Skip to content

Emitir, rotar o revocar la credencial de un actor

Da a un actor criptográfico una credencial con la que pueda autenticarse, reemplaza esa credencial de forma periódica o revoca una de inmediato.

Quién puede hacerlo

Un administrador del tenant o un gestor de claves del tenant, y un superadministrador de plataforma que trabaja en un tenant en un despliegue de nube privada o local. Emitir, rotar y revocar son permisos distintos: la consola ofrece Emitir credencial, el modo Rotar y el control de revocación solo a quien tiene el permiso correspondiente.

Antes de empezar

  • El actor no está deshabilitado. Un actor deshabilitado nunca puede volver a autenticarse, así que se rechaza emitir o rotar una credencial para él; revocar sus credenciales sigue disponible.
  • Decide el tipo de credencial:
    • un secreto compartido, que la plataforma genera, muestra una vez y guarda solo como hash;
    • un par de claves registrado, en el que la carga de trabajo conserva su clave privada y tú solo pegas la clave pública como JWK.
  • Para una rotación, decide durante cuánto tiempo siguen funcionando las credenciales actuales. De forma predeterminada siguen autenticando durante 24 horas.

Pasos

  1. Abre Actores criptográficos, selecciona el actor y abre Credenciales.
  2. Para emitir o rotar, selecciona Emitir credencial y luego elige el Modo:
    • Agregar emite una credencial nueva junto a las activas, que siguen funcionando.
    • Rotar emite una credencial nueva y pasa las activas a ROTATING_OUT. Establece la Ventana de gracia (horas), de 0 a 720: siguen autenticando durante ese tiempo y luego se revocan. 0 las revoca de inmediato.
  3. Al añadir, elige el Tipo de credencial: Secreto compartido, o Par de claves registrado y pega el JWK público. Una rotación conserva el tipo que reemplaza.
  4. De forma opcional, establece Válido desde y Válido hasta. Si los dejas en blanco, la credencial es válida desde ahora y sin vencimiento.
  5. Selecciona Emitir.
  6. Para un secreto compartido, copia el ID de cliente y el Secreto de cliente, guárdalos, confirma que guardaste el secreto y selecciona Cerrar. El secreto no se vuelve a mostrar nunca.

Para revocar una credencial:

  1. En Credenciales, selecciona el control de revocación en la fila de la credencial.
  2. Escribe la versión de la credencial tal como se muestra, por ejemplo v2.
  3. Completa ¿Por qué se revoca esta credencial?
  4. Selecciona Revocar.

Qué ves cuando funcionó

Una credencial emitida aparece en la lista como activa, con su versión y su validez. Después de una rotación, las credenciales anteriores indican ROTATING_OUT con el momento en que se revocan. Una credencial revocada aparece como revocada, la consola confirma "Credencial v{version} revocada", y se rechaza en la siguiente solicitud de token. Un token ya emitido con ella sigue siendo válido hasta que vence, 15 minutos como máximo; para detener al actor de inmediato, suspéndelo.

Si falla

Qué ves Causa Qué hacer
"No se emitió la credencial" con "Este actor está deshabilitado, y eso es definitivo, así que no se le puede dar una credencial nueva." El actor está deshabilitado Crea un actor nuevo si la carga de trabajo todavía se necesita
"La ventana de gracia debe estar entre 0 y 720 horas." La ventana de gracia está fuera de rango Escribe un número entero de 0 a 720
"Válido hasta debe ser estrictamente posterior a Válido desde." La ventana de validez termina antes de empezar Corrige las fechas
Rotar indica "(no hay credenciales activas que rotar)" El actor no tiene ninguna credencial activa Usa Agregar
Se rechaza la clave pública El JWK está mal formado, es de un tipo o tamaño de clave no admitido, o no corresponde al tipo de credencial Pega el JWK público de una clave admitida
Se perdió el secreto Se muestra una sola vez Rota la credencial para obtener uno nuevo

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/actors/{actorId}/credentials (operación createActorCredential)
API POST /api/v3/admin/tenants/{tenantId}/actors/{actorId}/credentials/rotate, con graceWindowHours (operación rotateActorCredential)
API POST /api/v3/admin/tenants/{tenantId}/actors/{actorId}/credentials/{credentialId}/revoke con un cuerpo que lleva el reason (operación revokeActorCredential)

Relacionado