Federación de Identidad de Cargas de Trabajo
Para qué sirve esta pantalla
Una carga de trabajo — un trabajo programado, un servicio, una canalización — se autentica ante esta plataforma con un token que su propio proveedor de identidad ya le emite, en lugar de un secreto creado aquí que además hay que rotar. Esta pantalla, que se abre desde Acceso e Identidad → Federación de Identidad de Cargas de Trabajo, es donde declaras de qué emisores externos está dispuesto este despliegue a verificar tokens.
No contiene ajustes. Nada de lo que hay en ella es un valor de configuración con un valor predeterminado; es un registro de decisiones de confianza con su propio ciclo de vida, y la pantalla lo dice sin rodeos: aquí no se crea, almacena ni rota ninguna credencial.
Lee la separación antes de usarla. Declarar un emisor no concede nada: dice que este despliegue está dispuesto a creer los tokens que firme esa parte. Lo que de verdad deja entrar a una carga de trabajo es el vínculo entre un par (emisor, sujeto) y un principal, un actor criptográfico o una carga de trabajo administrativa, y eso es una afirmación sobre ese principal, así que se hace en su propia pantalla. Aquí no se crea ningún vínculo, y allí no se declara ningún emisor.
Qué debe existir antes
- El contexto de plataforma y el permiso de lectura de la confianza de cargas de trabajo. Sin ninguno de los dos permisos de lectura, la pantalla lo dice en lugar de mostrarte un registro vacío.
- El permiso de escritura, para declarar, editar, habilitar, deshabilitar y eliminar; y el permiso de prueba, para las dos acciones que sondean. Están separados a propósito: probar sale hacia tu emisor, leer no.
- Un despliegue que operas tú. El registro de todo el despliegue existe solo en una instalación privada o local, porque allí una declaración de confianza para todo el despliegue es una afirmación sobre tus propias cargas de trabajo. No se ofrece en una instalación operada por ANKA, y allí la plataforma rechaza todos los verbos de ese plano, lecturas incluidas.
- Un emisor que publique por HTTPS un documento de descubrimiento de OpenID Connect y un conjunto de claves.
Decisiones que tomas aquí
Declarar un emisor
Emisores de confianza del despliegue lista aquello en lo que confía este despliegue, heredado por cada tenant que hay en él. Una declaración nombra el proveedor — Auth0, Microsoft Entra ID, Okta, Keycloak, Amazon Cognito o cualquier otro proveedor OpenID Connect —, la URL del emisor, una Etiqueta opcional de hasta 200 caracteres y una Vida máxima del token.
La URL del emisor se guarda en una única forma canónica y después se compara por igualdad exacta de cadena: nunca por host, nunca por prefijo, nunca por sufijo. Dos formas de escribir un mismo emisor chocan en lugar de convivir, y una URL de emisor se declara una sola vez en este plano. Si eliminas una, esa misma URL se puede volver a declarar.
Los Algoritmos de firma son el conjunto propio del proveedor; la pantalla muestra el conjunto efectivo y no te pide reducirlo. Una vida máxima por encima del techo de la plataforma se limita en lugar de rechazarse, y la fila lo indica: los tokens de ese emisor que duren más que el techo se rechazan al autenticar, mientras los demás emisores siguen funcionando.
Dar la audiencia a tu proveedor
El registro muestra una Audiencia derivada que calcula este servidor. Configúrala como el identificador de API — la audiencia — de la aplicación máquina a máquina en tu proveedor de identidad, exactamente como aparece. No la compongas por tu cuenta: un token cuya audiencia elige quien lo presenta es una afirmación validada contra sí misma.
Habilitar, y qué significa estar habilitado
Un emisor recién declarado es inerte. Dice Fuera del conjunto de confianza hasta que lo agregas, y es deliberado: una declaración que nadie terminó no puede ampliar por su cuenta aquello en lo que la plataforma confía. Una vez En el conjunto de confianza, un token firmado por ese emisor autentica al actor o a la carga de trabajo que nombra un vínculo, y solo a ese principal. Quítalo del conjunto de confianza para dejar de aceptarlo, de inmediato y para todos sus vínculos.
Validar y probar
Son dos preguntas distintas y la pantalla las mantiene separadas. La validación previa pregunta a la plataforma si una declaración candidata sería admitida, y responde sin escribir nada y sin contactar al emisor: así sabes qué regla rechaza una URL con el formulario todavía abierto, en lugar de después de un guardado fallido.
La prueba sí contacta al emisor. Puedes entregarle un token de muestra; la plataforma lo evalúa y lo descarta, y nunca lo almacena, registra, audita ni devuelve. Sin él, algunas comprobaciones se informan como no ejercitadas, no como superadas.
Qué es, y qué no es, la columna de estado
Token verificado significa que una carga de trabajo se autenticó con un token firmado por ese emisor y la plataforma verificó esa firma contra el conjunto de claves del emisor. Ningún token verificado aún significa que eso no ha ocurrido, y no dice nada sobre si el emisor responde, que es lo que responde la prueba. La verificación falló significa que se contactó al emisor y rechazó, o que su conjunto de claves no se pudo usar. Ninguno de los tres es un veredicto sobre la última prueba.
Los emisores propios de un tenant
La pestaña Por tenant administra el registro de un tenant: sus emisores propios, adicionales a todos los que declara este despliegue. Un token presentado nombra exactamente un emisor, así que estos forman un conjunto: no hay primero, ni siguiente, ni nada que reordenar. Elige allí el tenant; escribes en su nombre, sin entrar en él y sin leer sus datos. En un despliegue que operas tú, todos los tenants tienen derecho a esto: la puerta por edición que se le aplica es un hecho comercial exclusivo de los despliegues operados por ANKA.
Cómo se relaciona con otras pantallas
El vínculo que realmente admite una carga de trabajo se crea en el actor criptográfico, desde su vista de identidades federadas, que enlaza de vuelta aquí cuando un token nombra un emisor que ninguna declaración recoge, o en la pestaña Identidades federadas de la carga de trabajo administrativa:
El inicio de sesión de personas es el otro subsistema de federación y no comparte nada con este: otra pantalla, otras tablas, otros permisos:
La configuración de inicio de sesión que lo rodea, y el mapa de todos los sistemas externos a los que está conectado el despliegue:
Dónde leer más
Estas páginas están en inglés: