Usar activos de credenciales para las conexiones

Usa activos de Orchestrator para proporcionar valores de campo de conexión en tiempo de ejecución al crear conexiones en Integration Service, con activos de credenciales respaldados por almacén para campos secretos y activos estándar para otros tipos de campos.

En lugar de introducir valores directamente al crear conexiones, puedes hacer referencia a los activos de Orchestrator. Para campos secretos como contraseñas, claves de API y secretos de cliente, Integration Service resuelve un activo de Credencial a través de Orchestrator desde un almacén externo vinculado y nunca almacena el valor en la base de datos de Integration Service. Para otros campos, el valor se lee desde un activo estándar Texto, Bool o Integer de Orchestrator.

Esta característica está diseñada para organizaciones con requisitos de gestión de configuración centralizados o con políticas estrictas de seguridad y cumplimiento en torno a la gestión de credenciales.

Cómo funciona

Activos de credenciales (campos secretos)

Cuando una conexión utiliza un activo de Credencial, Integration Service llama a Orchestrator, que recupera el secreto del almacén externo vinculado. El valor resuelto se almacena en la memoria caché (cifrado) durante una hora para reducir las llamadas repetidas a la API del almacén.

Si la credencial deja de ser válida antes de que caduque la caché, por ejemplo, porque se ha rotado, Integration Service obtiene automáticamente un valor nuevo del almacén y vuelve a intentar el paso fallido. Toda la comunicación entre Integration Service y Orchestrator o el almacén externo se cifra mediante HTTPS/TLS.

Activos de texto, booleanos y enteros (otros campos)

Cuando una conexión utiliza un activo de texto, booleano o entero, Integration Service lee el valor de Orchestrator. No se trata de ningún almacén externo.

Nota:

Los tipos de activos que se muestran en el selector dependen del campo. Los campos secretos como Contraseña, Clave API y Secreto de cliente muestran solo activos de credenciales . Otros campos compatibles muestran activos Texto, Bool y Entero . Los campos desplegables no muestran el selector. Los tokens de acceso y actualización de OAuth 2.0 se siguen almacenando en Integration Service después del flujo de autorización inicial, porque el protocolo OAuth requiere más que un secreto de cliente para autenticarse. Puedes utilizar un activo de credenciales para el campo secreto de cliente en los tipos de autenticación BYOA (Trae tu propia aplicación OAuth 2.0), pero no para los tokens OAuth resultantes.

Requisitos previos

• Integration Service está habilitado y aprovisionado para tu tenant.
• Si se utilizan activos de credenciales para campos secretos: al menos un almacén de credenciales está configurado en Orchestrator. Los almacenes externos compatibles incluyen CyberArk, HashiCorp Vault y todos los demás compatibles con las integraciones del almacén de credenciales de Orchestrator.
• Uno o más activos de Orchestrator están disponibles en la carpeta donde se crea la conexión. El tipo de activo depende del campo: los campos secretos como Contraseña, Clave API y Secreto de cliente requieren un activo de Credencial ; otros campos aceptan un activo Texto, Bool o Entero .

Paso 1: configurar el almacén de credenciales en Orchestrator (solo activos de credenciales)

Si planeas utilizar activos de credenciales para campos secretos, configura un almacén de credenciales en Orchestrator que se conecte a tu almacén externo. Omite este paso si solo necesitas activos de texto, booleanos o enteros.

Para obtener instrucciones, consulta Acerca de los almacenes de credenciales en la guía del usuario de Orchestrator.

Paso 2: crea un activo en Orchestrator

En una carpeta de Orchestrator, crea el activo que coincida con el tipo de campo que deseas proporcionar:

• Para campos secretos: crea un activo de tipo Credencial y vincúlalo al secreto en el almacén de credenciales.
• Para otros campos: crea un activo Texto, Bool o Entero e introduce el valor directamente.

Para obtener instrucciones, consulta Gestionar activos en Orchestrator en la guía del usuario de Orchestrator.

Paso 3: haz referencia al activo de credenciales al crear una conexión

1. En Orchestrator, selecciona una carpeta y ve a la pestaña Conexiones .

2. Selecciona Añadir conexión y elige el conector.

3. En la página de creación de conexión, localiza un campo compatible. Los campos secretos (Contraseña, Clave API, Secreto de cliente) y los campos de texto sin formato (como ID de cliente o URL del token) admiten activos de Orchestrator.

4. Selecciona el icono de menú junto al campo y selecciona Usar activo de credenciales (para campos secretos) o Usar activo de Orchestrator (para otros campos).

   

5. Seleccione el activo que desea utilizar. Puedes seleccionar activos que se encuentran en la carpeta donde estás creando la conexión o compartidos con la carpeta mediante enlaces de activos.

6. Completa los campos restantes y selecciona Conectar.

Preguntas frecuentes

¿Se obtienen los valores de los activos de credenciales del almacén en cada solicitud?

No. Cuando se utiliza un activo de Credencial, su valor se almacena en la memoria caché (cifrado) durante una hora para reducir las llamadas repetidas a la API del almacén y mejorar la eficiencia del runtime. La duración de la caché no se puede configurar. Los valores de activos de texto, booleanos y enteros se leen desde Orchestrator en cada uso y no se almacenan en caché.

¿Qué sucede cuando se rota un activo de Credencial antes de que caduque la caché?

Si una solicitud falla porque la credencial en caché ya no es válida, Integration Service obtiene automáticamente un valor nuevo del almacén y vuelve a intentar el paso fallido. Esto se aplica solo a los activos de credenciales.

¿Los valores de los activos se almacenan en Integration Service?

Para activos de credenciales: no. Los valores no se escriben en la base de datos de Integration Service y se mantienen en la memoria en un estado cifrado solo durante la duración de una hora en caché. Para activos de texto, booleanos y enteros: los valores se leen desde Orchestrator en el momento en que se utiliza la conexión y no se conservan en Integration Service.

¿Funciona esto para todos los conectores?

Sí. Esta característica funciona con todos los conectores, independientemente del tipo de autenticación.

¿Esto se aplica a todos los campos del formulario de conexión?

Los campos desplegables no son compatibles: el selector no aparece en ellos. En todos los demás campos, el selector muestra solo los tipos de activos compatibles con ese campo. Los campos secretos como Contraseña y Clave API muestran solo activos de credenciales ; otros campos muestran activos Texto, Bool y Entero .

¿Qué tipos de activos de Orchestrator son compatibles?

Los tipos de activos disponibles dependen del tipo de campo:

Campo	Tipos de activos disponibles
Campos secretos (contraseña, clave API, secreto de cliente)	Credencial
Otros campos	Texto, Bool, Entero

¿Qué almacenes externos son compatibles?

Se admiten todos los tipos de almacenes de credenciales compatibles con Orchestrator. Para obtener la lista completa, consulta Acerca de los almacenes de credenciales. Los almacenes externos se aplican solo a los activos de credenciales: los activos de texto, booleanos y enteros almacenan sus valores directamente en Orchestrator.

¿Es compatible el proxy?

Sí. Se admiten tanto las configuraciones de proxy conectado como desconectado.

¿Puedo utilizar un activo de credenciales para tokens OAuth?

No. Los tokens de acceso y actualización de OAuth 2.0 siempre se almacenan en Integration Service después del flujo de autorización inicial. Solo los campos de entrada de tipo secreto en la pantalla de conexión (como Secreto de cliente en la autenticación BYOA) pueden hacer referencia a un activo de credenciales.