Credentials rotieren und widerrufen
Credential durch ein neues ersetzen, während das alte weiter funktioniert, sofort widerrufen und erfahren, warum die Plattform Credentials widerruft.
Rotieren Sie ein Credential, um es ohne Ausfallzeit durch ein neues mit neuer ID und neuem Secret zu ersetzen: Das alte Credential funktioniert während eines Überlappungsfensters weiter, während Sie Ihre Clients aktualisieren. Widerrufen Sie ein Credential, um es sofort zu löschen, damit es nicht mehr zum Anmelden verwendet werden kann.
Voraussetzungen
- Um ein persönliches Credential zu rotieren, müssen Sie sein Inhaber sein. Um das Credential eines Dienstkontos zu rotieren, benötigen Sie denselben Zugriff wie zum Erstellen. Siehe Anwendungs-Credential erstellen.
- Für das Rotieren ist eine aktuelle Zwei-Faktor-Bestätigung erforderlich: Die Konsole fragt nach einem Code aus Ihrer Authenticator-App, es sei denn, Sie haben in dieser Sitzung in den letzten 5 Minuten einen eingegeben. Siehe Step-up-Bestätigung.
- Um ein Credential zu widerrufen, müssen Sie es sehen können: Ihre eigenen Credentials; Credentials von Dienstkonten mit der Zugriffsebene Verwalten für API Tokens; jedes Credential mit der Zugriffsebene Verwalten für Identity & Access.
Credential rotieren
Wechseln Sie in der Konsole zu Identität & ZugriffOpenStack-API-Zugriff.
Öffnen Sie in der Zeile des Credentials das Menü, und wählen Sie Credential rotieren aus.
Wählen Sie im Feld Altes Credential funktioniert weiter für aus, wie lange das alte Credential weiter funktioniert: Sofort löschen oder 1, 24, 72 oder 168 Stunden. Der Standardwert ist 24 Stunden.
Wählen Sie Credential rotieren aus. Wenn die Konsole Sie dazu auffordert, geben Sie einen Code aus Ihrer Authenticator-App ein.
Kopieren Sie die neuen Werte ID des Anwendungs-Credentials und Secret, oder laden Sie die neuen Dateien herunter. Sowohl die ID als auch das Secret ändern sich. Das Secret wird nur einmal angezeigt.
Aktualisieren Sie Ihre Clients, bevor das Überlappungsfenster endet.
Ergebnis
Das neue Credential hat denselben Inhaber, dasselbe Projekt, dasselbe Profil und denselben Namen wie das alte und dieselbe Gültigkeitsdauer, ab jetzt gerechnet. Sie können nur ein aktives Credential rotieren, das noch nicht rotiert wurde.
Bis das Überlappungsfenster endet, zeigt die Liste das alte Credential als ersetzt an, mit dem Zeitpunkt, zu dem es nicht mehr funktioniert. Dann wird es gelöscht. Wenn Sie Sofort löschen wählen, wird es sofort gelöscht.
Das Erstellen oder Rotieren eines Credentials beendet die aktuellen OpenStack-Tokens seines Inhabers. Clients, die eines der Credentials des Inhabers verwenden, einschließlich des rotierten, erhalten einmal die Antwort 401 Unauthorized und müssen sich mit ihrem Credential erneut anmelden.
Für einen Kubernetes-Cluster siehe Credential des Clusters rotieren.
Credential widerrufen
Wechseln Sie zu Identität & ZugriffOpenStack-API-Zugriff.
Öffnen Sie in der Zeile des Credentials das Menü, und wählen Sie Widerrufen aus.
Wählen Sie im Dialog Widerrufen aus.
Das Credential wird in der Cloud gelöscht und kann nicht mehr zum Anmelden verwendet werden. Sie können einen Widerruf nicht rückgängig machen. Das Widerrufen erfordert keinen Code aus Ihrer Authenticator-App.
Ablauf
Jedes Credential läuft am Ende der Gültigkeitsdauer ab, die Sie beim Erstellen gewählt haben. Eine E-Mail wird verschickt, wenn noch 14 Tage oder weniger übrig sind, und erneut, wenn noch 3 Tage oder weniger übrig sind: an den Inhaber oder, beim Credential eines Dienstkontos, an das Mitglied, das es erstellt hat. Wenn das Credential abläuft, funktioniert es nicht mehr und wird als Abgelaufen aufgeführt. Damit ein Client weiter funktioniert, rotieren Sie das Credential, bevor es abläuft.
Warum ein Credential nicht mehr funktioniert
Neben Ihren eigenen Aktionen widerruft die Plattform Credentials, wenn sich der Zugriff dahinter ändert. Die Credential-Liste zeigt den Grund an:
| Grund | Was passiert ist |
|---|---|
| Widerrufen | Jemand hat das Credential widerrufen. |
| Durch Rotation ersetzt | Das Credential wurde rotiert, und sein Überlappungsfenster ist abgelaufen. |
| Rolle geändert — neu erstellen | Die Rolle des Inhabers im Projekt hat sich so geändert, dass seine OpenStack-Rolle herabgesetzt wurde, z. B. von member auf reader. |
| Mitglied oder Dienstkonto entfernt | Das Mitglied wurde aus Ihrer Organisation entfernt, oder das Dienstkonto wurde gelöscht. |
| API-Zugriff ausgeschaltet | Ein Abonnementinhaber hat den OpenStack-API-Zugriff für Ihre Organisation ausgeschaltet. |
| Vom Plattformbetreiber widerrufen | Der Plattformbetreiber hat das Credential widerrufen. |
| In der Cloud nicht mehr vorhanden | Das Credential existiert in der Cloud nicht mehr. |
| Abgelaufen | Das Credential hat das Ende seiner Gültigkeitsdauer erreicht. |
Wenn ein Mitglied oder ein Dienstkonto deaktiviert wird, werden seine Credentials ebenfalls gelöscht, und sie kehren nicht zurück, wenn es wieder aktiviert wird. Erstellen Sie in jedem Fall ein neues Credential, wenn der Zugriff weiterhin benötigt wird.
Widerrufene und abgelaufene Credentials bleiben 90 Tage lang in der Liste und werden dann daraus entfernt.
Zuletzt verwendet
Die Spalte Zuletzt verwendet zeigt, wann das Credential zuletzt zum Anmelden bei der Cloud verwendet wurde. Sie wird nicht bei jedem API-Aufruf aktualisiert, weil Clients ihr Anmeldetoken eine Zeit lang wiederverwenden.