Revisar las solicitudes rechazadas por una política de restricción

Lista las operaciones criptográficas que tu tenant rechazó porque se superó un límite de una política de restricción, para una revisión de cumplimiento o forense de cómo se aplican tus políticas de restricción.

Quién puede hacerlo

Un administrador del tenant o un auditor del tenant, y un superadministrador o un auditor de la plataforma que lea tu tenant. La lectura necesita el permiso para leer las infracciones de restricciones, o el permiso para leer todas las trazas del tenant.

Antes de empezar

• No hay ningún control específico de la consola para esta lista; llamas directamente a la API de auditoría.
• La lista contiene solo las operaciones rechazadas porque una restricción de la concesión rechazó la solicitud: se alcanzó el límite de uso, se alcanzó el límite de frecuencia o se estableció en cero, se usó por segunda vez una concesión de un solo uso, la solicitud quedó fuera de una ventana de validez (la de la política de restricción, la del caso de uso o el período de vigencia del intercambio), o la solicitud quedó fuera del horario de la política de restricción. No se listan otros rechazos que nombran la política de restricción de la concesión, como un contexto de intercambio suspendido o una restricción que no se pudo evaluar.

Pasos

1. Solicita la lista: GET /api/v3/audit/tenants/{tenantId}/constraint-violations (operación listConstraintViolations).
2. Recórrela por páginas con page (desde 0) y size (50 de forma predeterminada, 100 como máximo).

Qué ves cuando funcionó

Una página de registros de auditoría criptográfica, del más reciente al más antiguo, cada uno con status DENIED y errorCode DENY_CONSTRAINT_VIOLATED. Cada registro lleva cuándo ocurrió el rechazo (eventTimestamp), la operación (operationType), el actor (actorId), la concesión (grantId) y su política de restricción (constraintPolicyId, ausente cuando la restricción que rechaza es el período de vigencia del intercambio de una concesión sin política), y la restricción que la rechazó en constraintEvaluations. La clave está en keyId cuando se resolvió la clave rechazada; en caso contrario, la clave que nombró la solicitud está en requestedKeyId. Un rechazo no registra ningún algorithm.

En Auditoría, la pestaña Cripto filtrada por el resultado de denegación lista estos rechazos entre todas las demás operaciones rechazadas; los detalles de un evento muestran su código de error.

Si falla

Sin la consola

Esta tarea no tiene ningún control específico en la consola. No hay ningún comando de la CLI ni método del Admin SDK para ella; la API de los pasos anteriores es la única superficie.

Relacionado

• Políticas de Restricción
• Buscar en el registro de auditoría