Cargas de Trabajo Administrativas
Para qué sirve esta pantalla
Esta pantalla, que se abre desde la entrada Cargas de trabajo administrativas del menú lateral del tenant, lista las cargas de trabajo administrativas de este tenant: las canalizaciones y los trabajos que lo administran sin una persona, como un trabajo de aprovisionamiento o una canalización de rotación de claves. Responde a una pregunta: qué puede actuar sobre este tenant cuando nadie ha iniciado sesión.
Una carga de trabajo no tiene contraseña ni secreto de cliente. Inicia sesión con un par de claves que posee, del que aquí solo se registra la clave pública, o con un token que le emite su propio proveedor de identidad. Cada token que obtiene está vinculado a la carga de trabajo, dura como máximo cinco minutos y lleva solo los ámbitos que asignas en esta pantalla.
La lista muestra todas las cargas de trabajo del tenant, incluidas las revocadas, con su estado, el número de claves que todavía se le aceptan y sus ámbitos. Elige un nombre para abrir su detalle, donde están todos los demás controles, en cinco pestañas: Información, Claves, Identidades federadas, Ámbitos y Actividad.
Una carga de trabajo administra el tenant; nunca usa claves. Cifrar, firmar y las demás operaciones criptográficas corresponden a los actores criptográficos.
Qué debe existir antes
- El permiso de leer las cargas de trabajo administrativas del tenant; muestra la entrada del menú lateral y la lista. Sin él, la pantalla lo indica y no solicita nada.
- Para crear una carga de trabajo, el permiso de crearla. Para editarla, suspenderla y reactivarla, el permiso de actualizar cargas de trabajo; para revocarla, el permiso de revocarlas. Para asignar ámbitos, el permiso de asignar ámbitos a cargas de trabajo.
- Para registrar, rotar y revocar claves y para vincular o desvincular un sujeto federado, el permiso de gestionar las credenciales de las cargas de trabajo. Vincular también requiere el permiso de leer la confianza de identidad de cargas de trabajo, que lista los emisores entre los que puedes elegir.
- Para una identidad federada, al menos un emisor de confianza bajo el que el tenant pueda vincular. Un tenant declara sus propios emisores en su configuración, en Integraciones → Emisores de confianza; también se ofrece un emisor declarado por el despliegue.
Cada control aparece solo con su permiso. La plataforma sigue decidiendo cada cambio, y un rechazo se muestra tal como lo redactó la plataforma.
Decisiones que tomas aquí
Crear una carga de trabajo
Crear carga de trabajo pide un nombre y una descripción opcional. El nombre usa letras, dígitos, puntos, guiones y guiones bajos, comienza por una letra o un dígito, y es único entre las cargas de trabajo del tenant que no están revocadas, sin distinguir mayúsculas de minúsculas. Es el nombre que la pista de auditoría registra para todo lo que hace la carga de trabajo.
Una carga de trabajo nueva está ACTIVE pero todavía no puede hacer nada: no tiene clave, ni identidad federada, ni ámbitos. Dale una forma de iniciar sesión y los ámbitos que necesita desde su detalle.
Registrar una clave pública
En Claves, Registrar clave pública recibe la JWK pública de un par de claves que posee la carga de trabajo: una clave EC en P-256, P-384 o P-521, o una clave RSA de 2048 a 4096 bits. La clave privada se queda con la carga de trabajo. Una clave pegada que contiene algún miembro privado se borra en el navegador y nunca se envía; pega solo la clave pública.
El par de claves lo genera quien ejecuta la carga de trabajo, en una integración su desarrollador, que solo te envía la JWK pública: nunca recibes ni guardas la clave privada. Con la clave y los ámbitos listos, entrega a esa persona el id de la carga de trabajo, que aparece bajo su nombre en el detalle.
La clave se identifica por su huella, que se muestra como ID de clave, y una clave pertenece a una sola carga de trabajo en todo el despliegue. Válida hasta es opcional: si lo dejas vacío, la clave se acepta durante doce meses desde el registro, y ninguna clave se acepta más de veinticuatro.
Rotar una clave
Rotar en una clave ACTIVE registra su sucesora. La clave nueva se acepta de inmediato; la anterior queda ROTATING_OUT y se sigue aceptando durante el Periodo de gracia, de 0 a 720 horas, 24 si lo dejas vacío, para que la carga de trabajo cambie de clave sin interrupción. Un periodo de gracia de 0 revoca la clave anterior de inmediato y rechaza todos los tokens que tiene la carga de trabajo. Una carga de trabajo también puede tener varias claves activas a la vez: registra otra clave en lugar de rotar cuando quieras que ambas sigan siendo válidas.
Vincular una identidad federada
En Identidades federadas, Vincular sujeto federado permite que los tokens que un emisor de confianza emite para un sujeto exacto inicien la sesión de la carga de trabajo, sin que esta posea una clave; por ejemplo, la cuenta de servicio de un trabajo de Kubernetes. Elige el emisor y escribe el sujeto exactamente como lo lleva el claim sub del token.
Un par de emisor y sujeto inicia sesión como un solo principal del tenant: un par ya vinculado a otra carga de trabajo o a un actor criptográfico se rechaza. Desvincular impide que el sujeto inicie sesión; los tokens que ya obtuvo siguen siendo válidos hasta que vencen, en menos de cinco minutos, así que suspende la carga de trabajo cuando deban rechazarse de inmediato.
Asignar ámbitos
En Ámbitos, Asignar ámbitos ofrece solo los ámbitos que la plataforma indica que puedes asignar, y el conjunto que guardas reemplaza al actual. El siguiente token de la carga de trabajo lleva el conjunto nuevo.
Lo que puedes asignar es más reducido que lo que tienes. Una carga de trabajo nunca tiene un ámbito del plano de datos criptográfico (salvo importar claves y almacenes de claves), un ámbito de plataforma, la gestión de cargas de trabajo, decisiones de quórum, recuperación de cuentas, escrituras de proveedores de identidad o de entrega de notificaciones ni ámbitos de auditoría. También debes tener todos los ámbitos que la carga de trabajo tiene hoy, para que nadie tome el control de una carga de trabajo con más poder que él mismo. La misma regla vale para cambiarle el nombre y para reactivarla.
Una carga de trabajo nunca se modifica a sí misma: no puede ampliar sus propios ámbitos, registrar sus propias claves ni reactivarse. Esos cambios los hace una persona.
Contener una carga de trabajo
Cuando una carga de trabajo o su clave están en duda, actúa desde su detalle:
- Revocar en una clave rechaza de inmediato todas las aserciones firmadas con ella y todos los tokens que la carga de trabajo ya tiene. Las demás claves de la carga de trabajo siguen funcionando.
- Suspender impide que la carga de trabajo obtenga tokens y rechaza todos los que tiene, hasta Reactivar. Los tokens rechazados por la suspensión siguen rechazados.
- Revocar carga de trabajo revoca con ella todas sus claves e identidades federadas y rechaza sus tokens de inmediato. No se puede deshacer: el registro se conserva para la pista de auditoría, y su nombre queda libre para una carga de trabajo nueva.
Editar cambia solo el nombre y la descripción; las claves, las identidades federadas, los ámbitos y el estado no cambian.
Revisar la actividad
Actividad lista, de lo más reciente a lo más antiguo, lo hecho con la carga de trabajo, sus claves y sus identidades federadas, incluso las desvinculadas. Una lectura fallida es un error, nunca un historial vacío.
Nombra a los administradores y cargas de trabajo de tu tenant; una acción de un administrador de la plataforma o de la automatización de la plataforma lleva la etiqueta Operador de plataforma, con qué se hizo, cuándo y su resultado, sin decir quién ni por qué. No lista lo que un servicio de la plataforma transmite por cuenta de un llamador externo. Omite entradas de claves o identidades federadas anteriores a la versión 3.4.1. Ver en Auditoría abre el Registro de Auditoría filtrado por esta carga de trabajo.
Solicitudes que requieren quórum
Cuando el tenant exige quórum para una operación, una carga de trabajo que la solicita no la ejecuta: la solicitud espera su aprobación. Solo una persona la aprueba o la rechaza, nunca una carga de trabajo.
Cómo se relaciona con otras pantallas
Las personas que administran el tenant, y los roles que tienen, se gestionan en sus propias pantallas:
Los emisores bajo los que se puede vincular una carga de trabajo se declaran en las integraciones del tenant:
El uso de claves corresponde a los actores criptográficos, que se vinculan a los emisores de la misma forma:
Una solicitud de una carga de trabajo que requiere aprobación se decide aquí:
Lo que hizo cada carga de trabajo está en la pista de auditoría del tenant, bajo su nombre:
Dónde leer más
Estas páginas están en inglés: