Skip to content

Crear una carga de trabajo y su primera credencial

Registra una carga de trabajo administrativa, como un trabajo de aprovisionamiento o una canalización de rotación de claves, dale una clave pública con la que iniciar sesión y asígnale los ámbitos que puede usar. Una carga de trabajo administra el tenant sin una persona; nunca usa claves para operaciones criptográficas.

Quién puede hacerlo

Un administrador del tenant, o un superadministrador de plataforma que trabaja dentro del tenant en un despliegue de nube privada o local. En un despliegue SaaS, la plataforma rechaza los cambios de un administrador de la plataforma en las cargas de trabajo de un tenant.

La consola muestra cada control solo a quien tiene su permiso: Crear carga de trabajo requiere el permiso para crear cargas de trabajo, Registrar clave pública el permiso para gestionar las credenciales de las cargas de trabajo, y Asignar ámbitos el permiso para asignar ámbitos a las cargas de trabajo.

Antes de empezar

  • Quien ejecuta la carga de trabajo genera su par de claves y te envía solo la clave pública, como JWK: una clave EC en P-256, P-384 o P-521, o una clave RSA de 2048 a 4096 bits. Nunca recibes ni guardas la clave privada.
  • Decide qué ámbitos necesita la carga de trabajo. Solo puedes asignar ámbitos que tienes tú, y también debes tener todos los ámbitos que la carga de trabajo ya tiene.
  • Registrar una clave y asignar ámbitos se rechazan durante una sesión de acceso de soporte.

Pasos

  1. Abre Cargas de trabajo administrativas desde la barra lateral del tenant.
  2. Selecciona Crear carga de trabajo.
  3. Escribe un Nombre y, de forma opcional, una Descripción, y luego selecciona Crear. El nombre usa letras, dígitos, puntos, guiones y guiones bajos, empieza por una letra o un dígito, y es único entre las cargas de trabajo del tenant que no están revocadas. Se abre el detalle de la carga de trabajo nueva.
  4. En la pestaña Claves, selecciona Registrar clave pública:
    1. Pega la JWK pública en Clave pública (JWK).
    2. De forma opcional, establece Válida hasta. Si lo dejas vacío, la clave se acepta durante doce meses; ninguna clave se acepta durante más de veinticuatro.
    3. Selecciona Registrar.
  5. En la pestaña Ámbitos, selecciona Asignar ámbitos, marca los ámbitos que necesita la carga de trabajo y selecciona Guardar ámbitos. La lista ofrece solo los ámbitos que la plataforma indica que puedes asignar; el conjunto que guardas reemplaza al actual.
  6. Entrega a la persona que ejecuta la carga de trabajo su id, que se muestra bajo su nombre en el detalle.

Qué ves cuando funcionó

La consola confirma "{name} creada.", luego "Clave {kid} registrada." y "Ámbitos guardados.". La carga de trabajo aparece como Activa, con una clave en uso y sus ámbitos. La clave aparece en Claves como Activa, identificada por su huella (ID de clave). Cada cambio se registra en la auditoría.

El próximo token de la carga de trabajo lleva los ámbitos que guardaste. En lugar de una clave, una carga de trabajo puede iniciar sesión con una identidad de nube o de CI; consulta Permitir que las cargas de trabajo inicien sesión con una identidad de nube o de CI.

Si falla

Qué ves Causa Qué hacer
Una carga de trabajo administrativa vigente de este tenant ya usa este nombre; elige otro, o revoca la carga de trabajo que lo tiene ("A live administrative workload of this tenant already uses this name. Choose another name, or revoke the workload that holds it.") Una carga de trabajo del tenant que no está revocada ya usa el nombre, sin distinguir mayúsculas de minúsculas Elige otro nombre
Se rechaza el nombre Tiene caracteres distintos de letras, dígitos, puntos, guiones y guiones bajos, o no empieza por una letra o un dígito Corrige el nombre
"Esta clave contiene material de clave privada, así que se borró y no se envió. Pega solo la clave pública." La JWK pegada lleva un miembro privado Pide solo la clave pública
Se rechaza la clave Un tipo de clave, una curva o un tamaño RSA no admitido, o un Válida hasta en el pasado o a más de 24 meses Pide una clave admitida, o corrige la fecha
Esta clave pública ya está registrada; genera un par de claves nuevo y registra su clave pública ("This public key is already registered. Generate a new key pair and register its public key.") La clave ya está registrada, en esta o en otra carga de trabajo Pide un par de claves nuevo
Una carga de trabajo administrativa de este tenant no puede tener los ámbitos siguientes ("An administrative workload of this tenant cannot hold the following scope(s):"), seguido de los ámbitos Una carga de trabajo no puede tener esos ámbitos, como un ámbito criptográfico del plano de datos distinto de las importaciones de claves y de keystores, un ámbito de plataforma o un ámbito de auditoría Quita los ámbitos indicados
Rechazado por la regla del subconjunto ("Refused by the subset rule:"), seguido de los ámbitos que no tienes No tienes un ámbito que estás asignando, o uno que la carga de trabajo ya tiene Pide ayuda a un administrador que los tenga

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/workloads (operación createTenantWorkload)
API POST /api/v3/admin/tenants/{tenantId}/workloads/{workloadId}/credentials (operación createTenantWorkloadCredential)
API PUT /api/v3/admin/tenants/{tenantId}/workloads/{workloadId}/scopes (operación replaceTenantWorkloadScopes)

Relacionado