Usar activos de credenciales para las conexiones

En lugar de introducir las credenciales directamente al crear conexiones, puedes hacer referencia a un activo de credenciales de Orchestrator vinculado a un almacén externo. Integration Service resuelve la credencial en runtime a través de Orchestrator y nunca la almacena en la base de datos de Integration Service.

Esta característica está diseñada para organizaciones con requisitos de gestión de credenciales centralizados o políticas estrictas de seguridad y cumplimiento.

Cómo funciona

Cuando una conexión utiliza un activo de credenciales, Integration Service llama al activo de credenciales de Orchestrator, que a su vez recupera el secreto del almacén externo vinculado. El valor resuelto se almacena en la memoria caché (cifrado) durante una hora para reducir las llamadas repetidas a la API del almacén.

Si una credencial deja de ser válida antes de que caduque la caché, por ejemplo, porque se ha rotado, Integration Service obtiene automáticamente un valor nuevo del almacén y vuelve a intentar el paso fallido. Toda la comunicación entre Integration Service y Orchestrator o el almacén externo se cifra mediante HTTPS/TLS.

Nota:

Esta característica se aplica a los campos de tipo secreto en la pantalla de conexión (como contraseñas, claves API y secretos de cliente). Los tokens de acceso y actualización de OAuth 2.0 se siguen almacenando en Integration Service después del flujo de autorización inicial, porque el protocolo OAuth requiere más que un secreto de cliente para autenticarse. Puedes utilizar un activo de credenciales para el campo secreto de cliente en los tipos de autenticación BYOA (Trae tu propia aplicación OAuth 2.0), pero no para los tokens OAuth resultantes.

Requisitos previos

• Integration Service está habilitado y aprovisionado para tu tenant.
• Al menos un almacén de credenciales está configurado en Orchestrator. Los almacenes externos compatibles incluyen CyberArk, HashiCorp Vault y todos los demás compatibles con las integraciones del almacén de credenciales de Orchestrator.
• Existe un activo de credencial de tipo Credencial en una carpeta de Orchestrator que hace referencia al secreto del almacén. No se admiten activos de tipo Texto, Entero o Booleano.

Paso 1: configura el almacén de credenciales en Orchestrator

Configura un almacén de credenciales en Orchestrator que se conecte a tu almacén externo.

Para obtener instrucciones, consulta Acerca de los almacenes de credenciales en la guía del usuario de Orchestrator.

Paso 2: crear un activo de credenciales en Orchestrator

En una carpeta de Orchestrator, crea un activo de tipo Credencial y vincúlalo al secreto en el almacén de credenciales.

Para obtener instrucciones, consulta Gestionar activos en Orchestrator en la guía del usuario de Orchestrator.

Paso 3: haz referencia al activo de credenciales al crear una conexión

1. En Orchestrator, selecciona una carpeta y ve a la pestaña Conexiones .

2. Selecciona Añadir conexión y elige el conector.

3. En la página de creación de conexión, localiza un campo de tipo secreto (por ejemplo, Contraseña, Clave API o Secreto de cliente).

4. Selecciona el icono de menú junto al campo y selecciona Usar activo de credenciales.

   

5. Selecciona el activo de credenciales que deseas utilizar. Puedes seleccionar activos de cualquier carpeta de Orchestrator a la que tengas acceso.

6. Completa los campos restantes y selecciona Conectar.

Preguntas frecuentes

¿Se obtienen las credenciales del almacén en cada solicitud?

No. Las credenciales se almacenan en la memoria caché (cifradas) durante una hora para reducir las llamadas repetidas a la API del almacén y mejorar la eficiencia del runtime. La duración de la caché no se puede configurar.

¿Qué sucede cuando se rota una credencial antes de que caduque la caché?

Si una solicitud falla porque la credencial en caché ya no es válida, Integration Service obtiene automáticamente un valor nuevo del almacén y vuelve a intentar el paso fallido.

¿Se almacenan las credenciales en Integration Service?

No. Las credenciales no se escriben en la base de datos de Integration Service. Se mantienen en la memoria en un estado cifrado solo durante la duración de la caché de una hora.

¿Funciona esto para todos los conectores?

Sí. Esta característica funciona con todos los conectores. Cualquier conector que tenga campos de entrada de tipo secreto en su formulario de conexión (como Clave API, Contraseña o Secreto de cliente) admite referencias de activos de credenciales, independientemente del tipo de autenticación.

¿Esto se aplica a todos los campos del formulario de conexión?

Actualmente, solo se admiten campos de tipo secreto (como contraseñas, claves de API y secretos de cliente). Está previsto el soporte para tipos de campo adicionales.

¿Qué tipos de activos de Orchestrator son compatibles?

Solo se admiten activos de tipo Credencial . No se pueden utilizar activos de texto, booleanos y enteros.

¿Qué almacenes externos son compatibles?

Se admiten todos los tipos de almacenes de credenciales compatibles con Orchestrator. Para obtener la lista completa, consulta Acerca de los almacenes de credenciales.

¿Es compatible el proxy?

Sí. Se admiten tanto las configuraciones de proxy conectado como desconectado.

¿Puedo utilizar un activo de credenciales para tokens OAuth?

No. Los tokens de acceso y actualización de OAuth 2.0 siempre se almacenan en Integration Service después del flujo de autorización inicial. Solo los campos de entrada de tipo secreto en la pantalla de conexión (como Secreto de cliente en la autenticación BYOA) pueden hacer referencia a un activo de credenciales.