Просмотр кода страницы Ротация токена через API

Регулярная смена токенов аутентификации Ключ-Астром API является хорошей практикой безопасности. Вы можете использовать Ключ-Астром Cluster API для ротации токенов управления кластером. С помощью Tokens API вы также можете автоматизировать ротацию.

Для доступа к API Кластера:

# Откройте '''Консоль Менеджмента Кластера'''.
# Откройте '''Меню пользователя''' по иконке в правом верхнем углу.
# Выберите '''API Кластера v1 / v2'''.

== Ротация токена ==
Для ротации токенов управления кластером с помощью API Токенов:

# Получите идентификатор старого токена.  Вам нужен идентификатор, чтобы вы могли отозвать, а затем удалить его. Если вы знаете только сам токен, вам нужно получить идентификатор токена, чтобы отозвать его, а затем удалить. Для этого отправьте [[POST Метаданные токена|запрос на поиск токена]], который нужно удалить в качестве полезной нагрузки. Запрос возвращает метаданные токена, включая его ID, который понадобится вам позже.
# Создайте новый токен.  Чтобы создать новый токен, который заменит устаревший, выполните [[POST Создание токена|POST-запрос создания нового токена]]. Поскольку вы регулярно создаете токен с одними и теми же параметрами, вы можете рассмотреть возможность сохранения его конфигурации в системе контроля версий.
# Отозвать старый токен. (Не удаляйте его, прежде чем отозвать его.)  Чтобы отозвать старый токен, выполните [[PUT Обновление токена|PUT обновление токена]]. Вам понадобится значение идентификатора токена, которое вы получили на шаге 1.  Отозванный токен нельзя использовать для проверки подлинности, но он все еще существует в вашей среде. Мы рекомендуем подождать неделю, прежде чем удалять отозванный токен, на случай, если в нем возникнет острая необходимость. Точную задержку проверьте в политиках безопасности вашей организации.  Если вы хотите сменить токен, который в настоящее время используете для аутентификации вызовов API, замените его новым токеном, созданным на шаге 2.
# Удалите старый токен.  По истечении периода ожидания, когда старый токен отключен (аннулирован), удалите его. Для этого выполните [[DELETE Удаление токена|DELETE удаление токена]]. Вам понадобится идентификатор токена, который вы получили на шаге 1.

== Пример ротации токена ==
В этом примере предположим, что вы хотите ротировать токен со следующими параметрами:

* Имя токена — <code>ClusterTokenManager</code>.
* Область токена включает разрешения <code>ClusterTokenManagement</code>.
* Текущий токен — <code>0987654321jihgfedcba</code>.

С помощью API Токенов вы можете автоматизировать ротацию.

=== 1. Получите идентификатор старого токена ===
Вам понадобится идентификатор, чтобы вы могли отозвать, а затем удалить его. 

Отправьте запрос <code>POST</code> на <code>https://<ваш-домен>/api/cluster/v1/tokens/lookup</code>. 

Включите эту полезную нагрузку <code>application/json</code>, где <code>0987654321jihgfedcba</code> — это значение токена:
 <code>{
   "token": "0987654321jihgfedcba"
 }</code>
Запрос возвращает метаданные токена в полезной нагрузке <code>application/json</code>:
 <code>{
   "id": "3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5",
   "name": "ClusterTokenManager",
   "userId": "admin@mycluster.com",
   "revoked": false,
   "created": 1578902397474,
   "lastUse": 1582130541813,
   "scopes": [
     "ClusterTokenManagement"
   ]
 }</code>
Сохраните значение идентификатора токена <code>(3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5)</code>.

Он понадобится вам позже, чтобы отозвать и удалить этот токен.

=== 2. Создайте новый токен ===
Отправьте запрос <code>POST</code> на <code>https://<ваш-домен>/api/cluster/v1/tokens</code>. 

Включите эту полезную нагрузку <code>application/json</code>:
 <code>{
   "name": "ClusterTokenManager",
   "scopes": [
     "ClusterTokenManagement"
   ],
   "expiresIn": {
     "value": 30,
     "unit": "DAYS"
   }
 }</code>
Запрос возвращает новый токен в полезной нагрузке <code>application/json</code>:
 <code>{
   "token": "jihgfedcba0987654321"
 }</code>

=== 3. Отзовите старый токен (3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5) ===
Сохраненный идентификатор (шаг 1) токена, который необходимо отозвать, а затем удалить: <code>3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5</code>.

Отправьте запрос <code>PUT</code> с токеном, который нужно отозвать, на <code>https://<ваш-домен>/api/cluster/v1/tokens/3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5</code>.

Включите эту полезную нагрузку <code>application/json</code>:
 <code>{
   "revoked": true
 }</code>
Успешный запрос обозначается кодом ответа <code>204</code>. Ответ не возвращает никакого содержимого.

Токен с идентификатором <code>3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5</code> отозван.

=== 4. Удалите старый токен (3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5) ===
Чтобы удалить токен <code>3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5</code>, отправьте запрос <code>DELETE</code> с идентификатором отозванного токена на <code>https://<ваш-домен>/api/cluster/v1/tokens/3cf7c26f-ab12-abc123-ab1a- 9340a6cce9a5</code>
Успешный запрос обозначается кодом ответа <code>204</code>. Ответ не возвращает никакого содержимого. 

Токен с идентификатором <code>3cf7c26f-ab12-abc123-ab1a-9340a6cce9a5</code> теперь удален.