release that reads it: an older reader\n rejects the whole `settings` section. Each Environment of the Organization\n then applies the setting itself and shows one \"Microsoft 365\" card in\n Apps → Integrations; an Environment that asks Organization overview for its\n settings checks every two minutes.\n10. **Users connect.** Each user opens Apps → Integrations → Microsoft 365,\n selects Connect, later Add account, and signs in once with their work\n account. Where the Environment's callback is registered, the sign-in opens\n in the user's own browser. Otherwise it opens in the Environment browser,\n which the Environment's agents share; Lazurio clears Microsoft's sign-in\n cookies there when the sign-in ends. Do not use an administrator account\n for a sign-in in the Environment browser.\n11. **A new Environment.** IT adds its callback in Authentication and the same\n address goes into `callbacks` by pull request. Until then, users of that\n Environment sign in through the Environment browser.\n\nIT may do steps 2 to 5 with the Azure CLI in Azure Cloud Shell in its own\nbrowser instead of the admin center; the read-back in step 8 stays the same.\n\n## Conditional Access\n\n- The interactive sign-in is evaluated where the user's browser is. Token\n refresh and every Graph call come from the outbound address of the\n Environment. If you use location-based policies, ask the operator of your\n Lazurio deployment for the outbound addresses of the Organization's\n Environments.\n- A policy that requires a compliant device blocks a sign-in in the Environment\n browser with `AADSTS53000`. A sign-in in the user's own browser on a managed\n device can pass; a later refresh from the Environment may still meet the\n policy.\n- Sign-in frequency ends a connection when its interval passes, with\n `AADSTS70043`. Microsoft defers sign-in frequency for non-interactive\n sign-ins only for confidential clients, and this app is a public client. The\n user then connects again.\n- A password change revokes refresh tokens from password-based sign-ins, but\n not from passwordless ones. To end access, block the account or revoke its\n sessions.\n\n## Data and tokens\n\n- Microsoft Graph talks directly to the Executor of the user's Environment, the\n local MCP gateway that Lazurio runs in every Environment on the server. No\n other Lazurio service sits in between.\n- What an agent reads during its work goes to the AI model provider that the\n Environment uses.\n- Executor keeps the connection's tokens in the Environment in a file that only\n the Environment's operating-system account can read (`0600`). The file is not\n encrypted. Every agent in that Environment can use the tokens (decision\n 0172), and so can the administrator of the server that hosts the\n Organization's Environments and anyone who holds a backup of the Environment.\n- On a Team Environment a connected account serves every member and agent of\n that Environment.\n- Executor pauses each writing call (POST, PUT, PATCH, DELETE) for approval, but\n the agent itself gives that approval. Lazurio's instructions tell agents to\n accept it only for a draft or for a Publication the user explicitly approved.\n This is a working rule, not a technical barrier.\n\n## Revoking access\n\n| Scope | How | When it takes effect |\n| --- | --- | --- |\n| One user, including someone who leaves | Block the account or revoke the user's sessions (Microsoft Entra admin center → the user → Revoke sessions, or Graph `revokeSignInSessions`). | The next refresh fails and Executor then shows the connection as expired. An access token already issued stays valid until it expires: Microsoft assigns 60 to 90 minutes by default, and the revocation can take a few minutes. |\n| The whole Organization | Enterprise apps → the app → Properties → \"Enabled for users to sign in?\" set to No, or remove the consent, or delete the app. | Microsoft issues no further tokens for the app, even to assigned users. Tokens already issued expire as above. |\n| One connection, by the user | Apps → Integrations → ⋯ → Disconnect. | The connection is deleted from the Environment's Executor. |\n\nLazurio disconnects nothing by itself, and nothing expires on Lazurio's side.\nRemoving the setting from the Organization's settings stops offering the app\nbut keeps the existing connections, so Entra stays the off switch. When an\nEnvironment passes to another person, whoever hands it over or takes it over\ndisconnects the accounts that should no longer be used there; for a person who\nleaves the Organization, IT's block is the reliable cut. Microsoft gives\nrefresh tokens a default lifetime of 90 days and replaces them on every use,\nso a connection that stays unused that long needs a new sign-in.\n\n## Where you see the activity\n\n- **Microsoft Entra sign-in logs** show the user's interactive sign-ins to the\n app and the non-interactive sign-ins in which the client uses a refresh token\n to get an access token, with their addresses.\n- **Microsoft Purview audit** (the unified audit log) records user and admin\n operations in Exchange Online, SharePoint and OneDrive under the user's\n account. What is recorded and for how long depends on your audit licensing.\n\n## Why the app shows \"Unverified\"\n\nYour Organization registered the app in its own tenant, so the publisher is\nyour Organization, not Lazurio. Microsoft describes publisher verification as\nprimarily for multitenant apps. Our assessment: for a single-tenant app with\nadmin consent the label changes nothing.\n\n## What Lazurio does not use\n\n- **Work IQ MCP.** Microsoft's official MCP server for Microsoft 365 data is not\n Lazurio's default path. Its one delegated permission, `WorkIQAgent.Ask`,\n covers reading and writing the Microsoft 365 resources that Work IQ agents\n reach for the user, an administrator must enable Work IQ first, and its use is\n billed by usage. Our assessment: an Organization that wants it can add it\n later to the same app and to Executor.\n- **New ChatGPT or claude.ai connectors** and an app registered by another\n publisher: the admin consent belongs to your own app.\n- **Community MCP servers** that keep their own token cache beside Executor.\n- **Composio for work accounts** once the company app is set up. Personal\n Microsoft accounts (Outlook.com) cannot use the company app; on a Personal\n Environment they stay on Composio. See\n [connecting an Environment to apps](/en/environment-app-connections/).\n\nIn GEN3, the Lazurio Root on a person's computer, there is no company app card;\nthe GEN3 runbook connects an account through Executor only on the user's\nexplicit instruction, against the same app registration.\n\n## Sources\n\nMicrosoft Learn pages were read on 1 November 2026.\n\n- Microsoft: [permissions and consent](https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview), [Graph permissions reference](https://learn.microsoft.com/en-us/graph/permissions-reference), [app consent policies](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-app-consent-policies), [tenant-wide admin consent](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent), [who can register apps](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/delegate-app-roles), [registering an app](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app), [adding a redirect URI](https://learn.microsoft.com/en-us/entra/identity-platform/how-to-add-redirect-uri), [enterprise application properties](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/application-properties), [redirect URI rules](https://learn.microsoft.com/en-us/entra/identity-platform/reply-url), [public client flows](https://learn.microsoft.com/en-us/entra/identity-platform/scenario-desktop-app-configuration), [authorization code flow](https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-auth-code-flow).\n- Microsoft: [access tokens](https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens), [refresh tokens](https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens), [revoking user access](https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access), [`revokeSignInSessions`](https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions), [sign-in frequency](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-session-lifetime), [error codes](https://learn.microsoft.com/en-us/entra/identity-platform/reference-error-codes), [non-interactive sign-ins](https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-noninteractive-sign-ins), [Purview auditing](https://learn.microsoft.com/en-us/purview/audit-solutions-overview), [publisher verification](https://learn.microsoft.com/en-us/entra/identity-platform/publisher-verification-overview).\n- Microsoft: [creating events](https://learn.microsoft.com/en-us/graph/api/user-post-events), [cancelling events](https://learn.microsoft.com/en-us/graph/api/event-cancel), [sharing links](https://learn.microsoft.com/en-us/graph/api/driveitem-createlink), [inviting people to a file](https://learn.microsoft.com/en-us/graph/api/driveitem-invite), [Work IQ overview](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/) and [Work IQ permissions](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/work-iq/permissions).\n- Lazurio: the [Microsoft 365 runbook](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365.md) and the [page for IT](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations/microsoft-365-for-it.md) (both in Czech), the [setting's shape and readers first](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/lazurio-manifest-family.md#microsoft-365-company-app-settingsintegrationsmicrosoft365), Lazurio Platform's [company app](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/integrations.md#the-microsoft-365-company-app) and [decision F45](https://github.com/Lazurio/LazurioPlatform/blob/a2927744b5a87113425f93f5e1517ac97b2f6c06/docs/decisions.md#f45--organization-settings-reach-the-environment-asked-through-its-relay-recorded-in-the-folder-reported-back), and the [decision register](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (decisions 0162, 0172 and 0194)." }, { "stableId": "lazurio-doc-provider-notes", "locale": "en", "route": "/en/provider-notes/", "canonicalUrl": "https://documentation.lazurio.ai/en/provider-notes/", "sourcePath": "data/v2/docs/en/provider-notes.md", "title": "Verified provider notes", "summary": "Dated notes on Google Workspace, Slack, Atlassian, Canva, LinkedIn, GitHub and Composio, each checked against the provider's own documentation.", "audience": [ "it-admin", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-01", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-org-steps", "lazurio-provider-runbooks", "lazurio-github-app-broker", "lazurio-github-app-public-issues", "composio-create-organization-request", "google-oauth-audience", "google-oauth2-refresh-token-expiration", "google-workspace-mcp-servers", "slack-mcp-server", "atlassian-mcp-get-started", "atlassian-mcp-settings", "canva-mcp-access", "canva-mcp-tools", "linkedin-api-access", "linkedin-authorization-code-flow", "linkedin-share-api", "linkedin-user-agreement" ], "markdown": "These notes record provider behaviour that Lazurio met while connecting\napplications and that holds for any Organization. Each note says when Lazurio\nrecorded it and links the provider's page where it was checked again on\n1 November 2026. Providers change their products, so check the linked page\nbefore you rely on a note. Microsoft 365 has its own page,\n[Microsoft 365 for IT and the Organization Admin](/en/microsoft-365/), and the general rules\nfor choosing a connection are in\n[connecting an Environment to apps](/en/environment-app-connections/).\n\n## What an administrator does first\n\nSome providers need a one-time step on the Organization's side before any\nEnvironment can connect.\n\n| Provider | First step on the provider's side |\n| --- | --- |\n| Google Workspace | Your own Google Cloud project with the APIs enabled, an OAuth consent screen and your own OAuth client. |\n| Slack | A workspace admin approves the MCP client app through Slack's app approval. |\n| Atlassian | An org admin decides which domains may connect over OAuth 2.1 and whether API tokens are allowed. |\n| LinkedIn | A LinkedIn developer app with the Share on LinkedIn product. |\n| Microsoft 365 | One app in your Entra tenant and one admin consent; see [the Microsoft 365 page](/en/microsoft-365/). |\n\n## Google Workspace\n\nLazurio recorded these on 7 August 2026; the seven-day expiry is the problem\nits runbook names as the most frequent one.\n\n- **Seven-day sign-ins.** In a Google Cloud project whose OAuth consent screen\n has the user type External and the publishing status Testing, a test user's\n authorization expires seven days after consent, refresh token included. The\n only exception is an app that asks for nothing beyond name, email address and\n profile, so Gmail, Drive and other Workspace scopes are affected. For an\n integration used only by your own accounts, use a project in your Google\n Cloud organization with the Internal user type, or publish the app as In\n production, which can require Google's verification.\n- **Other ends of a refresh token.** Google lists these: the user revoked\n access, the token was not used for six months, the user changed their\n password and the token has Gmail scopes, the account exceeded the limit of\n 100 live refresh tokens per OAuth client, which silently invalidates the\n oldest one, and an admin set a requested service to Restricted. Each\n Environment's sign-in is its own grant, so many sign-ins of one account\n through the same client count toward that limit.\n- **Official MCP servers.** Google's Workspace MCP servers for Gmail, Drive,\n Docs, Sheets, Slides, Calendar, Chat and Classroom are a Developer Preview.\n They need the APIs and MCP services enabled in your own Google Cloud\n project, an OAuth consent screen and your own OAuth client ID and secret.\n Google Meet is not among them.\n\n## Slack\n\nLazurio recorded these on 2 September 2026: the official endpoint with an\ninteractive sign-in alone, without a Slack app's client ID and secret, is not\nenough.\n\n- The official MCP server is `https://mcp.slack.com/mcp` over Streamable HTTP.\n Slack supports neither SSE nor dynamic client registration.\n- An MCP client must be backed by a registered Slack app, published in the\n Slack Marketplace or internal to your workspace; unlisted apps may not use\n MCP. The OAuth flow is confidential: the client uses the app's client ID and\n client secret, so the secret needs a vault, never Git.\n- Workspace admins approve and manage MCP client apps through Slack's standard\n app approval.\n- Rate limits apply per tool, the same as for the matching Web API methods,\n and an app's IP allowlist applies to its MCP requests too.\n\n## Atlassian: Jira and Confluence\n\nLazurio recorded these on 2 September 2026. On 1 November 2026 Atlassian\ndocumented a different endpoint than Lazurio's runbook.\n\n- Atlassian's guide now gives `https://mcp.atlassian.com/v2/mcp`. Take the\n address from Atlassian's current guide, not from an older note.\n- Sign-in uses OAuth 2.1 by default, and actions respect the user's existing\n Atlassian permissions. API-token authentication is optional; an org admin\n turns it on or off in Atlassian Administration → Connectors → Atlassian MCP\n server.\n- The admin's allowed domains apply only to tools that use OAuth 2.1. Tools\n with API tokens are limited by IP allowlists and by the token's scopes, and\n IP allowlists apply to every request through the MCP server.\n- Some tool calls, such as unified search and Teamwork Graph context, consume\n Rovo credits.\n\n## Canva\n\nLazurio recorded its Canva setup on 2 September 2026.\n\n- Each user authenticates individually, and the operations available match\n that user's own access in Canva.\n- Canva limits every tool separately, from 20 to 100 requests per minute.\n- Resizing designs, autofill, brand kits and brand templates need Canva Pro or\n above.\n- The tools include creating and publishing brand templates. In Lazurio,\n publishing a brand template is a Publication and needs the user's\n instruction.\n\n## LinkedIn\n\nLazurio recorded these on 24 July 2026.\n\n- Only the open permissions are available to every developer without\n approval: Sign in with LinkedIn using OpenID Connect, and `w_member_social`\n from the Share on LinkedIn product. Most other permissions and partner\n programs need LinkedIn's explicit approval.\n- Access tokens live 60 days, and programmatic refresh tokens are available\n only to a limited set of partners. A posting integration therefore needs a\n new sign-in at least every 60 days.\n- The Share API allows 150 requests per member and 100,000 per application\n per UTC day.\n- LinkedIn's User Agreement forbids scraping and bots or other unauthorized\n automated methods. Lazurio therefore allows only posting through the\n official API, and agents read LinkedIn only in a browser under the user's\n supervision.\n\n## GitHub\n\nLazurio recorded this on 17 October 2026 while building the broker of the\nLazurio for GitHub app, with the evidence in\n[issue 23 of its public repository](https://github.com/Lazurio/github-app/issues/23).\n\n- For an installation that accepted the Issues permission, every installation\n token Lazurio tested could open an issue in a public repository, whatever\n permissions the token asked for and whatever repository it was limited to,\n including a public repository of an unrelated owner. GitHub named\n `issues=write` as the accepted permission but did not enforce it.\n Commenting was refused for every such token, and editing, closing and\n reopening were refused for a read-only token. An installation without the\n Issues permission was not tested. A read-only token therefore does not stop\n someone with access to it from opening issues in public repositories.\n\n## Composio\n\nLazurio recorded this on 17 October 2026.\n\n- Composio's CLI has no command that creates an organization. Create the\n Composio organization named after your Lazurio Organization in Composio's\n dashboard. Lazurio asked Composio for that command in\n [issue 4949](https://github.com/ComposioHQ/composio/issues/4949), still open\n on 1 November 2026.\n\n## Sources\n\n- Lazurio: the [external application standard](https://github.com/HumanAndMachines/Lazurio/blob/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/external-app-integrations.md) and the [provider runbooks](https://github.com/HumanAndMachines/Lazurio/tree/66e437f7e563574ea35b79dd1bdd193fd0f6b4b6/manual/integrations) (in Czech), and the [Lazurio for GitHub broker](https://github.com/Lazurio/github-app/blob/751eef11a285dea625c1d3fd4e286e396c5ab1d9/README.md#opening-issues-in-public-repositories).\n- Google: [OAuth audience and publishing status](https://support.google.com/cloud/answer/15549945), [refresh token expiration](https://developers.google.com/identity/protocols/oauth2#expiration), [Workspace MCP servers](https://developers.google.com/workspace/guides/configure-mcp-servers).\n- Slack: [Slack MCP server](https://docs.slack.dev/ai/slack-mcp-server/).\n- Atlassian: [getting started with the Atlassian MCP server](https://support.atlassian.com/atlassian-ai-gateway/docs/get-started-with-the-atlassian-remote-mcp-server/) and [admin settings](https://support.atlassian.com/security-and-access-policies/docs/control-atlassian-mcp-server-settings/).\n- Canva: [access and permissions](https://www.canva.dev/docs/apps/mcp/access/) and [tools and rate limits](https://www.canva.dev/docs/apps/mcp/tools/).\n- LinkedIn: [getting access](https://learn.microsoft.com/en-us/linkedin/shared/authentication/getting-access), [authorization code flow](https://learn.microsoft.com/en-us/linkedin/shared/authentication/authorization-code-flow), [Share on LinkedIn](https://learn.microsoft.com/en-us/linkedin/consumer/integrations/self-serve/share-on-linkedin), [User Agreement](https://www.linkedin.com/legal/user-agreement).\n- Composio: [the organization request](https://github.com/ComposioHQ/composio/issues/4949)." }, { "stableId": "lazurio-doc-public-evidence", "locale": "en", "route": "/en/public-evidence/", "canonicalUrl": "https://documentation.lazurio.ai/en/public-evidence/", "sourcePath": "data/v2/docs/en/public-evidence.md", "title": "Security and control evidence", "summary": "Public sources behind product and security claims, and the limits of that evidence.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-06", "reviewedAt": "2026-11-06", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-external-apps-current", "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody" ], "markdown": "The product and architecture sections below use Lazurio source revision\n[`3c5bda5d54c5556a0e54f3c339d988aa911fda60`](https://github.com/HumanAndMachines/Lazurio/tree/3c5bda5d54c5556a0e54f3c339d988aa911fda60).\nThe source documents at that revision are written in Czech. The summaries\nbelow explain their security implications and link to the originals. They are\nnot an independent audit or confirmation that a particular installation is safe.\n\nThe product description below applies to that revision, not automatically to\nthe latest release. Compare it with the version you actually deploy.\n\n## Product form and maturity\n\nThe [README](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\ndescribes Lazurio as a local working system and coordination layer, not an AI\nmodel or shared cloud data store. It explicitly marks the project as active\ndevelopment. At that revision, developers run it from a source checkout using Git and Bun;\nCLI v0 is experimental, while a simple packaged installation and generated\nnon-Git root are target architecture. The repository uses\n[FSL-1.1-Apache-2.0](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md).\nInternal use, non-commercial education or research, and professional services\nfor a compliant licensee are permitted. Permitted use may include copying,\nmodification and redistribution, with the license link and copyright notices\nretained. A Competing Use means making the software available to others in a\ncommercial product or service that substitutes for Lazurio or another product\nor service the licensor offers using it, or offers the same or substantially\nsimilar functionality. Each published version becomes available under Apache 2.0 on\nits second anniversary, and the software is provided without warranty.\nThe license notice names HumanAndMachine s.r.o. as copyright holder. It does\nnot itself promise hosting, support or a service level for a concrete rollout.\n\n## Identity and authority\n\nThe [collaboration model](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\ndefines a principal as the person or longer-lived AI identity for whom work is\ndone. A task agent is a temporary work session with no permissions of its own.\nAccess comes from GitHub, the operating system and connected services.\nA prompt cannot grant it.\n\nThe agent may use credentials and files available to its process. Lazurio's\nrules specify when that use is permitted. The operating system, AI tool's\nsandbox and provider controls enforce technical restrictions.\n\n## Machine and Organization boundaries\n\nThe [README](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\nand [architecture](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md)\nstate that one machine is one trust domain. An Organization represents one\ncompany, one GitHub organization and a separate repository/access boundary.\nMultiple Organizations can coexist on one endpoint, but their folders are not\nisolated operating-system environments. A process with the same effective filesystem access can cross\nthat directory boundary. Stronger isolation requires separate machines or\nequivalent infrastructure.\n\nPersonalspace is private to one principal and is not a shared Organization\nstore. This is an access and process boundary; it should not be described as\ncryptographic isolation unless a deployment separately provides that control.\n\n## Draft and publication\n\nThe [collaboration model](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\ndefines a Draft as reversible, editable work and Publication as making a result\nexternally effective or difficult to reverse. Agents may create branches,\ncommits and pull requests when their repository grant permits it. Protected\nbranch publication can be mechanically controlled by GitHub permissions,\nrequired checks and reviews. Non-Git publication—such as sending a message or\nchanging a provider—depends on the actual provider and client controls; an\nexplicit-authorization rule is process-only where no technical restriction\nexists.\n\n## External applications and credentials\n\nThis section uses the newer [integration standard](https://github.com/HumanAndMachines/Lazurio/blob/6416d27786296583baf08b75526cff225e2673f7/manual/external-app-integrations.md),\nchecked on 24 October 2026. For new connections it prefers official MCP,\nofficial CLI, permitted Composio, a reviewed open-source implementation and\nbrowser fallback. Executor manages Environment MCP servers. For existing\nconnections, the app's tool takes precedence over Executor and Composio.\n\nComposio is the sole approved exception to the shared-broker ban and must be\npermitted for the Environment. It holds tokens and processes call content;\nconnections belong to the Composio account and organization, not automatically\nto one machine. The standard excludes new cloud connectors, other shared\nbrokers, and scraping or browser-session servers. By rule, agents do not use\nthe ChatGPT apps and connectors in their harness unless the Organization, or the\nuser on a Personal Environment, allows them. In a Remote Environment Lazurio backs\nthe rule with two settings in Codex's configuration; an app enabled by name and a\nconfiguration it cannot read stay unchanged and are reported.\n\nWrite access is not approval to publish. An OAuth token can be used by a\nprocess that can reach it; MCP approvals do not automatically constrain CLI\nor shell access. See [Connecting an Environment to apps](/en/environment-app-connections/)\nfor account scope and open questions.\n\nThe [secret custody standard](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md)\nkeeps real credentials outside Git. It does not claim that Lazurio itself\nencrypts the endpoint, rotates every secret or replaces backup and incident\ncontrols.\n\n## Local and hosted services\n\nThe source checkout contains the local root, Launchpad, Guide, CLI/Core, Doctor\nand mounted Organization modules. Launchpad and runnable modules use local\nloopback HTTP listeners with dynamically selected or module-owned port leases.\nLoopback binding is not caller authentication: other processes on the endpoint\nmay still reach those services. The local Guide included in that Lazurio revision\nalso writes files; it is not this public documentation website or a security\ncontrol. Doctor tooling at the described revision expects Git,\nGitHub CLI and Codex CLI; a rollout using another agent client must test its\nactual Doctor and repair path rather than assuming equivalence.\nThe checkout also ships bridge and provisioning code for separately deployed\nprofiles; source presence does not mean activation. Optional architecture\nincludes Dashboard, hosted team workspaces, and per-owner Resident/Buddy\nservices that may use Zulip, GBrain, Tailscale or another private access layer,\nHermes or another operator-chosen OpenAI-compatible agent runtime, and T3 Code\nor another agent CLI. A deployment that enables one must list it as\na separate service with its own operator, identity, storage, network path,\nprocessors, logs, retention, backup and deletion controls.\n\n## What this evidence does not prove\n\n- It does not certify a customer deployment or prove that its controls are\n enabled.\n- It does not create a universal retention, training or regional-processing\n claim for model providers.\n- It does not log every local file read, prompt or API call.\n- It does not turn Organization folders on one machine into hard tenants.\n- It does not make process approval equivalent to a provider-enforced gate.\n\nUse the [IT briefing](/en/it-administrators/) to turn this evidence into a\ndeployment-specific approval package." }, { "stableId": "lazurio-doc-reference", "locale": "en", "route": "/en/reference/", "canonicalUrl": "https://documentation.lazurio.ai/en/reference/", "sourcePath": "data/v2/docs/en/reference.md", "title": "Public references", "summary": "Lazurio and Microsoft source links and how their review dates are tracked.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-10-04", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-readme", "lazurio-license", "lazurio-architecture", "lazurio-collaboration-model", "lazurio-external-apps", "lazurio-secret-custody", "microsoft-copilot-architecture", "microsoft-copilot-data-protection", "microsoft-copilot-privacy", "microsoft-copilot-requirements", "microsoft-copilot-extensibility" ], "markdown": "Lazurio links point to the specific repository revision used by this\ndocumentation. Microsoft pages change over time; the source map records\nwhen they were last checked. An editorial revision does not by itself update\nthat source review date.\n\nThe pinned Lazurio source is written in Czech. English readers should begin\nwith the reviewed [security and control evidence](/en/public-evidence/), which summarizes\nthe security-relevant meaning and links each claim to the exact source. It\nimproves accessibility; it is not an independent certification or a controlled\nlegal translation.\n\n## Lazurio source\n\n- [Project overview (Czech)](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/README.md)\n- [License](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/LICENSE.md)\n- [Architecture (Czech)](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/ARCHITECTURE.md)\n- [Authority and publication model (Czech)](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/AGENTS.md)\n- [External application standard (Czech)](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/external-app-integrations.md)\n- [Secret custody standard (Czech)](https://github.com/HumanAndMachines/Lazurio/blob/3c5bda5d54c5556a0e54f3c339d988aa911fda60/manual/security/local-secret-custody.md)\n\n## Microsoft provider documentation\n\n- [Microsoft Copilot overview](https://learn.microsoft.com/en-us/copilot/plan/copilot-overview)\n- [Data protection and auditing](https://learn.microsoft.com/en-us/copilot/plan/architecture-data-protection-auditing)\n- [Data, privacy, and security](https://learn.microsoft.com/en-us/copilot/plan/microsoft-365-copilot-privacy)\n- [Requirements](https://learn.microsoft.com/en-us/copilot/plan/microsoft-copilot-requirements)\n- [Copilot plugins](https://learn.microsoft.com/en-us/microsoft-365/copilot/extensibility/plugins-overview)\n\n## Review contract\n\nThe source map records an owner, review date and expiry for each reference.\nExpired evidence fails content validation. Trust-critical pages also require an\nexact-commit review before production publication. Pablo AI is the persona,\nan Organization's agent account, used for that review, not an independent\nauditor or certification of a customer's deployment. The deploy script checks\nfor a clean main branch and an operator-supplied approved commit; matching that\ncommit to the exact-head review remains an explicit delivery step." }, { "stableId": "lazurio-doc-servers-conglomerate-host", "locale": "en", "route": "/en/servers-conglomerate-host/", "canonicalUrl": "https://documentation.lazurio.ai/en/servers-conglomerate-host/", "sourcePath": "data/v2/docs/en/servers-conglomerate-host.md", "title": "Servers and the Conglomerate Host", "summary": "Server and services names, one IPv4 prefix per Conglomerate Host, the Organization Owner's administration path with named identities, exact grants and a recovery route, and the two separate outcomes of handing over a Remote Environment.", "audience": [ "it-admin", "agent" ], "updatedAt": "2026-11-08", "reviewedAt": "2026-11-02", "reviewOwner": "Matej Suchanek", "secondReviewOwner": "Pablo AI", "trustCritical": true, "sourceRefs": [ "lazurio-root-operator-machine-access", "lazurio-root-conglomerate-owner-administration", "lazurio-root-hosted-machine-handover", "lazurio-decision-register-gen4", "lazurio-decision-register-admin-ai", "lazurio-decision-0234-role-names" ], "markdown": "This page is for the Organization Owners, Organization Admins and IT of an Organization that runs its own servers for Lazurio. A **Conglomerate Host** is the server that runs the private network (Headscale) and the vault (Vaultwarden) for the Remote Environments of one or more Organizations.\n\nWhere a rule below is a convention, nothing checks it: it grants nothing, and existing servers are not renamed or renumbered for it.\n\n## Names\n\n- **Virtualization host:** `-proxmox-NN`, for example `example-proxmox-01`. `` is a short label the Organization Owner chooses once. It does not change when the Organization's GitHub login or DNS name changes, so whoever administers several Organizations can tell their hosts apart in the provider's console, in SSH and in the tailnet. Numbering starts at `01` and may grow past two digits. This is a convention.\n- **Services Environment:** each server of an Organization has exactly one `services-NN`, numbered after its server (`-proxmox-01` has `services-01`). It is a Work Environment for Organization Admins only (decision 0228, not yet deployed), and each service runs in its own container. When it runs short of capacity it grows; a second one on the same server is not created (decision 0209).\n- **People's devices in the tailnet:** `-`, for example `-macbook`. `` is the label of the person's network user: for an account linked to GitHub, their GitHub login in lowercase, frozen, so a later rename on GitHub does not rename the network user. `` is a short label chosen once and used in every tailnet. A second, headless client on the same device is `--cli`, and a person's hosted Personal Environment is `-personal-vm`. The owner sets the name on the device itself. The name grants nothing.\n\n## The tailnet's address range\n\n- Every Conglomerate Host gets its own range inside `100.64.0.0/10` that overlaps no other Conglomerate the same operator uses (decision 0155). Otherwise every tailnet hands out the same `100.64.0.x` addresses, and the computer of whoever administers them cannot tell them apart.\n- The operator that founds Conglomerates keeps the list of ranges it has assigned, as an aid for itself. The list is not a central authority or a registry of other operators' networks.\n- A new Conglomerate Host must declare its range when it is created. An existing one keeps its range until a managed migration renumbers it.\n\n## Administering the Conglomerate Host\n\nAdministering the host affects every Organization it serves. The rules below are a standard: by itself it grants nothing and does not prove that an Organization has deployed it. The concrete accounts, devices, keys, network bindings and evidence belong in the infrastructure repository of the Organization that owns the host. These rules hold for every Organization Owner who administers it:\n\n- **Own path, own keys, three kinds of source.** After an approved onboarding, every active Organization Owner of the Organization that owns the host can administer it, and only from:\n - their own personal computer, explicitly allowed for administration;\n - their Personal Environment;\n - their explicitly named Work Environment (decision 0202, not deployed yet).\n\n Under decision 0228 (decided, not yet deployed) administering the host will need both roles: only a person who is the Organization Admin and holds the live Organization Owner role of the Organization that owns the host administers it. Until it is deployed, the active Organization Owners are the Organization Admins.\n\n A phone, any other Work Environment and a work laptop get no administration, even when they are approved for other access. The Organization Owner uses their own named identity over the private network and native SSH, and their keys can be revoked one by one. The path never depends on another Organization Owner's or a vendor's IP address, computer, sign-in or private key, and the private key stays on its device.\n- **Only GitHub proves the role.** Membership in the tailnet, a shared network user, an Environment tag or a server name is no proof of the Organization Owner role. The live GitHub role and the exact binding of the source to that Organization Owner decide, and access is never given to all of the Organization's nodes at once.\n- **Exact grants only.** The host has named SSH accounts, exact network grants and only the administrative rights the work needs. A reply on an established connection is no right to open the opposite one. A new IP address or a re-enrollment is fixed by a reviewed change of the exact binding, never by a broader grant.\n- **Onboarding ends with a change, not with a login.** A working SSH login alone does not finish an Organization Owner's onboarding. Under their own account, the Organization Owner can:\n - read the network's state and the configuration they need;\n - reach the Organization's infrastructure repository;\n - propose, validate and apply an authorized change through the normal deployment process with their own access;\n - explain publication, review and recovery, with a recovery path of their own.\n- **Administrator rights do not bypass the process.** The desired state stays in the infrastructure repository, and every change goes through review and the deployment process, for an Organization Owner as for an agent. An independent check may need another authorized Colleague, but never a secret that only a vendor holds.\n- **Revocation is a step of its own.** When an Organization Owner leaves, changes role or loses a device, revoke their grants and keys and, where possible, end live sessions. Record whether that happened automatically or by hand. The role is checked when access is deployed, not at every SSH login.\n- **A shared host has many tenants.** Being an Organization Owner of one Organization gives no automatic right to administer another Organization's host: the approval follows the host's ownership and its whole shared boundary. Administration never grants reading anyone's Personalspace.\n- **Remote control reaches further than the network.** Full control of a person's computer from a Work Environment can lend that computer's administrative access indirectly, and a network rule against the direct path does not stop it. Keep the scope of remote control deliberate and documented, and do not promise strict isolation.\n- **The private network first, the provider's rescue for emergencies.** Administration goes over the private network. The provider's console and rescue mode are the emergency route. Before you close a public SSH fallback, prove that the private entry works, that the provider's recovery rights work, the host's identity and the way back to a normal boot. Rescue can interrupt shared services, so bring every emergency change back into the infrastructure repository and its records.\n- **Deployed means proven.** The infrastructure repository of the Organization that owns the host records the allowed sources and their binding to current Organization Owners. It also records the deployed version, the deployment evidence and both kinds of test: a real SSH and administrator login from every allowed source, and a refused connection from a source that is not allowed. A standard, a plan, an open pull request and a live deployment are four different states.\n\n## Two outcomes of handing over a Remote Environment\n\nThis is the target contract for handing over a Remote Environment, and its implementation is not finished yet: a running Environment can still differ from it. What is deployed, its evidence and the order of fixes belong in the infrastructure repository of the Environment's owner. Handing over has two results, and each is proven separately.\n\n**The Remote Environment is ready for handover** when:\n\n- its resources, operating system, identity, administration, network and isolation are verified;\n- its web entry has a valid certificate, correct DNS and a working gateway;\n- a clean Lazurio and the basic work entry run without an Organization checkout, without a personal GitHub token and without the user's sign-in to AI tools;\n- Lazurio shows a truthful empty state, and a missing checkout causes no crash, no automatic clone and no access to another Organization;\n- a repeated installation keeps the identity and existing work data;\n- backup and restore have their own verified result. Where a pilot explicitly postpones it, the report names that limit and does not call restore verified.\n\n**The user is ready to work** in an individual Environment, which has one assigned user, when they have:\n\n- entered from their own device and signed in to GitHub (`gh`) with their own account;\n- chosen and set up the Organizations they need from those they can access, each as a separate checkout and access boundary;\n- found their checkouts without a change of the hosting configuration, with modules still inside their Organization's boundary and live rights;\n- set up their own tools, sign-ins and project dependencies;\n- verified real work. A successful web sign-in proves neither SSH, Git access, every module nor an application's restore.\n\n**A shared Team Environment** has no personal user, so the rule of an individual Environment, where the user signs in their own account and connects any of their Organizations, does not apply to it. It works on GitHub through the Organization's Lazurio for GitHub app with a limited Organization and Team scope, never with the personal token of whoever signed in last (decision 0147). Installing Lazurio needs no checkout of the Organization's data there either, and setting up the Team's content is a separate step under the Team's identity.\n\nWaiting for a person's sign-in is `onboarding pending`, not a provisioning failure; the name describes the state and is not a value in any system. A report never merges the infrastructure, the base Lazurio and the user's acceptance into one green field.\n\n## Sources\n\n- Lazurio: the [decision register](https://github.com/Lazurio/LazurioPlatform/blob/4d5ee62a963a0ae2fc98287f0072e739ff6d2cd8/docs/decision-register.md) (decisions 0147, 0155, 0202 and 0209; [decision 0228](https://github.com/Lazurio/LazurioPlatform/blob/b62383756209f13b7d4113ada969e6fa3d32f1a3/docs/decision-register.md#0228--the-organization-admin-is-a-lazurio-role-and-the-admin-also-enters-every-environment-of-their-organization-in-the-browser) for the Organization Admin and [decision 0234](https://github.com/Lazurio/LazurioPlatform/blob/753cca123df45721c3c1395a16a3a0df9a04dbcd/docs/decision-register.md#0234--the-names-of-access-roles-one-vocabulary-for-every-text-screen-and-agent) for the names of roles) and three GEN3 manuals, in Czech: [access between one person's Environments](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/operator-machine-access.md), the full text of decision 0155 with the names, the services Environment and the IPv4 ranges; [administration of a Conglomerate Host by the Organization's Owners](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/conglomerate-owner-administration.md); and [handover of a hosted Environment and the user's onboarding](https://github.com/HumanAndMachines/Lazurio/blob/621d657a593fdca8b6c462ebe7fbec9d5d70a677/manual/hosted-machine-handover.md) with the two separate outcomes." }, { "stableId": "lazurio-doc-use-cases", "locale": "en", "route": "/en/use-cases/", "canonicalUrl": "https://documentation.lazurio.ai/en/use-cases/", "sourcePath": "data/v2/docs/en/use-cases.md", "title": "What Lazurio is good for", "summary": "Work that suits Lazurio, the controls it needs and when to choose another tool.", "audience": [ "it-admin", "decision-maker", "builder", "agent" ], "updatedAt": "2026-09-15", "reviewedAt": "2026-09-15", "reviewOwner": "Matej Suchanek", "secondReviewOwner": null, "trustCritical": false, "sourceRefs": [ "lazurio-readme", "lazurio-architecture", "lazurio-collaboration-model" ], "markdown": "Lazurio fits work whose results need to be kept, reviewed and shared: an\napplication change, a procedure or material for a decision. In the examples below, the agent prepares the work and the team reviews it.\n\n## Strong-fit use cases\n\n### Product and software delivery\n\nGive the agent a specific application change. It can inspect the module,\nedit the code, run tests and prepare a pull request. The team reviews the diff\nand test results before accepting the change. Git keeps the history.\n\n### Operational workflows across tools\n\nA task may need both repository files and an approved external application.\nEach connection is configured for the machine and can be revoked separately.\nThe setup does not rely on a single cloud broker with access to every tool.\n\n### Durable organizational knowledge\n\nA conversation can produce a procedure, plan or proposed decision. Have it\nsaved to the right place in the Organization and reviewed. Other people can\nthen find the information without searching your chat.\n\n### Repeated agent roles\n\nFor recurring work, save the instructions, tools, tests and approval\nrequirements as a reviewed procedure. The next task can use that procedure\nwithout relying on assumptions hidden in a copied prompt.\n\n### Work across several companies\n\nA founder, consultant or operator can mount several authorized Organizations\nwhile keeping their repositories and GitHub access separate. This is an\nexception inside one shared machine trust domain, not hard tenant isolation.\nKeep provider sessions separately named and revocable. Use separate machines\nor equivalent infrastructure when a compromise must not cross company\nboundaries.\n\n## Use cases that need additional controls\n\nRegulated data, production infrastructure, financial actions, bulk messaging,\ncredential administration and destructive operations need provider-specific\naccess, approval and audit controls. Lazurio's operating model does not replace\napplicable law, certification, segregation of duties or provider review.\n\n## When another product may be the better start\n\n- You only need personal drafting inside one productivity suite.\n- The organization will not own repository access, endpoint controls or review\n rules.\n- The task cannot be bounded, tested or reversed and has no authorized decision\n point.\n- A mature product already solves the whole workflow with a simpler supported\n control plane.\n\nFor Microsoft-centric productivity, read the [Lazurio vs Microsoft\nCopilot](/en/lazurio-vs-microsoft-copilot/) guide. The sensible result may be\nCopilot, Lazurio, or both with distinct responsibilities." } ] }