Verwenden Sie Anmeldeinformationsassets für Verbindungen

Anstatt Anmeldeinformationen direkt beim Erstellen von Verbindungen einzugeben, können Sie auf ein Orchestrator-Anmeldeinformationsasset verweisen, das mit einem externen Tresor verknüpft ist. Der Integration Service löst die Anmeldeinformationen zur Laufzeit über den Orchestrator auf und speichert sie nie in der Integration Service-Datenbank.

Diese Funktion ist für Organisationen mit zentralisierten Anforderungen an die Verwaltung von Anmeldeinformationen oder strengen Sicherheits- und Compliance-Richtlinien konzipiert.

Wie es funktioniert

Wenn eine Verbindung ein Anmeldeinformations-Asset verwendet, ruft der Integration Service das Orchestrator-Anmeldeinformations-Asset auf, das wiederum das Geheimnis aus dem verknüpften externen Tresor abruft. Der aufgelöste Wert wird für eine Stunde im Speicher zwischengespeichert (verschlüsselt), um wiederholte Tresor-API-Aufrufe zu reduzieren.

Wenn eine Anmeldeinformation ungültig wird, bevor der Cache abläuft – zum Beispiel, weil sie rotiert wurde – ruft der Integration Service automatisch einen neuen Wert aus dem Tresor ab und wiederholt den fehlgeschlagenen Schritt. Die gesamte Kommunikation zwischen Integration Service und dem Orchestrator oder dem externen Tresor wird mit HTTPS/TLS verschlüsselt.

Hinweis:

Diese Funktion gilt für Felder vom Typ Geheimnis auf dem Verbindungsbildschirm (z. B. Kennwörter, API-Schlüssel und Client-Geheimnisse). OAuth 2.0-Zugriffs- und Aktualisierungstoken werden nach dem ersten Autorisierungsablauf weiterhin im Integration Service gespeichert, da das OAuth-Protokoll mehr als einen geheimen Clientschlüssel für die Authentifizierung erfordert. Sie können ein Anmeldeinformations-Asset für das Feld „Geheimnis des Clients“ in den Authentifizierungstypen BYOM (Bring your own OAuth 2.0 app) verwenden, aber nicht für die resultierenden OAuth-Token.

Voraussetzungen

• Integration Service ist aktiviert und für Ihren Mandanten bereitgestellt.
• In Orchestrator ist mindestens ein Anmeldeinformationsspeicher konfiguriert. Zu den unterstützten externen Tresoren gehören CyberArk, HashiCorp Vault und alle anderen, die von den Integrationen für den Anmeldeinformationsspeicher des Orchestrator's unterstützt werden.
• Ein Anmeldeinformationsasset vom Typ Zugangsdaten ist in einem Orchestrator-Ordner vorhanden, der auf das Tresorgeheimnis verweist. Assets vom Typ Text, Integer oder Boolesch werden nicht unterstützt.

Schritt 1: Konfigurieren des Anmeldeinformationsspeichers im Orchestrator

Richten Sie einen Anmeldeinformationsspeicher im Orchestrator ein, der sich mit Ihrem externen Tresor verbindet.

Anweisungen finden Sie unter Über Anmeldeinformationsspeicher im Orchestrator-Benutzerhandbuch.

Schritt 2: Erstellen Sie ein Asset mit Zugangsdaten im Orchestrator

Erstellen Sie in einem Orchestrator-Ordner ein Asset vom Typ Zugangsdaten und verknüpfen Sie es mit dem Geheimnis im Schlüsseltresor.

Anweisungen finden Sie unter Verwalten von Assets in Orchestrator im Orchestrator-Benutzerhandbuch.

Schritt 3: Verweisen Sie beim Erstellen einer Verbindung auf das Anmeldeinformations-Asset

1. Wählen Sie in Orchestrator einen Ordner aus und navigieren Sie zur Registerkarte Verbindungen .

2. Wählen Sie Verbindung hinzufügen und dann den Connector.

3. Suchen Sie auf der Seite zur Verbindungserstellung ein Feld vom Typ Geheimnis (z. B. Passwort, API-Schlüssel oder Client-Geheimnis).

4. Wählen Sie das Menüsymbol neben dem Feld und dann Anmeldeinformations-Asset verwenden aus.

   

5. Wählen Sie das Anmeldeinformations-Asset aus, das Sie verwenden möchten. Sie können Assets aus jedem Orchestrator-Ordner auswählen, auf den Sie Zugriff haben.

6. Füllen Sie alle verbleibenden Felder aus und wählen Sie Verbinden aus.

Häufig gestellte Fragen

Werden bei jeder Anforderung Anmeldeinformationen aus dem Tresor abgerufen?

Nein. Anmeldeinformationen werden für eine Stunde im Speicher zwischengespeichert (verschlüsselt), um wiederholte API-Aufrufe zu reduzieren und die Runtime-Effizienz zu verbessern. Die Cache-Dauer kann nicht konfiguriert werden.

Was passiert, wenn Anmeldeinformationen rotiert werden, bevor der Cache abläuft?

Wenn eine Anforderung fehlschlägt, weil die zwischengespeicherten Anmeldeinformationen ungültig geworden sind, ruft Integration Service automatisch einen neuen Wert aus dem Tresor ab und wiederholt den fehlgeschlagenen Schritt.

Werden Anmeldeinformationen im Integration Service gespeichert?

Nein. Die Anmeldeinformationen werden nicht in die Integration Service-Datenbank geschrieben. Sie werden nur für die einstündiges Cache-Dauer im Speicher in verschlüsselter Form gespeichert.

Funktioniert dies für alle Connectors?

Ja. Diese Funktion funktioniert mit allen Connectors. Jeder Connector, der geheime Eingabefelder auf seinem Verbindungsformular hat (z. B. API-Schlüssel, Kennwort oder Client-Geheimnis), unterstützt unabhängig vom Authentifizierungstyp Referenzen zu Anmeldeinformationsassets.

Gilt dies für alle Felder im Verbindungsformular?

Derzeit werden nur Felder vom Typ Geheimnis unterstützt (z. B. Kennwörter, API-Schlüssel und Client-Geheimnisse). Unterstützung für zusätzliche Feldtypen ist geplant.

Welche Typen von Orchestrator-Assets werden unterstützt?

Es werden nur Assets des Typs Zugangsdaten unterstützt. Text-, Boolesche und Integer-Assets können nicht verwendet werden.

Welche externen Tresore werden unterstützt?

Alle von Orchestrator unterstützten Typen von Anmeldeinformationsspeichern werden unterstützt. Die vollständige Liste finden Sie unter Über Anmeldeinformationsspeicher.

Wird Proxy unterstützt?

Ja. Es werden sowohl verbundene als auch getrennte Proxy-Konfigurationen unterstützt.

Kann ich ein Anmeldeinformations-Asset für OAuth-Token verwenden?

Nein. OAuth 2.0-Zugriffs- und Aktualisierungstoken werden nach dem ersten Autorisierungsablauf immer im Integration Service gespeichert. Nur Eingabefelder vom Typ Geheimnis auf dem Verbindungsbildschirm (z. B. Clientgeheimnis in der BYOM-Authentifizierung) können auf ein Anmeldeinformations-Asset verweisen.