Actores Criptográficos
Para qué sirve esta pantalla
Un actor criptográfico es la identidad que llama a la plataforma en nombre de una aplicación: un servicio interno, un proceso por lotes, un canal de integración o un tercero. Las decisiones de autorización, los eventos de auditoría y los límites de uso se anclan en el actor. Esta pantalla muestra los actores de tu tenant y es donde le das a cada uno una forma de autenticarse y las operaciones que puede solicitar.
Qué debe existir antes
Esta pantalla es para los tenants que componen la autorización a mano. No se ofrece a los tenants SIMPLE: un tenant SIMPLE usa Casos de Uso Internos, que componen por él el actor, su credencial y sus concesiones.
Antes de trabajar aquí necesitas:
- Una aplicación. Cada actor pertenece a una, y al crear una aplicación ya se crea su actor criptográfico predeterminado.
- El permiso de listado de actores, que es lo que muestra esta pantalla. Crear y eliminar actores, leer, emitir, rotar y revocar credenciales, leer y cambiar roles, y leer o vincular identidades federadas son, cada uno, un permiso adicional. Una pestaña que no tienes permiso para leer aparece deshabilitada.
Decisiones que tomas aquí
Crear un actor
Con el permiso de creación de actores, New Actor abre un asistente. Eliges la aplicación (Application) a la que pertenece el actor, su tipo (Internal, Third-Party o Partner), su nombre, nombre visible, descripción y propósito, y una ventana de validez opcional.
El actor se guarda en cuanto completas ese primer paso. Después el asistente ofrece su primera credencial y sus roles, y puedes omitir cualquiera de los dos. Un actor no puede operar hasta que tiene una forma de autenticarse, que es una credencial o una identidad externa vinculada, y al menos un rol. Su detalle lo indica, y ofrece los pasos que faltan, hasta que existen ambos.
El asistente de intercambio criptográfico ofrece ese mismo paso de primera credencial, tanto para un actor que crees dentro de él como para uno que selecciones allí, así que un actor al que llegues por esa vía no necesita una visita aparte a esta pantalla para poder autenticarse. Nada emite una credencial por su cuenta: una credencial existe solo donde alguien la pidió, aquí o allí.
Abrir un actor
Al seleccionar un actor se abre su detalle en un panel junto a la lista, con las pestañas Información, Credenciales, Roles, Identidades federadas y Actividad, en ese orden. Una pestaña que no tienes permiso para leer está deshabilitada.
Información muestra el registro del actor: su identificador, su aplicación, su tipo, su estado, si es el actor predeterminado, su nombre visible, su descripción y su propósito, su ventana de validez, cuándo se creó (Created At) y cuándo se modificó por última vez (Actualizado).
Emitir y rotar credenciales
En la pestaña Credenciales del actor, Emitir credencial ofrece dos modos:
- Add, con el permiso de emisión de credenciales: una credencial nueva junto a las activas, que siguen funcionando.
- Rotate, con el permiso de rotación de credenciales: una credencial nueva, mientras las activas pasan a EN RETIRO (
ROTATING_OUT), siguen autenticando durante la ventana de gracia (Grace window (hours)) que indiques y llevan una marca de tiempo de revocación en la que un proceso programado las revoca. El valor predeterminado es de 24 horas y el máximo de 720.
Es decir: una rotación no invalida la credencial anterior de inmediato salvo que se lo pidas; de forma predeterminada programa la revocación para un día después. Una ventana de gracia de 0 es el único caso inmediato, y entonces las credenciales anteriores se revocan en la misma transacción y toda carga de trabajo que todavía presente una deja de autenticarse al instante.
Al añadir una credencial eliges su tipo, y una rotación conserva el tipo de la que reemplaza:
- Shared secret: la plataforma genera el secreto, lo muestra una sola vez y solo guarda un hash de él. Guárdalo antes de cerrar el diálogo; si lo pierdes, rota la credencial para obtener uno nuevo.
- Registered key pair: la carga de trabajo conserva su clave privada y firma una aserción con ella. Solo pegas la clave pública como JWK, así que no existe ningún secreto que alguien pueda filtrar.
Una credencial también puede tener una ventana de validez. Si la dejas en blanco, es válida desde ahora y no vence.
Un actor deshabilitado ya no puede volver a autenticarse, así que emitir o rotar una credencial para él, o vincularle una identidad federada, se rechaza y no se escribe nada. Revocar sus credenciales y eliminar sus vínculos siguen disponibles.
Revocar una credencial
Con el permiso de revocación de credenciales, revocar una credencial es permanente. La confirmación te pide escribir la versión de la credencial, como v2, y completar ¿Por qué se revoca esta credencial?: el motivo es obligatorio y queda registrado en la auditoría. Un proceso que se autentica con la credencial recibe una denegación en su siguiente solicitud.
Asignar roles
Con el permiso de lectura de roles, la pestaña Roles muestra los permisos de la API del actor y su origen: asignado aquí a mano o conferido por una de sus concesiones de capacidad activas. Con el permiso de asignar o retirar roles, Gestionar permite marcarlos, y Guardar reemplaza el conjunto asignado a mano por exactamente lo marcado. Un nombre conferido por una concesión no se guarda como asignado a mano: enviarlo se rechaza, nombrándolo. Un actor que pertenece a un caso de uso interno solo actúa para ese caso de uso, así que Guardar se rechaza para él, nombrando el caso de uso.
Un actor necesita un permiso de la API para el tipo de operación y una concesión de capacidad para la clave. Una concesión aporta ambos para las operaciones que nombra, mientras siga activa, y al hacerlo no escribe nada: retirar la concesión retira con ella el permiso, sin ningún paso de limpieza. Ninguno de los dos surte efecto en el instante en que pulsas: un token ya emitido vive hasta 900 segundos, y la caché de concesiones hasta 300 segundos más.
Vincular una identidad federada
En la pestaña Identidades federadas, Vincular una identidad externa permite que un sujeto avalado por un emisor de confianza se autentique como este actor, sin que aquí se guarde ningún secreto. Requiere el permiso de escritura de identidades de carga de trabajo, un tenant con derecho a la federación de identidad de carga de trabajo y el emisor declarado en la Configuración de tu tenant. La pestaña indica cuál de estos requisitos falta.
Un vínculo solo transmite identidad: los roles y las concesiones siguen decidiendo lo que puede hacer el actor. Eliminar un vínculo es permanente.
Eliminar un actor
Con el permiso de eliminación de actores, Revocar actor revoca un actor después de que escribes su nombre y das un Motivo, que es obligatorio y queda registrado en la auditoría. Se rechaza mientras credenciales activas, concesiones de capacidad o intercambios criptográficos todavía hacen referencia al actor, así que revócalos antes. Un actor predeterminado no se puede revocar por sí solo; se deshabilita cuando se elimina su aplicación.
Revisar la actividad
La pestaña Actividad muestra las operaciones que ejecutó el actor y los cambios que se le hicieron, con Todos, Administración y Uso. La emisión y la rotación de credenciales se registran en cada credencial y no aparecen allí, y la pestaña lo indica. Leer operaciones y leer cambios son permisos de auditoría distintos: cuando uno se rechaza o falla, la pestaña dice cuál y sigue mostrando el otro.
Cada tipo indica cuántas de sus entradas están cargadas y cuántas tiene, y Cargar más lee las siguientes hasta que la pestaña indica que el historial de ese tipo está completo. En Todos, la lista combinada llega solo hasta donde ambos tipos están cargados, y la pestaña indica esa fecha. Una página siguiente que falla se indica con Reintentar y conserva lo cargado; una rechazada lo dice. Ver en Auditoría abre el Registro de Auditoría acotado a este actor en los últimos 365 días.
Cómo se relaciona con otras pantallas
Cada actor pertenece a una aplicación, y la columna de aplicación de la lista la abre:
Esta pantalla contiene el único detalle de un actor. El actor de una concesión en la pantalla de concesiones de capacidad, y un actor de Usada por en una política de restricción, lo abren aquí:
Las concesiones de capacidad deciden qué claves pueden usar las operaciones de un actor, y los contextos de intercambio acotan esas concesiones a una relación de negocio. Un tenant STANDARD compone ambos en sus propias pantallas. Como los eventos de auditoría se anclan en el actor, la pista de auditoría atribuye cada operación al actor que la realizó.
Dónde leer más
Esta página está en inglés: