Keycyte PAM 3.2 · Yönetici Kılavuzu

Secrets API Başvurusu

Bu başvuru, Secrets API’nin (sürüm 1.0.0) iki uç noktasını, istek imzasını ve hata yanıtlarını açıklar. Tüm istekler HTTPS üzerinden Keycyte PAM sunucunuza gider; örneğin https://pam.example.com.

İstek İmzası

Her istek iki başlık gerektirir ve her ikisinin de imzada listelenmesi gerekir:

Date: Sat, 30 Aug 2026 17:04:47 GMT
Authorization: Signature keyId="<key-id>",algorithm="hmac-sha256",headers="(request-target) date",signature="<base64-signature>"

İmza, imzalama dizesinin gizli anahtarla hesaplanmış HMAC-SHA256 değerinin Base64 kodlamasıdır. İmzalama dizesi, listelenen başlıkları yeni satır karakteriyle (\n) birleştirir:

(request-target): post /api/secrets/fetch
date: Sat, 30 Aug 2026 17:04:47 GMT

• (request-target) içindeki yöntem küçük harfle yazılır; yol, varsa sorgu dizesi dahil tam yoldur.
• Yalnızca hmac-sha256 kabul edilir; RSA ve ECDSA reddedilir.
• Date, sunucu saatinden en fazla yaklaşık 300 saniye farklı olmalıdır.

GET /api/secrets/accounts

Çağıranın kapsamındaki tüm hesapları önce name, ardından accountId değerine göre sıralanmış olarak döndürür. Sayısal kimlikleri koda sabit yazmak yerine hesapları adlarına göre bulmak için bu uç noktayı kullanın. Liste aynı zamanda anahtarın kesin sınırıdır: anahtar sızdırılırsa nelerin açığa çıkacağını gösterir.

Yanıt hiçbir zaman password, privatekey veya passphrase içermez.

Yanıt 200

accounts içindeki her girdi:

Boş liste olağan bir sonuçtur: kimliğin hiçbir parola rolü yoktur veya rollerinin hiçbiri şu anda zaman penceresi içinde değildir.

{
  "accounts": [
    { "accountId": 6365, "name": "app-db", "username": "appuser", "type": "mysql" }
  ],
  "count": 1
}

POST /api/secrets/fetch

Bir hesabın tek bir sır değerini döndürür. Hesap, erişim günlüklerinde görünmemesi için URL’de değil istek gövdesinde belirtilir.

İstek gövdesi

accountId veya name alanlarından tam olarak birini gönderin.

Yanıt 200

Hata Yanıtları

Örnek

Aşağıdaki kabuk betiği app-db adlı hesabın parolasını okur. Yer tutucuları kendi değerlerinizle değiştirin.

KEY_ID="<key-id>"
KEY_SECRET="<key-secret>"
HOST="pam.example.com"
PATH_="/api/secrets/fetch"
DATE="$(LC_ALL=C date -u '+%a, %d %b %Y %H:%M:%S GMT')"

SIGNING_STRING="$(printf '(request-target): post %s\ndate: %s' "$PATH_" "$DATE")"
SIGNATURE="$(printf '%s' "$SIGNING_STRING" | openssl dgst -sha256 -hmac "$KEY_SECRET" -binary | base64)"

curl -s "https://$HOST$PATH_" \
  -H "Date: $DATE" \
  -H "Authorization: Signature keyId=\"$KEY_ID\",algorithm=\"hmac-sha256\",headers=\"(request-target) date\",signature=\"$SIGNATURE\"" \
  -H "Content-Type: application/json" \
  -d '{"name": "app-db", "field": "password", "reason": "nightly backup job"}'

Başarılı bir çağrı şunu döndürür:

{ "accountId": 6365, "field": "password", "value": "<secret-value>" }

HMAC anahtarı, anahtar verildiğinde gösterildiği şekliyle gizli anahtarın kendisidir (kod çözülmeden, metin dizesi olarak kullanılır).