Xidmət hesabları və API tokenləri
Avtomatlaşdırma üçün xidmət hesabları yaradın, rollar verin və açarlarını idarə edin; sizin adınızdan işləyən API tokenlərini yaradın, rotasiya və ləğv edin.
Xidmət hesabları (service account) və API tokenləri (API token) skriptlərə və alətlərə konsola daxil olmadan REST API-ni çağırmağa imkan verir.
- API tokeni onu yaradan üzvün adından işləyir. O, token üçün seçdiyiniz icazə (permission) miqyasları (scope) ilə məhdudlaşaraq həmin üzvün rollarının icazə verdiyini edə bilir. Onun sirri (secret)
pc_live_ilə başlayır. - Xidmət hesabı təşkilatınızın maşın kimliyidir. Onun öz rolları olur, açarları isə xidmət hesabının adından işləyir. Onun açar sirləri
sak_live_ilə başlayır. Xidmət hesabı insandan asılı olmadığı üçün üzvlər ayrıldıqda və ya rolları dəyişdikdə də işləməyə davam edir.
Heç biri OpenStack alətləri, məsələn, openstack CLI və ya Terraform ilə işləmir. Onlar üçün tətbiq giriş məlumatı (application credential) yaradın. Sorğularınızla token və ya açar göndərmək üçün API tokenləri ilə autentifikasiyadan keçin səhifəsinə baxın.
Başlamazdan əvvəl
- Xidmət hesablarını, onların açarlarını və rol bağlamalarını (role binding) yaratmaq və idarə etmək üçün sizə Owner rolu və ya Identity & Access üzrə Manage girişi olan fərdi rol (custom role) lazımdır.
- API tokenlərini yaratmaq, rotasiya və ləğv etmək üçün sizə Owner rolu və ya API Tokens üzrə Manage girişi olan fərdi rol lazımdır.
- Xidmət hesablarına baxmaq üçün Identity & Access üzrə Read girişi olan istənilən rol kifayətdir. API tokenlərinə baxmaq üçün API Tokens üzrə Read girişi olan istənilən rol kifayətdir.
Xidmət hesabı yaradın
Konsolda Identity & AccessService Accounts bölməsinə keçin və Create service account düyməsini seçin.
Identity bölməsində Account name sahəsini, istəsəniz, Description sahəsini də doldurun.
Role bindings bölməsində vermək istədiyiniz rolları seçin. Onlar cari layihədə (project) verilir.
Key bölməsində ilk açarı indi yaratmaq üçün Create a key and download the credential dəyişdirici düyməsini aktiv saxlayın və ya onu qeyri-aktiv edin.
Create + download key düyməsini seçin; açarı qeyri-aktiv etmisinizsə, Create service account düyməsini seçin.
Açar yaratmısınızsa, Download JSON düyməsini seçin və faylı təhlükəsiz yerdə saxlayın. Sonra I saved it — go to service accounts düyməsini seçin.
| Sahə | Qaydalar |
|---|---|
| Account name | Tək hərf və ya 3–30 simvol: kiçik hərflər, rəqəmlər və defislər; hərflə başlamalı, hərf və ya rəqəmlə bitməlidir. Ad unikal olmalıdır və onu sonra dəyişə bilməzsiniz. |
| Description | İxtiyari. |
| Rollar | İxtiyari. Rol olmadan xidmət hesabı mövcud olur, lakin heç nəyə girişi olmur. Yalnız verməyə icazəniz olan rolları verə bilərsiniz. |
Açarları idarə edin
Açar JSON formatında giriş məlumatı faylıdır. Onun secret sahəsi sak_live_ ilə başlayır və Authorization: Bearer <secret> kimi göndərdiyiniz dəyər məhz odur. Faylda həmçinin gizli açar (private key) var; platforma ondan sorğuların autentifikasiyası üçün istifadə etmir.
Açar yaradın. Xidmət hesabını açın və Create key düyməsini seçin. Açar dərhal yaradılır. Dialoq pəncərəsində Download JSON düyməsini seçin, faylı saxlayın və I saved it — close düyməsini seçin.
Vacib
Açarın giriş məlumatı bir dəfə göstərilir və onu yenidən endirə bilməzsiniz. Onu itirsəniz, yeni açar yaradın və köhnəsini ləğv edin.
Açarı ləğv edin. Keys tab-vərəqəsində açarın sətrində Revoke düyməsini seçin və təsdiq edin. Həmin açarla göndərilən sorğular dərhal rədd edilir. Bunu geri qaytara bilməzsiniz.
| Açar qaydası | Dəyər |
|---|---|
| Xidmət hesabı başına açarlar | Ləğv edilməmiş 5-ə qədər. Ləğv edilmiş açarlar siyahıda qalır və sayılmır. |
| Etibarlılıq müddəti | Yaradıldığı andan 365 gün. Sonra açar işləməyi dayandırır. |
| Status | Active, son 30 gündə Expiring soon, Expired və ya Revoked. |
Açarı fasiləsiz əvəz etmək üçün yeni açar yaradın, onu müştəri proqramlarınıza yayın, sonra köhnəsini ləğv edin. Konsol 90 gündən köhnə açarları işarələyir.
Açar yaratmaq və ya qeyri-aktiv edilmiş xidmət hesabını aktivləşdirmək üçün xidmət hesabının rol bağlamalarının verdiyi bütün icazələrə malik olmalısınız.
Rol bağlamalarını verin və silin
Xidmət hesabını açın və Role bindings tab-vərəqəsinə keçin.
Add binding düyməsini seçin.
Role sahəsində rolu, Scope sahəsində isə miqyası seçin: cari layihəni və ya abunəliyi (subscription). Abunəlik yalnız orada rol verə bildikdə təklif olunur.
Grant düyməsini seçin.
Abunəlikdəki bağlama onun içindəki hər layihəyə tətbiq olunur. Bağlamanı silmək üçün onun sətrində Remove düyməsini seçin və Remove binding düyməsi ilə təsdiq edin. Xidmət hesabı həmin girişi dərhal itirir. Xidmət hesabına rolu rolun səhifəsindən də verə bilərsiniz. Daxildə qurulmuş və fərdi rollardan istifadə edin səhifəsinə baxın.
Xidmət hesabını qeyri-aktiv edin, aktivləşdirin və ya silin
| Əməliyyat | Nə baş verir |
|---|---|
| Disable | Xidmət hesabının açarları ilə göndərilən sorğular dərhal rədd edilir. Onun OpenStack tətbiq giriş məlumatları silinir. |
| Enable | Onun açarları, müddəti bitməyibsə və ya ləğv edilməyibsə, yenidən işləyir. Silinmiş OpenStack tətbiq giriş məlumatları geri qayıtmır. |
| Delete | Hesabın adını yazaraq təsdiq edirsiniz. Xidmət hesabı, onun açarları və rol bağlamaları silinir, OpenStack tətbiq giriş məlumatları da silinir. Bunu geri qaytara bilməzsiniz. |
API tokeni yaradın
Identity & AccessAPI tokens bölməsinə keçin və Create token düyməsini seçin.
Token name sahəsini doldurun.
Scopes bölməsində tokenə lazım olan hər xidmət üçün Read və ya Write sütununda seçim xanasını seçin: Compute, Storage, Network və ya Billing. Ödəniş üçün yalnız oxuma miqyası mövcuddur.
Expires sahəsində 30 days, 60 days, 90 days, No expiration və ya Custom date seçimini seçin. Standart dəyər 90 gündür.
İxtiyari: IP allowlist bölməsində tokendən istifadə etməyə icazə verilən ünvanları daxil edin.
Create token düyməsini seçin.
Copy token düyməsini seçin və tokeni sirr menecerinizdə saxlayın. Onu saxladığınızı təsdiq edin və Done düyməsini seçin.
| Sahə | Qaydalar |
|---|---|
| Token name | 2–63 simvol: kiçik hərflər, rəqəmlər və defislər; hərf və ya rəqəmlə başlamalıdır. |
| Scopes | Ən azı biri. |
| Custom expiry date | Sabahdan başlayaraq. Tokenin müddəti həmin tarixdə saat 00:00 UTC-də bitir. |
| Allowed source IPs / CIDRs | IP ünvanları və ya CIDR diapazonları; hər sətirdə bir və ya vergüllə ayrılmış. İstənilən ünvana icazə vermək üçün boş saxlayın. Digər ünvanlardan gələn sorğular rədd edilir. |
Sirr bir dəfə göstərilir. Tokeni tanıya bilməyiniz üçün tokenin səhifəsi onun ilk 12 simvolunu Prefix sahəsində göstərir.
Token yalnız onu yaratdığınız layihədə deyil, təşkilatınızın rolunuz olan hər layihəsində işləyir. Identity & AccessAPI tokens bölməsi cari layihədə yaradılmış tokenləri siyahıya alır. Hər miqyasın nəyə icazə verdiyi barədə Token miqyasları bölməsinə baxın.
API tokenini rotasiya edin
Tokenin sirrini fasiləsiz əvəz etmək üçün onu rotasiya edin. Tokeni yalnız onu yaradan üzv rotasiya edə bilər.
Identity & AccessAPI tokens bölməsində tokenin sətrindəki menyunu açın və Rotate əməliyyatını seçin.
Tokenin səhifəsində Rotate düyməsini seçin.
Yeni sirri köçürün. O, yalnız bir dəfə göstərilir.
Əvvəlki sirr 24 saat işləməyə davam edir, buna görə bu müddətdə müştəri proqramlarınızı yeniləyə bilərsiniz. Sirr sızıbsa, tokeni rotasiya etmək əvəzinə ləğv edin.
API tokenini ləğv edin
Identity & AccessAPI tokens bölməsində tokenin sətrindəki menyunu açın və Revoke əməliyyatını seçin.
Təsdiq edin. Bundan sonra həmin tokenlə göndərilən sorğular 401 Unauthorized alır.
Ləğvetməni geri qaytara bilməzsiniz. Owner rolu və ya API Tokens üzrə Manage girişi olan fərdi rolu olan hər kəs layihədə siyahıda göstərilən tokenləri, o cümlədən digər üzvlərin yaratdığı tokenləri ləğv edə bilər.
Üzv qeyri-aktiv olduğu müddətdə onun tokenləri də işləmir, üzv təşkilatınızdan silindikdə isə onlar ləğv edilir. Üzvü qeyri-aktiv edin, yenidən aktivləşdirin və ya silin bölməsinə baxın.