Use ativos de credenciais para conexões

Em vez de inserir as credenciais diretamente ao criar conexões, você pode fazer referência a um ativo de credencial do Orchestrator vinculado a um cofre externo. O Integration Service resolve a credencial no runtime por meio do Orchestrator e nunca a armazena no banco de dados do Integration Service.

Essa funcionalidade é projetada para organizações com requisitos de gerenciamento de credenciais centralizados ou políticas rigorosas de segurança e conformidade.

Como funciona

Quando uma conexão usa um ativo de credencial, o Integration Service chama o ativo de credencial do Orchestrator, que, por sua vez, recupera o segredo do cofre externo vinculado. O valor resolvido é armazenado em cache na memória (criptografado) por uma hora para reduzir as chamadas de API do cofre repetidas.

Se uma credencial se tornar inválida antes que o cache expire — por exemplo, porque foi rotacionada — o Integration Service busca automaticamente um valor novo do cofre e tenta novamente a etapa com falha. Toda a comunicação entre o Integration Service e o Orchestrator ou o cofre externo é criptografada usando HTTPS/TLS.

Observação:

Essa funcionalidade se aplica a campos do tipo segredo na tela de conexão (como senhas, chaves de API e segredos do cliente). Os tokens de acesso e atualização do OAuth 2.0 ainda são armazenados no Integration Service após o fluxo de autorização inicial, porque o protocolo OAuth requer mais do que um segredo do cliente para autenticar. Você pode usar um ativo de credencial para o campo segredo do cliente em tipos de autenticação BYOA (Traga seu próprio aplicativo OAuth 2.0), mas não para os tokens OAuth resultantes.

Pré-requisitos

• O Integration Service é habilitado e provisionado para seu tenant.
• Pelo menos um armazenamento de credenciais está configurado no Orchestrator. Os cofres externos compatíveis incluem CyberArk, HashiCorp Vault e todos os outros suportados pelas integrações de armazenamento de credenciais do Orchestrator.
• Um ativo de credencial do tipo Credential existe em uma pasta do Orchestrator que faz referência ao segredo do cofre. Ativos do tipo Text, Integer ou Boolean não são compatíveis.

Etapa 1: configurar o armazenamento de credenciais no Orchestrator

Configure um armazenamento de credenciais no Orchestrator que se conecte ao seu cofre externo.

Para obter instruções, consulte Sobre armazenamento de credenciais no guia do usuário do Orchestrator.

Etapa 2: criar um ativo de credencial no Orchestrator

Em uma pasta do Orchestrator, crie um ativo do tipo Credencial e vincule-o ao segredo no armazenamento de credenciais.

Para obter instruções, consulte Gerenciamento de ativos no Orchestrator no guia do usuário do Orchestrator.

Etapa 3: fazer referência ao ativo de credencial ao criar uma conexão

1. No Orchestrator, selecione uma pasta e navegue até a aba Conexões .

2. Selecione Adicionar conexão e escolha o conector.

3. Na página de criação de conexão, localize um campo do tipo segredo (por exemplo, Senha, Chave de API ou Segredo do Cliente).

4. Selecione o ícone do menu ao lado do campo e selecione Usar ativo de credencial.

   

5. Selecione o ativo de credencial que você deseja usar. Você pode selecionar ativos de qualquer pasta do Orchestrator à qual você tenha acesso.

6. Preencha quaisquer campos restantes e selecione Conectar.

Perguntas frequentes

As credenciais são buscadas do cofre em todas as solicitações?

Não. As credenciais são armazenadas em cache na memória (criptografadas) por uma hora para reduzir as chamadas de API de cofre repetidas e melhorar a eficiência do runtime. Não é possível configurar a duração do cache.

O que acontece quando uma credencial é rotacionada antes que o cache expire?

Se uma solicitação falhar porque a credencial em cache se tornou inválida, o Integration Service busca automaticamente um valor novo no cofre e tenta novamente a etapa com falha.

As credenciais são armazenadas no Integration Service?

Não. As credenciais não são gravadas no banco de dados do Integration Service. Eles são mantidos na memória em um estado criptografado apenas pela duração do cache de uma hora.

Isso funciona para todos os conectores?

Sim. Essa funcionalidade funciona com todos os conectores. Qualquer conector que tenha campos de entrada do tipo secreto em seu formulário de conexão (como Chave de API, Senha ou Segredo do Cliente) é compatível com referências de ativos de credenciais, independentemente do tipo de autenticação.

Isso se aplica a todos os campos no formulário de conexão?

Atualmente, apenas campos do tipo segredo são compatíveis (como senhas, chaves de API e segredos do cliente). O suporte para tipos de campos adicionais está planejado.

Quais tipos de ativo do Orchestrator são compatíveis?

Apenas ativos do tipo Credencial são compatíveis. Os ativos Text, Boolean e Integer não podem ser usados.

Quais cofres externos são compatíveis?

Todos os tipos de armazenamento de credenciais compatíveis com o Orchestrator são compatíveis. Para a lista completa, consulte Sobre armazenamento de credenciais.

O proxy é compatível?

Sim. Tanto as configurações de proxy conectadas quanto desconectadas são compatíveis.

Posso usar um ativo de credencial para tokens do OAuth?

Não. Os tokens de acesso e atualização do OAuth 2.0 são sempre armazenados no Integration Service após o fluxo de autorização inicial. Apenas campos de entrada do tipo segredo na tela de conexão (como segredo do cliente na autenticação BYOA) podem fazer referência a um ativo de credencial.