Permitir que un actor se autentique con un emisor externo
Vincula a un actor criptográfico un sujeto avalado por un emisor de confianza, para que la carga de trabajo se autentique con el token que ya emite su propio proveedor de identidad y la plataforma no guarde ningún secreto. Quita la vinculación para detenerlo.
Quién puede hacerlo
Un administrador del tenant o un gestor de claves del tenant, y un superadministrador de plataforma que trabaja en un tenant en un despliegue de nube privada o local, que en ese caso vincula en nombre del tenant. La consola ofrece Vincular una identidad externa solo a quien tiene el permiso para escribir identidades de carga de trabajo, y el control de revocación solo a esa misma persona.
Antes de empezar
- La edición del tenant incluye la federación de identidad de cargas de trabajo. Sin ella, las vinculaciones existentes se pueden seguir leyendo y revocando, pero no se puede crear ninguna nueva.
- En un despliegue operado por el cliente, el operador de la plataforma delegó al tenant la federación de identidad de cargas de trabajo.
- El emisor está declarado como emisor de confianza, en la Configuración de tu tenant o para todo el despliegue.
- El actor no está deshabilitado.
- Una vinculación solo transmite identidad. El actor sigue necesitando roles, y concesiones de capacidad para sus claves.
Pasos
- Abre Actores criptográficos, selecciona el actor y abre Identidades federadas.
- Selecciona Vincular una identidad externa.
- Pega un token en Token emitido a la carga de trabajo, o escribe el sujeto:
- Un token pegado se lee en el navegador y nunca se envía; solo se envía el identificador de emisor que contiene, para encontrar cuál de los emisores de confianza del tenant lo publicó. La consola completa el emisor y el sujeto a partir del token.
- Sin un token, elige el Emisor bajo el que vincular y escribe el Sujeto a vincular exactamente como lo presenta el emisor. Se compara carácter por carácter.
- Revisa la vista previa de exactamente lo que se enviará y luego selecciona Vincular identidad.
Para quitar una vinculación:
- En Identidades federadas, selecciona el control de revocación en la fila de la vinculación.
- Selecciona Revocar vinculación.
Qué ves cuando funcionó
La consola dice "Se creó la vinculación." y la vinculación aparece en la lista con su emisor, su sujeto y el momento en que se vinculó. A partir de entonces, una vez habilitado el emisor, un token de ese emisor con ese sujeto se autentica como el actor.
Una vinculación revocada sale de la lista de inmediato: desde la siguiente solicitud, un token de ese emisor con ese sujeto ya no se autentica como el actor. Revocar no se puede deshacer; para restablecerlo se necesita una vinculación nueva.
Si falla
| Qué ves | Causa | Qué hacer |
|---|---|---|
| "Ningún emisor de confianza de este tenant publica ese identificador." | El token lo generó un emisor que no está declarado aquí | Declara el emisor como de confianza y luego vincula |
| "Esto no parece un JWT." o "Este token se pudo leer, pero no nombra ningún sujeto." | El texto pegado no es un token, o no lleva ningún sujeto | Escribe el sujeto |
| "Este tenant aún no confía en ningún emisor" | No hay ningún emisor de confianza declarado | Declara uno en Configuración |
| "Vincular una identidad externa forma parte de la edición {edition}, y este tenant no la tiene." | La edición del tenant no incluye la federación de identidad de cargas de trabajo | Cambia la edición del tenant |
| "No se creó la vinculación" porque el par ya está vinculado | Ese emisor y ese sujeto ya están vinculados en este tenant, a un actor (el mensaje lo nombra cuando puede) o a una carga de trabajo administrativa | Quita primero esa vinculación, o usa ese actor |
| "Este actor está deshabilitado, y eso es definitivo, así que no se puede vincular a una identidad externa." | El actor está deshabilitado | Crea un actor nuevo |
| "Esa vinculación ya no existe: alguien ya la había eliminado." | Alguien la quitó antes | No hay nada que hacer: la lista se actualizó |
Sin la consola
| Superficie | Cómo |
|---|---|
| API | POST /api/v3/admin/tenants/{tenantId}/workload-identity/bindable-issuers/resolve solo con el identificador de emisor del token (operación resolveBindableIssuer): encuentra el emisor de confianza que lo publica |
| API | POST /api/v3/admin/tenants/{tenantId}/workload-identity/actors/{actorId}/issuer-bindings con issuerId y subject (operación createTenantActorIssuerBinding) |
| API | DELETE /api/v3/admin/tenants/{tenantId}/workload-identity/actors/{actorId}/issuer-bindings/{bindingId} (operación deleteTenantActorIssuerBinding) |
Relacionado
- Actores Criptográficos: qué muestra la pantalla y cada decisión que tomas en ella.