Dienstkonten und API-Tokens
Erstellen Sie Dienstkonten für die Automatisierung mit Rollen und Schlüsseln; erstellen, rotieren und widerrufen Sie API-Tokens, die als Ihr Benutzer handeln.
Mit Dienstkonten und API-Tokens können Skripte und Tools die REST-API aufrufen, ohne sich bei der Konsole anzumelden.
- Ein API-Token handelt als das Mitglied, das es erstellt hat. Es kann tun, was die Rollen dieses Mitglieds erlauben, beschränkt auf die Bereiche, die Sie für das Token auswählen. Sein Geheimnis beginnt mit
pc_live_. - Ein Dienstkonto ist eine Maschinenidentität Ihrer Organisation. Es erhält eigene Rollen, und seine Schlüssel handeln als das Dienstkonto. Die Secrets seiner Schlüssel beginnen mit
sak_live_. Weil ein Dienstkonto nicht von einer Person abhängt, funktioniert es weiter, wenn Mitglieder ausscheiden oder ihre Rollen wechseln.
Keines von beiden funktioniert mit OpenStack-Tools wie der openstack-CLI oder Terraform. Erstellen Sie für diese ein Anwendungs-Credential. Wie Sie ein Token oder einen Schlüssel mit Ihren Anfragen senden, erfahren Sie unter Mit API-Tokens authentifizieren.
Voraussetzungen
- Um Dienstkonten, ihre Schlüssel und ihre Rollenbindungen zu erstellen und zu verwalten, benötigen Sie die Rolle Besitzer oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Identity & Access.
- Um API-Tokens zu erstellen, zu rotieren und zu widerrufen, benötigen Sie die Rolle Besitzer oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für API Tokens.
- Um Dienstkonten anzuzeigen, genügt eine beliebige Rolle mit der Zugriffsebene Lesen für Identity & Access. Um API-Tokens anzuzeigen, genügt eine beliebige Rolle mit der Zugriffsebene Lesen für API Tokens.
Dienstkonto erstellen
Wechseln Sie in der Konsole zu Identität & ZugriffDienstkonten, und wählen Sie Dienstkonto erstellen aus.
Geben Sie unter Identität im Feld Kontoname einen Namen und optional im Feld Beschreibung eine Beschreibung ein.
Wählen Sie unter Rollenbindungen die Rollen aus, die Sie gewähren möchten. Die Rollen werden für das aktuelle Projekt gewährt.
Lassen Sie unter Schlüssel die Option Schlüssel erstellen und Anmeldedaten herunterladen aktiviert, um den ersten Schlüssel jetzt zu erstellen, oder deaktivieren Sie sie.
Wählen Sie Erstellen + Schlüssel herunterladen aus. Wenn Sie die Option deaktiviert haben, wählen Sie Dienstkonto erstellen aus.
Wenn Sie einen Schlüssel erstellt haben, wählen Sie JSON herunterladen aus, und bewahren Sie die Datei sicher auf. Wählen Sie dann Gespeichert — zu den Dienstkonten aus.
| Feld | Regeln |
|---|---|
| Kontoname | Ein einzelner Buchstabe oder 3–30 Zeichen: Kleinbuchstaben, Ziffern und Bindestriche, beginnend mit einem Buchstaben und endend mit einem Buchstaben oder einer Ziffer. Der Name muss eindeutig sein, und Sie können ihn später nicht ändern. |
| Beschreibung | Optional. |
| Rollen | Optional. Ohne Rolle existiert das Dienstkonto, kann aber auf nichts zugreifen. Sie können nur Rollen gewähren, die Sie gewähren dürfen. |
Schlüssel verwalten
Ein Schlüssel ist eine Datei mit JSON-Anmeldedaten. Das Feld secret der Datei, das mit sak_live_ beginnt, senden Sie als Authorization: Bearer <secret>. Die Datei enthält auch einen privaten Schlüssel; die Plattform verwendet ihn nicht, um Anfragen zu authentifizieren.
Schlüssel erstellen. Öffnen Sie das Dienstkonto, und wählen Sie Schlüssel erstellen aus. Der Schlüssel wird sofort erstellt. Wählen Sie im Dialog JSON herunterladen aus, speichern Sie die Datei, und wählen Sie Gespeichert — schließen aus.
Wichtig
Die Schlüssel-Anmeldedaten werden nur einmal angezeigt, und Sie können sie nicht erneut herunterladen. Wenn Sie sie verlieren, erstellen Sie einen neuen Schlüssel, und widerrufen Sie den alten.
Schlüssel widerrufen. Wählen Sie auf der Registerkarte Schlüssel in der Zeile des Schlüssels Widerrufen aus, und bestätigen Sie. Anfragen mit dem Schlüssel werden sofort abgelehnt. Sie können das nicht rückgängig machen.
| Schlüsselregel | Wert |
|---|---|
| Schlüssel pro Dienstkonto | Bis zu 5, die nicht widerrufen sind. Widerrufene Schlüssel bleiben aufgelistet und zählen nicht. |
| Gültigkeitsdauer | 365 Tage ab der Erstellung. Danach funktioniert der Schlüssel nicht mehr. |
| Status | Aktiv, Läuft bald ab in den letzten 30 Tagen, Abgelaufen oder Widerrufen. |
Um einen Schlüssel ohne Ausfall zu ersetzen, erstellen Sie einen neuen Schlüssel, verteilen Sie ihn an Ihre Clients, und widerrufen Sie dann den alten. Die Konsole markiert Schlüssel, die älter als 90 Tage sind.
Um einen Schlüssel zu erstellen oder ein deaktiviertes Dienstkonto zu aktivieren, benötigen Sie alle Berechtigungen, die die Rollenbindungen des Dienstkontos gewähren.
Rollenbindungen gewähren und entfernen
Öffnen Sie das Dienstkonto, und wechseln Sie zur Registerkarte Rollenbindungen.
Wählen Sie Bindung hinzufügen aus.
Wählen Sie eine Rolle und einen Bereich aus: das aktuelle Projekt oder das Abonnement. Das Abonnement wird nur angeboten, wenn Sie für das Abonnement Rollen gewähren können.
Wählen Sie Gewähren aus.
Eine Bindung für das Abonnement gilt für jedes Projekt darin. Um eine Bindung zu entfernen, wählen Sie in ihrer Zeile Entfernen aus, und bestätigen Sie mit Bindung entfernen. Das Dienstkonto verliert diesen Zugriff sofort. Sie können einem Dienstkonto eine Rolle auch über die Seite der Rolle gewähren. Siehe Integrierte und benutzerdefinierte Rollen verwenden.
Dienstkonto deaktivieren, aktivieren oder löschen
| Aktion | Was passiert |
|---|---|
| Deaktivieren | Anfragen mit den Schlüsseln des Dienstkontos werden sofort abgelehnt. Seine OpenStack-Anwendungs-Credentials werden gelöscht. |
| Aktivieren | Seine Schlüssel funktionieren wieder, sofern sie nicht abgelaufen sind oder widerrufen wurden. Gelöschte OpenStack-Anwendungs-Credentials werden nicht wiederhergestellt. |
| Löschen | Sie bestätigen, indem Sie den Namen des Kontos eingeben. Das Dienstkonto, seine Schlüssel und seine Rollenbindungen werden entfernt, und seine OpenStack-Anwendungs-Credentials werden gelöscht. Sie können das nicht rückgängig machen. |
API-Token erstellen
Wechseln Sie zu Identität & ZugriffAPI-Tokens, und wählen Sie Token erstellen aus.
Geben Sie im Feld Token-Name einen Namen ein.
Wählen Sie unter Bereiche für jeden Dienst, den das Token benötigt, Lesen oder Schreiben aus: Compute, Speicher, Netzwerk oder Abrechnung. Für die Abrechnung gibt es nur einen Lesebereich.
Wählen Sie im Feld Läuft ab 30 Tage, 60 Tage, 90 Tage, Kein Ablauf oder Benutzerdefiniertes Datum aus. Der Standardwert ist 90 Tage.
Optional: Geben Sie unter IP-Zulassungsliste die Adressen ein, die das Token verwenden dürfen.
Wählen Sie Token erstellen aus.
Wählen Sie Token kopieren aus, und speichern Sie das Token in Ihrem Secrets-Manager. Bestätigen Sie, dass Sie es gespeichert haben, und wählen Sie Fertig aus.
| Feld | Regeln |
|---|---|
| Token-Name | 2–63 Zeichen: Kleinbuchstaben, Ziffern und Bindestriche, beginnend mit einem Buchstaben oder einer Ziffer. |
| Bereiche | Mindestens einer. |
| Benutzerdefiniertes Ablaufdatum | Ab morgen. Das Token läuft an diesem Datum um 00:00 UTC ab. |
| Zulässige Quell-IPs / CIDRs | IP-Adressen oder CIDR-Bereiche, eine pro Zeile oder durch Kommas getrennt. Lassen Sie das Feld leer, um jede Adresse zuzulassen. Anfragen von anderen Adressen werden abgelehnt. |
Das Geheimnis wird nur einmal angezeigt. Die Seite des Tokens zeigt unter Präfix seine ersten 12 Zeichen an, damit Sie das Token wiedererkennen können.
Ein Token funktioniert in jedem Projekt Ihrer Organisation, in dem Sie eine Rolle haben, nicht nur in dem Projekt, in dem Sie es erstellt haben. Identität & ZugriffAPI-Tokens listet die Tokens auf, die im aktuellen Projekt erstellt wurden. Was jeder Bereich erlaubt, erfahren Sie unter Token-Bereiche.
API-Token rotieren
Rotieren Sie ein Token, um sein Geheimnis ohne Ausfall zu ersetzen. Nur das Mitglied, das ein Token erstellt hat, kann es rotieren.
Öffnen Sie unter Identität & ZugriffAPI-Tokens das Menü in der Zeile des Tokens, und wählen Sie Rotieren aus.
Wählen Sie auf der Seite des Tokens Rotieren aus.
Kopieren Sie das neue Geheimnis. Es wird nur einmal angezeigt.
Das vorherige Geheimnis funktioniert noch 24 Stunden lang, sodass Sie Ihre Clients in dieser Zeit aktualisieren können. Wenn das Geheimnis offengelegt wurde, widerrufen Sie das Token, statt es zu rotieren.
API-Token widerrufen
Öffnen Sie unter Identität & ZugriffAPI-Tokens das Menü in der Zeile des Tokens, und wählen Sie Widerrufen aus.
Bestätigen Sie. Anfragen mit dem Token erhalten von da an 401 Unauthorized.
Sie können einen Widerruf nicht rückgängig machen. Jeder mit der Rolle Besitzer oder einer benutzerdefinierten Rolle mit der Zugriffsebene Verwalten für API Tokens kann die im Projekt aufgelisteten Tokens widerrufen, auch Tokens, die andere Mitglieder erstellt haben.
Die Tokens eines Mitglieds funktionieren außerdem nicht, solange das Mitglied deaktiviert ist, und sie werden widerrufen, wenn das Mitglied aus Ihrer Organisation entfernt wird. Siehe Mitglied deaktivieren, reaktivieren oder entfernen.