Utiliser des ressources d'informations d’identification pour les connexions

Au lieu d'entrer les informations d'identification directement lors de la création des connexions, vous pouvez référencer une ressource d'informations d'identification Orchestrator liée à un coffre externe. Integration Service résout les informations d'identification lors du runtime via Orchestrator et ne les stocke jamais dans la base de données Integration Service.

Cette fonctionnalité est conçue pour les organisations ayant des exigences de gestion des informations d’identification centralisées ou des politiques de sécurité et de conformité strictes.

Mode de fonctionnement

Lorsqu’une connexion utilise une ressource d’informations d’identification, Integration Service appelle la ressource d’informations d’identification Orchestrator, qui récupère à son tour le secret à partir du coffre externe lié. La valeur résolue est mise en cache dans la mémoire (chiffrée) pendant une heure afin de réduire les appels répétés d'API du coffre.

Si un identifiant devient non valide avant l'expiration du cache, par exemple parce qu'il a fait l'objet d'une rotation, Integration Service extrait automatiquement une nouvelle valeur dans le coffre et tente à nouveau d'exécuter l'étape échouée. Toutes les communications entre Integration Service et Orchestrator, ou le coffre externe, sont chiffrées à l'aide de HTTPS/TLS.

Remarque :

Cette fonctionnalité s’applique aux champs de type Secret sur l’écran de connexion (tels que les mots de passe, les clés API et les clés secrètes du client). Les jetons d’accès et d’actualisation OAuth 2.0 sont toujours stockés dans Integration Service après le flux d’autorisation initial, car le protocole OAuth nécessite plus qu’une clé secrète de client pour s’authentifier. Vous pouvez utiliser une ressource d'informations d’identification pour le champ de clé secrète du client dans les types d'authentification BYOA (Apporter votre propre application OAuth 2.0), mais pas pour les jetons OAuth qui en résultent.

Prérequis

• Integration Service est activé et enregistré pour votre locataire.
• Au moins un magasin d'informations d'identification est configuré dans Orchestrator. Les coffres externes pris en charge incluent CyberArk, HashiCorp Vault et tous les autres coffres pris en charge par les intégrations du magasin d’informations d’identification d’Orchestrator.
• Une ressource d'informations d'identification de type Informations d’identification existe dans un dossier Orchestrator qui fait référence au secret du coffre. Les ressources de type Texte, Integer ou Boolean ne sont pas prises en charge.

Étape 1: Configurer le magasin d'informations d'identification dans Orchestrator

Configurez un magasin d'informations d'identification dans Orchestrator qui se connecte à votre coffre externe.

Pour obtenir des instructions, consultez la section À propos des magasins d'informations d'identification dans le guide de l'utilisateur d'Orchestrator.

Étape 2: Créez une ressource d'informations d'identification dans Orchestrator

Dans un dossier Orchestrator, créez une ressource de type Informations d’identification et liez-la au secret dans le magasin d'informations d'identification.

Pour obtenir des instructions, consultez la section Gestion des ressources dans Orchestrator dans le guide de l'utilisateur d'Orchestrator.

Étape 3: référencer la ressource d'informations d'identification lors de la création d'une connexion

1. Dans Orchestrator, sélectionnez un dossier et accédez à l'onglet Connexions .

2. Sélectionnez Add connection (Ajouter une connexion) et choisissez le connecteur.

3. Sur la page de création de connexion, localisez un champ de type Secret (par exemple, Mot de passe, Clé API ou Clé secrète du client).

4. Sélectionnez l'icône de menu à côté du champ et sélectionnez Utiliser la ressource des informations d’identification.

   

5. Sélectionnez la ressource d'informations d’identification que vous souhaitez utiliser. Vous pouvez sélectionner des ressources dans n'importe quel dossier Orchestrator auquel vous avez accès.

6. Remplissez tous les champs restants et sélectionnez Connecter.

Questions fréquemment posées

Les informations d'identification sont-elles extraites du coffre à chaque requête?

Non. Les informations d'identification sont mises en cache dans la mémoire (chiffrée) pendant une heure pour réduire les appels répétés d'API du coffre et améliorer l'efficacité du runtime. La durée du cache ne peut pas être configurée.

Que se passe-t-il lorsqu’une information d’identification fait l’objet d’une rotation avant l’expiration du cache?

Si une demande échoue parce que les informations d'identification mises en cache ne sont plus valides, Integration Service extrait automatiquement une nouvelle valeur dans le coffre et réessaie l'étape échouée.

Les informations d’identification sont-elles stockées dans Integration Service?

Non. Les informations d’identification ne sont pas écrites dans la base de données Integration Service. Ils sont conservés en mémoire dans un état chiffré uniquement pendant la durée du cache d’une heure.

Cela fonctionne-t-il pour tous les connecteurs?

Oui. Cette fonctionnalité fonctionne avec tous les connecteurs. Tout connecteur dispose de champs d’entrée de type Clé secrète dans son formulaire de connexion (tels que Clé API, Mot de passe ou Clé secrète du client), qui prend en charge les références de ressources d’informations d’identification, quel que soit le type d’authentification.

Cela s’applique-t-il à tous les champs du formulaire de connexion?

Actuellement, seuls les champs de type Secret sont pris en charge (tels que les mots de passe, les clés API et les clés secrètes du client). La prise en charge de types de champs supplémentaires est prévue.

Quels types de ressources Orchestrator sont pris en charge?

Seules les ressources de type Credential sont prises en charge. Les ressources de type Texte, Booléen et Integer ne peuvent pas être utilisées.

Quels coffres externes sont pris en charge?

Tous les types de magasin d'informations d'identification pris en charge par Orchestrator sont pris en charge. Pour obtenir la liste complète, consultez À propos des magasins d'informations d'identification.

Le proxy est-il pris en charge?

Oui. Les configurations de proxy connectées et déconnectées sont prises en charge.

Puis-je utiliser une ressource d’informations d’identification pour les jetons OAuth?

Non. Les jetons d'accès et d'actualisation OAuth 2.0 sont toujours stockés dans Integration Service après le flux d'autorisation initial. Seuls les champs d'entrée de type Clé secrète sur l'écran de connexion (tels que Clé secrète du client dans l'authentification BYOA) peuvent faire référence à une ressource d'informations d'identification.