Gestión de Tokens
Para qué sirve esta pantalla
Cada token de acceso que emite la plataforma lleva un identificador único, su JTI. Cuando un token se revoca antes de vencer, ese identificador se escribe en una lista de bloqueo que todos los servicios consultan en cada solicitud, y el token se rechaza desde entonces. Esta pantalla lista las entradas de esa lista que pertenecen a tu tenant, bajo el encabezado Tokens revocados, con un total y un botón Actualizar.
Lee el encabezado al pie de la letra. Esta lista contiene tokens que ya están revocados y ya no son válidos; con el permiso de revocación, Revocar un token también añade el JTI de un token que sigue siendo válido, y lo detiene desde la siguiente solicitud. La pantalla también muestra las sesiones abiertas de un miembro de tu tenant y te permite terminarlas.
Qué debe existir antes
Tanto los tenants SIMPLE como los STANDARD usan esta pantalla, en todos los tipos de instalación. Antes de trabajar aquí necesitas:
- El permiso de lectura de los tokens de tu tenant, que muestra la entrada del menú lateral, la lista y las sesiones de un miembro. Los roles integrados de administrador, administrador de acceso, auditor, gestor de claves y visor del tenant lo tienen. Sin él, la pantalla indica que no tienes permiso para ver la gestión de tokens.
- El permiso de revocación de los tokens de tu tenant, de los roles integrados de administrador y de administrador de acceso del tenant, que añade la columna Acción y te permite terminar las sesiones de un miembro.
- Para elegir un miembro en Sesiones iniciadas, también el permiso para listar los usuarios de tu tenant (
admin.tenant.user.list). Los cinco roles integrados anteriores lo tienen; un rol personalizado que lee tokens sin él muestra la lista de tokens revocados pero no el selector de miembros, y la pantalla indica que para elegir un miembro se requiere el permisoadmin.tenant.user.list.
Decisiones que tomas aquí
Leer la lista
Cada fila es un JTI, mostrado completo, con la insignia Revocado. No se muestra nada más: ni de quién era el token, ni cuándo se emitió, ni si pertenecía a una persona, a un actor criptográfico o a una sesión de soporte. La plataforma conserva solo el identificador y el tenant al que se emitió. La lista tiene un tope de 5.000 entradas e indica Se muestran las primeras 5.000 entradas. cuando lo alcanza; Total revocados cuenta lo que se devolvió.
Aquí aparece cada token de tu tenant cuya revocación se escribió en la lista de bloqueo: una sesión de consola terminada al cerrar sesión, un token revocado a través de la API por su propio titular, una sesión de soporte terminada por el operador o por tu retirada, y cualquier token revocado desde esta pantalla. Una entrada desaparece cuando el token que nombra habría vencido de todos modos, porque la plataforma deja de recordar un token pasada su propia vida.
Lo que no aparece aquí: los tokens que simplemente vencieron; los tokens de refresco, que se eliminan en lugar de bloquearse; y las sesiones terminadas al quitar un rol, eliminar un usuario o desvincular una identidad federada. Esas se terminan mediante una marca de revocación por persona que esta lista no lee, así que una persona que eliminaste no está representada aquí aunque todas sus sesiones hayan terminado.
Revocar una entrada
Con el permiso de revocación, el icono de papelera de una fila abre Renovar la revocación, que dice que el token ya está revocado y se confirma con Revocar. La solicitud repite una revocación que ya está en pie: la entrada se reescribe para recordarse durante 30 días, y el token sigue rechazado exactamente igual que antes. No se puede deshacer, y no hay nada más que pudiera detener, porque el token ya estaba detenido. La revocación se escribe en tu pista de auditoría de autenticación; también cada lectura de esta lista.
La solicitud se rechaza, y la pantalla informa de que el token no se pudo revocar, cuando la plataforma ya no sabe a qué tenant pertenecía el token. Eso ocurre una vez que el token pasó su propio vencimiento, así que la fila está saliendo de la lista de todos modos. No se rechaza porque el token ya estuviera revocado: repetir una revocación tiene éxito.
Para terminar un acceso que todavía es válido, ve a donde vive la identidad. Revocar un token detiene un token del que conoces el JTI. Eliminar un usuario o quitarle un rol termina todas las sesiones de esa persona en tu tenant; revocar una credencial detiene al actor que la presenta; retirar una autorización de soporte termina todas las sesiones de soporte que dependen de ella.
Finalizar las sesiones de un miembro
En Sesiones iniciadas, elige un miembro para listar sus sesiones abiertas en tu tenant: cuándo comenzó cada una, cómo inició sesión la persona, su última actividad, cuándo termina como máximo y si es recordada. Las sesiones que la persona tiene en otras organizaciones nunca se muestran ni se tocan.
El proveedor de identidad con el que se inició una sesión solo se muestra para un inicio de sesión con contraseña o un proveedor de tu tenant: el suyo propio, o el proveedor de la instalación que usa. Una sesión que comenzó en el proveedor de otra organización y luego cambió a tu tenant no muestra proveedor, de modo que el proveedor de esa organización nunca se te revela.
Con el permiso de revocación, Finalizar sesión finaliza una sesión, y Finalizar todas las sesiones de este miembro en este tenant finaliza todas las que el miembro tiene aquí. La persona puede volver a iniciar sesión mientras su membresía esté activa. Cada acción se escribe en tu pista de auditoría de autenticación, con tu nombre y el del miembro.
Una sesión también termina por sí sola: como máximo 12 horas después del inicio de sesión de forma predeterminada, y antes tras un período sin actividad.
Cuándo surte efecto una revocación
Cada servicio consulta la lista de bloqueo después de verificar la firma y el vencimiento de un token, en cada solicitud y sin guardar en caché una respuesta limpia. Por tanto, un token revocado se rechaza en la siguiente solicitud en la que se presente, dondequiera que se presente. Si la propia lista de bloqueo no está disponible, el token se rechaza en lugar de admitirse.
Cómo se relaciona con otras pantallas
La lista de revocados registra las consecuencias de revocaciones decididas en otro lugar. Las sesiones de una persona terminan aquí o en la pantalla de usuarios, y las de un actor en la de actores; una sesión de soporte termina desde la pantalla de Acceso de soporte o cuando se cierra su ventana. La pantalla de usuarios muestra cuándo inició sesión por última vez un miembro en tu tenant. La pista de autenticación, incluida cada revocación hecha aquí, forma parte del registro de auditoría de tu tenant:
Dónde leer más
Esta página está en inglés: