Créer un premier module

Un module AGELAIOS est une capacité signée, isolée et déclarée par manifeste. Le parcours standard produit huit objets vérifiables : gabarit, verdict de lint, artefact, verdict de test, clé, signature, archive, module actif.

Créer le gabarit

agelaios new hello-track --lang rust --isolation wasi
cd hello-track

La commande crée un manifeste module.yaml, un squelette de service gRPC, un test et une configuration de build. Le gabarit doit être valide avant modification.

Valider le manifeste

agelaios lint

Sortie attendue : zéro erreur. Le manifeste doit déclarer l’identité, les capacités demandées et les interfaces consommées ou exposées.

Construire l’artefact

agelaios build --target wasm32-wasi

Sortie attendue : un artefact unique et son empreinte. Pour WASI, le même artefact peut servir un nœud x86-64 et un nœud ARM64.

Tester dans la sandbox cible

agelaios test

Sortie attendue : les tests passent dans une sandbox équivalente à celle du nœud. Un accès non déclaré doit échouer en test local.

Générer une clé d’éditeur

agelaios keygen --algo ml-dsa-65 --out ./keys/editeur

La clé privée reste chez l’éditeur. Le magasin de modules de l’instance n’approuve que la clé publique ou une chaîne qui y mène.

Signer et empaqueter

agelaios sign --key ./keys/editeur --artifact out/hello-track.wasm
agelaios pack --out hello-track-0.1.0.ocm

La signature couvre l’artefact et le manifeste. L’archive .ocm est l’unité de distribution.

Installer sur nœud émulé

agelaios emu up --profile node-x86_64
agelaios install hello-track-0.1.0.ocm --target emu

Sortie attendue : le nœud vérifie la signature, contrôle les capacités demandées et inscrit le module au catalogue local.

Choisir le niveau d’isolation

Niveau	Usage recommandé	Contrainte
WASI	Connecteur, fusion, traitement de données.	Accès système limité aux capacités déclarées.
microVM	Module avec dépendances système existantes.	Empreinte mémoire supérieure.
Natif	Module du socle ou module audité qui touche au matériel.	Revue de sécurité complète requise.

Changer de niveau d’isolation constitue une nouvelle version du module. Le magasin de modules doit l’approuver comme telle.