Use ativos de credenciais para conexões

Use ativos do Orchestrator para fornecer valores de campo de conexão no runtime ao criar conexões no Integration Service, com ativos de Credenciais apoiados por cofre para campos secretos e ativos padrão para outros tipos de campos.

Em vez de inserir valores diretamente ao criar conexões, você pode fazer referência aos ativos do Orchestrator. Para campos secretos, como senhas, chaves de API e segredos do cliente, o Integration Service resolve um ativo de Credencial por meio do Orchestrator a partir de um cofre externo vinculado e nunca armazena o valor no banco de dados do Integration Service. Para outros campos, o valor é lido a partir de um ativo padrão Text, Bool ou Integer do Orchestrator.

Essa funcionalidade é projetada para organizações com requisitos de gerenciamento de configurações centralizados ou com políticas rigorosas de segurança e conformidade em torno do tratamento de credenciais.

Como funciona

Ativos de credenciais (campos secretos)

Quando uma conexão usa um ativo Credential, o Integration Service chama o Orchestrator, que recupera o segredo do cofre externo vinculado. O valor resolvido é armazenado em cache na memória (criptografado) por uma hora para reduzir as chamadas de API do cofre repetidas.

Se a credencial se tornar inválida antes que o cache expire — por exemplo, porque foi rotacionado — o Integration Service busca automaticamente um valor novo do cofre e tenta novamente a etapa com falha. Toda a comunicação entre o Integration Service e o Orchestrator ou o cofre externo é criptografada usando HTTPS/TLS.

Ativos Text, Bool e Integer (outros campos)

Quando uma conexão usa um ativo Text, Bool ou Integer, o Integration Service lê o valor do Orchestrator. Nenhum cofre externo está envolvido.

Observação:

Os tipos de ativos exibidos no seletor dependem do campo. Campos secretos como Senha, Chave de API e Segredo do cliente mostram apenas ativos de Credencial . Outros campos compatíveis mostram os ativos Text, Bool e Integer . Os campos suspensos não mostram o seletor. Os tokens de acesso e atualização do OAuth 2.0 ainda são armazenados no Integration Service após o fluxo de autorização inicial, porque o protocolo OAuth requer mais do que um segredo do cliente para autenticar. Você pode usar um ativo de credencial para o campo segredo do cliente em tipos de autenticação BYOA (Traga seu próprio aplicativo OAuth 2.0), mas não para os tokens OAuth resultantes.

Pré-requisitos

• O Integration Service é habilitado e provisionado para seu tenant.
• Se estiver usando ativos Credential para campos secretos: pelo menos um armazenamento de credenciais está configurado no Orchestrator. Os cofres externos compatíveis incluem CyberArk, HashiCorp Vault e todos os outros suportados pelas integrações de armazenamento de credenciais do Orchestrator.
• Um ou mais ativos do Orchestrator estão disponíveis na pasta na qual a conexão é criada. O tipo de ativo depende do campo — campos secretos como Senha, Chave de API e Segredo do cliente exigem um ativo Credential ; outros campos aceitam um ativo Text, Bool ou Integer .

Etapa 1: configurar o armazenamento de credenciais no Orchestrator (somente ativos de credenciais)

Se você planeja usar ativos Credential para campos secretos, configure um armazenamento de credenciais no Orchestrator que se conecte ao seu cofre externo. Pule essa etapa se você precisar apenas de ativos Text, Bool ou Integer.

Para obter instruções, consulte Sobre armazenamento de credenciais no guia do usuário do Orchestrator.

Etapa 2: criar um ativo no Orchestrator

Em uma pasta do Orchestrator, crie o ativo que corresponde ao tipo de campo que você deseja fornecer:

• Para campos secretos: crie um ativo do tipo Credencial e vincule-o ao segredo no armazenamento de credenciais.
• Para outros campos: crie um ativo Text, Bool ou Integer e insira o valor diretamente.

Para obter instruções, consulte Gerenciamento de ativos no Orchestrator no guia do usuário do Orchestrator.

Etapa 3: fazer referência ao ativo de credencial ao criar uma conexão

1. No Orchestrator, selecione uma pasta e navegue até a aba Conexões .

2. Selecione Adicionar conexão e escolha o conector.

3. Na página de criação de conexão, localize um campo compatível. Campos secretos (Senha, Chave de API, Segredo do Cliente) e campos de texto simples (como ID do Cliente ou URL do Token) são compatíveis com ativos do Orchestrator.

4. Selecione o ícone do menu ao lado do campo e selecione Usar ativo de credencial (para campos secretos) ou Usar ativo do Orchestrator (para outros campos).

   

5. Selecione o ativo que deseja usar. Você pode selecionar ativos que são encontrados na pasta em que você está criando a conexão ou compartilhados com a pasta usando links de ativos.

6. Preencha quaisquer campos restantes e selecione Conectar.

Perguntas frequentes

Os valores dos ativos Credential são buscados do cofre em todas as solicitações?

Não. Quando um ativo Credential é usado, seu valor é armazenado em cache na memória (criptografado) por uma hora para reduzir as chamadas repetidas de API dos cofres e melhorar a eficiência do runtime. Não é possível configurar a duração do cache. Os valores dos ativos Text, Bool e Integer são lidos do Orchestrator em cada uso e não são armazenados em cache.

O que acontece quando um ativo Credential é rotacionado antes que o cache expire?

Se uma solicitação falhar porque a credencial em cache se tornou inválida, o Integration Service busca automaticamente um valor novo no cofre e tenta novamente a etapa com falha. Isso se aplica apenas a ativos de Credencial.

Os valores de ativos são armazenados no Integration Service?

Para ativos de Credential: não. Os valores não são gravados no banco de dados do Integration Service e são mantidos na memória em um estado criptografado apenas pela duração do cache de uma hora. Para ativos Text, Bool e Integer: os valores são lidos do Orchestrator no momento em que a conexão é usada e não são persistidos no Integration Service.

Isso funciona para todos os conectores?

Sim. Essa funcionalidade funciona com todos os conectores, independentemente do tipo de autenticação.

Isso se aplica a todos os campos no formulário de conexão?

Os campos suspensos não são compatíveis — o seletor não aparece neles. Em todos os outros campos, o seletor mostra apenas os tipos de ativos compatíveis com esse campo. Campos secretos como Senha e Chave de API mostram apenas ativos de Credencial ; outros campos mostram os ativos Text, Bool e Integer .

Quais tipos de ativo do Orchestrator são compatíveis?

Os tipos de ativos disponíveis dependem do tipo de campo:

Campo	Tipos de ativos disponíveis
Campos de segredo (Senha, Chave de API, Segredo do Cliente)	Credencial
Outros campos	Text, Bool, Integer

Quais cofres externos são compatíveis?

Todos os tipos de armazenamento de credenciais compatíveis com o Orchestrator são compatíveis. Para a lista completa, consulte Sobre armazenamento de credenciais. Os cofres externos aplicam-se apenas a ativos Credential — Os ativos Text, Bool e Integer armazenam seus valores diretamente no Orchestrator.

O proxy é compatível?

Sim. Tanto as configurações de proxy conectadas quanto desconectadas são compatíveis.

Posso usar um ativo de credencial para tokens do OAuth?

Não. Os tokens de acesso e atualização do OAuth 2.0 são sempre armazenados no Integration Service após o fluxo de autorização inicial. Apenas campos de entrada do tipo segredo na tela de conexão (como segredo do cliente na autenticação BYOA) podem fazer referência a um ativo de credencial.