Zoho Vault, Deluge Custom Functions und Cliq für sicheres KI-Secret-Management Tutorial

KI-Assistenten in Zoho: Sicheres Management von Secrets mit Zoho Vault und Custom Functions

Die Integration von künstlicher Intelligenz, sei es über externe APIs wie OpenAI oder Claude oder durch interne Logik, ist längst keine Zukunftsmusik mehr. Viele Unternehmen nutzen bereits KI-gestützte Chatbots und Assistenten direkt in Tools wie Zoho Cliq, um Prozesse zu automatisieren und die interne Kommunikation zu beschleunigen. Doch mit dieser Macht kommt auch Verantwortung. Sobald dein KI-Agent auf andere Systeme zugreifen muss – sei es ein externes Projektmanagement-Tool, eine Buchhaltungssoftware oder eine Branchen-API – stellt sich eine kritische Frage: Wie verwaltest du die dafür notwendigen Zugangsdaten wie API-Keys, Passwörter oder Tokens (sogenannte "Secrets") sicher und effizient? In diesem Artikel zeigen wir dir eine praxiserprobte Methode, wie du mit Bordmitteln aus dem Zoho-Ökosystem eine robuste und sichere Lösung für dieses Problem aufbaust.

Die typische Herausforderung: Ein unsicheres und starres System

Stell dir folgendes Szenario vor: Dein Unternehmen hat einen cleveren KI-Assistenten entwickelt, der über Zoho Cliq erreichbar ist. Mitarbeiter können ihm einfache Anweisungen geben, wie "Fasse mir die offenen Aufgaben für Projekt X zusammen". Um das zu tun, muss der Assistent auf ein externes Tool wie Trello, Asana oder Jira zugreifen. Der Entwickler hat den API-Key für dieses Tool direkt in den Code des Bots einprogrammiert.

Zunächst funktioniert alles wunderbar. Doch dann treten die Probleme auf:

Sicherheitsrisiko: Der API-Key ist im Code "hardcoded". Jeder, der Zugriff auf den Code hat, kann ihn einsehen. Das ist ein erhebliches Sicherheitsrisiko.
Mangelnde Flexibilität: Der API-Key läuft ab oder muss aus Sicherheitsgründen geändert werden. Jetzt muss ein Entwickler den Code anpassen, testen und neu deployen. Ein Prozess, der für eine simple Änderung viel zu aufwändig ist.
Skalierbarkeitsprobleme: Was, wenn der Bot auf zehn weitere Systeme zugreifen soll? Die Verwaltung von zehn hardcodierten Keys wird schnell unübersichtlich und fehleranfällig.
Keine Kontrolle für Nicht-Entwickler: Ein Abteilungsleiter oder IT-Admin kann die Zugangsdaten nicht selbstständig verwalten, ohne den Entwicklungsprozess zu durchlaufen.

Genau hier setzt unsere Lösung an, die auf einer intelligenten Kombination von Zoho Vault, einem dedizierten Service-Account und einer Deluge Custom Function in Zoho CRM oder Zoho Creator basiert.

Schritt-für-Schritt-Anleitung zur sicheren Secret-Verwaltung

Wir bauen eine Architektur, bei der die Zugangsdaten zentral und sicher in Zoho Vault gespeichert werden. Der KI-Agent ruft sie bei Bedarf über eine sichere, interne API-Anfrage ab. So bleiben die Secrets aus dem Code heraus und können von autorisierten Personen einfach verwaltet werden.

Schritt 1: Einen zentralen Service-Account für die KI anlegen

Dein KI-Agent ist im Grunde ein Mitarbeiter ohne menschliches Gesicht. Daher sollte er auch einen eigenen Account im System bekommen. Anstatt eine teure Zoho One Lizenz für jeden einzelnen Bot zu kaufen, erstellen wir einen generischen Service-Account.

Gehe in die Admin-Konsole deines Zoho-Accounts.
Erstelle einen neuen Benutzer. Wähle einen aussagekräftigen Namen, z.B. ai.service@deinefirma.de.
Weise diesem Benutzer eine Lizenz zu. Oft genügt hier eine einfache Zoho Mail Lizenz, falls du Kosten sparen möchtest. Prüfe, welche Lizenz für den Zugriff auf Zoho Vault mindestens erforderlich ist. Der Vorteil eines generischen Accounts: Du kannst ihn für alle deine zukünftigen KI-Agenten und Automatisierungen verwenden.

Dieser Account wird der "Besitzer" der API-Anfragen sein und die Berechtigung haben, auf die für ihn freigegebenen Secrets zuzugreifen.

Schritt 2: Secrets sicher in Zoho Vault ablegen und teilen

Zoho Vault ist ein Passwort- und Secret-Manager für Teams. Wir nutzen ihn als zentralen, sicheren Speicherort für unsere API-Keys.

Öffne Zoho Vault und erstelle einen neuen "Tresor" (Chamber), zum Beispiel mit dem Namen "KI Service Secrets".
Innerhalb dieses Tresors fügst du ein neues Secret hinzu. Wähle einen klaren Namen, z.B. TRELLO_API_KEY. Gib den eigentlichen Key in das dafür vorgesehene Feld ein.
Nun der entscheidende Schritt: Teile dieses eine Secret (nicht den ganzen Tresor!) mit dem in Schritt 1 erstellten Service-Account (ai.service@deinefirma.de). Gewähre ihm Lesezugriff.

Damit ist sichergestellt, dass der Service-Account nur genau die Zugangsdaten lesen kann, die er für seine Arbeit benötigt (Prinzip der geringsten Rechte).

Schritt 3: Die Deluge Custom Function als Brücke

Jetzt benötigen wir eine Möglichkeit, damit der KI-Agent das Secret aus Zoho Vault abrufen kann. Das realisieren wir mit einer Custom Function, geschrieben in Zoho's Skriptsprache Deluge. Du kannst diese Funktion in Zoho CRM, Zoho Creator oder einer anderen Zoho-App mit Deluge-Unterstützung erstellen.

Diese Funktion wird als interner API-Endpunkt fungieren. Der Zoho Cliq Bot ruft die Funktion auf, und die Funktion holt das Secret aus Vault und gibt es zurück.

Hier ist ein Beispiel für eine solche Deluge-Funktion:

code


// Name der Funktion: getSecretFromVault
// Argumente: secretName (String) - Der Name des Secrets, das wir abrufen wollen

string getSecretFromVault(string secretName)
{
    try
    {
        // Ruft die integrierte Zoho Vault Funktion auf, um ein Secret abzurufen.
        // WICHTIG: Die Verbindung "zohovault" muss vorher unter
        // Einstellungen -> Entwicklerbereich -> Verbindungen erstellt werden.
        // Authentifiziere die Verbindung mit dem Service-Account (ai.service@...).
        secretValue = zoho.vault.getSecret(secretName, "zohovault");

        if(secretValue != null)
        {
            // Die "secret" Eigenschaft enthält den eigentlichen Wert des Secrets.
            return secretValue.get("secret");
        }
        else
        {
            // Logging für den Fehlerfall
            info "Secret mit dem Namen '" + secretName + "' konnte nicht in Zoho Vault gefunden werden.";
            return null;
        }
    }
    catch (e)
    {
        // Umfassendes Error-Handling für den Fall, dass die Verbindung fehlschlägt etc.
        info "Fehler beim Abrufen des Secrets aus Zoho Vault: " + e;
        return null;
    }
}

Wichtige Hinweise zur Funktion:

Verbindung einrichten: Bevor du die Funktion nutzen kannst, musst du in den Einstellungen deiner Zoho-Anwendung (z.B. CRM) unter "Entwicklerbereich > Verbindungen" eine neue Verbindung zu Zoho Vault anlegen. Wähle die notwendigen Scopes (Berechtigungen) aus, typischerweise ZohoVault.secrets.READ. Authentifiziere diese Verbindung mit den Anmeldedaten deines Service-Accounts (ai.service@...).
Fehlerbehandlung: Das try...catch-Konstrukt ist entscheidend. Es fängt Fehler ab, falls das Secret nicht existiert oder die Verbindung zu Vault fehlschlägt, und verhindert so einen Absturz deines Bots.

Schritt 4: Integration in den KI-Agenten in Zoho Cliq

Der letzte Schritt ist, den Bot in Zoho Cliq so zu programmieren, dass er die eben erstellte Deluge-Funktion aufruft, bevor er die externe API kontaktiert.

Der Workflow sieht nun so aus:

Ein Benutzer gibt in Cliq einen Befehl ein (z.B. "/tasks project-alpha").
Der Cliq-Bot-Handler wird ausgelöst.
Der Bot ruft die Deluge-Funktion getSecretFromVault("TRELLO_API_KEY") auf.
Die Funktion holt den API-Key sicher aus Zoho Vault und gibt ihn an den Bot zurück.
Der Bot verwendet den erhaltenen API-Key, um eine Anfrage an die Trello-API zu senden.
Der Bot verarbeitet die Antwort von Trello und gibt das Ergebnis an den Benutzer in Cliq aus.

Ein vereinfachtes Code-Snippet für den Cliq-Bot könnte so aussehen:

code


// Teil des Cliq-Bot-Handlers

// 1. Secret über die Custom Function abrufen
apiKey = zoho.crm.invokeFunction("getSecretFromVault", {"secretName":"TRELLO_API_KEY"});

if (apiKey != null)
{
    // 2. Externe API (z.B. Trello) mit dem sicheren Key aufrufen
    trello_url = "https://api.trello.com/1/boards/some-board-id/cards?key=" + apiKey + "&token=SOME_USER_TOKEN";
    response = invokeurl
    [
        url :trello_url
        type :GET
    ];
    
    // 3. Antwort verarbeiten und an den Benutzer senden
    // ... Logik zur Verarbeitung der `response` ...
    return {"text": "Hier sind deine Aufgaben: " + response};
}
else
{
    return {"text": "Fehler: Ich konnte die notwendigen Zugangsdaten nicht abrufen. Bitte informiere einen Administrator."};
}

Tipps und Best Practices

Skalierbarkeit: Diese Architektur ist hoch skalierbar. Für jedes neue System, auf das dein Bot zugreifen soll, fügst du einfach ein neues Secret in Vault hinzu und teilst es mit dem Service-Account. Der Code bleibt weitgehend unverändert.
Verwaltung durch Nicht-Entwickler: Ein IT-Administrator kann nun API-Keys in der benutzerfreundlichen Oberfläche von Zoho Vault aktualisieren, ohne jemals eine Zeile Code anfassen zu müssen.
Alternative mit Zoho Flow: Für einfachere Workflows ohne komplexe Logik kann Zoho Flow eine Alternative sein. Auch hier kannst du Verbindungen zu externen Diensten sicher speichern und in deine Flows integrieren. Deluge bietet dir jedoch mehr Flexibilität für komplexe Fehlerbehandlung und Datenmanipulation.
Protokollierung: Erweitere deine Deluge-Funktion um Logging. Schreibe einen Eintrag in ein Custom Module im CRM oder in Zoho Analytics, jedes Mal wenn ein Secret erfolgreich (oder erfolglos) abgerufen wird. So behältst du den Überblick.

Zusätzliche Anwendungsmöglichkeiten

Dieses Muster ist nicht auf KI-Agenten beschränkt. Du kannst es für jede Art von systemübergreifender Automatisierung innerhalb von Zoho verwenden:

Datenmigration: Ein Skript, das Daten aus einem Altsystem in Zoho CRM importiert, kann die Zugangsdaten zur alten Datenbank sicher aus Vault beziehen.
ERP-Anbindung: Synchronisiere Rechnungen aus Zoho Books mit einem externen ERP-System wie DATEV oder SAP, indem du die API-Credentials sicher verwaltest.
Mitarbeiter-Onboarding: Automatisiere die Erstellung von Benutzerkonten in Drittanbieter-Tools, wenn ein neuer Mitarbeiter in Zoho People angelegt wird. Die notwendigen Admin-Passwörter kommen sicher aus Vault.

Fazit

Die Integration externer Systeme ist ein entscheidender Faktor, um das volle Potenzial deines Zoho-Setups auszuschöpfen. Die sichere Verwaltung von Zugangsdaten ist dabei keine Nebensächlichkeit, sondern das Fundament einer stabilen und vertrauenswürdigen Automatisierung. Indem du einen dedizierten Service-Account mit der sicheren Speicherung in Zoho Vault und der Flexibilität von Deluge Custom Functions kombinierst, schaffst du eine Lösung, die nicht nur sicher, sondern auch skalierbar und einfach zu verwalten ist. Du entkoppelst die sensible Datenhaltung von der Anwendungslogik und ermöglichst es auch nicht-technischen Teammitgliedern, die Kontrolle über die Systemzugänge zu behalten.

Verwendete Zoho Apps in diesem Lösungsansatz:

Zoho Vault: Zur sicheren Speicherung und Verwaltung der Secrets.
Zoho CRM (oder Zoho Creator): Als Host für die Deluge Custom Function.
Zoho Cliq: Als Benutzeroberfläche für den KI-Assistenten.
Zoho Admin Console: Zur Verwaltung des Service-Accounts.