Keycyte PAM 3.2 · Yönetici Kılavuzu

Secrets API

Secrets API, bir uygulamanın parolayı bir yapılandırma dosyasında veya ortam değişkeninde tutmak yerine, çalışma zamanında Keycyte PAM parola kasasından bir kimlik bilgisi okumasını sağlar. Müşteri uygulamalarına yönelik tek Keycyte PAM API’si budur; /api/ altındaki diğer uç noktalar Yönetici Paneli’ne hizmet eder ve herkese açık bir sözleşme niteliği taşımaz.

Erişimin Denetlenmesi

• Çağıran bir servis kimliğidir. Uygulama, SERVICE rolüne sahip bir Keycyte PAM kullanıcısı olarak kimlik doğrular. Yalnızca SERVICE rolüne sahip bir kullanıcı Yönetici Paneli’nde, İstemci Paneli’nde veya SSH/RDP oturumlarında oturum açamaz; bu nedenle sızdırılan bir API anahtarı etkileşimli bir oturuma dönüşemez.
• Çağıranın neyi okuyabileceğini parola rolleri belirler. Bir servis kimliği, parola rollerinin verdiği hesapları, bu rollerin zaman penceresi dahil olmak üzere birebir görür. Ayrı bir yetki modeli ve MASTER kısayolu yoktur.
• Her çağrıda tek sır. Toplu okuma yoktur. Hesap listesi yalnızca meta verileri döndürür, hiçbir zaman sır değerlerini döndürmez.
• Salt okunur. API hesap oluşturamaz, değiştiremez, parolasını döndüremez veya doğrulayamaz; kişisel (özel) kasaları veya parola geçmişini okuyamaz.

Servis kimliği oluşturma ve API anahtarlarını verme hakkında bilgi için bkz. Servis Kimlikleri. Servis kimliğine hesap erişimi vermek için onu parola rollerine ekleyin; bkz. Parola Rolleri.

Kimlik Doğrulama

Her istek, servis kimliğine verilmiş bir API anahtarının anahtar kimliği ve gizli anahtarı kullanılarak HMAC-SHA256 HTTP imzasıyla imzalanır.

• İstek bir Date başlığı ve bir Authorization: Signature ... başlığı taşır.
• İmza, istek yöntemini ve yolunu ((request-target)) ve Date başlığını kapsar; bu nedenle imzalanmış bir istek başka bir uç noktaya karşı yeniden oynatılamaz.
• Date başlığı, sunucu saatinden en fazla yaklaşık 300 saniye farklı olmalıdır. Çağıran ana bilgisayarın saatini NTP ile eşitlenmiş tutun.
• Yalnızca hmac-sha256 kabul edilir.
• Bir anahtar, istemci IP adresleri listesiyle sınırlandırılabilir ve bir son kullanma tarihine sahip olabilir; bu tarih herhangi bir ek süre tanınmadan uygulanır.

Başlığın tam biçimi Secrets API Başvurusu konusunda açıklanmıştır.

Denetim

Her çağrı, başarılı veya reddedilmiş olsun, çağıran anahtar kimliği, hesap ve varsa çağıranın gönderdiği reason metniyle birlikte Sistem günlüğüne yazılır. Sır değerleri hiçbir zaman günlüğe yazılmaz.

Entegrasyon Dosyaları

Yönetici Paneli’nde bir servis kimliğinin API Anahtarları iletişim kutusu, Keycyte PAM sunucunuz tarafından sunulan bir entegrasyon kılavuzuna (/admin/docs/secrets-api.html) ve OpenAPI belirtimine (/admin/docs/secrets-api.yaml) bağlantı verir.