Autenticación
Configura la autenticación de entrada para controlar el acceso a los agentes y la autenticación de salida para acceder de forma segura a los recursos de OCI.
Configure la autenticación en la aplicación alojada. Los despliegues alojados asociados heredan esta configuración. Seleccione el token de portador del dominio de identidad, la sesión del explorador del dominio de identidad o la autenticación de OCI IAM según cómo accedan los clientes a la aplicación.
Autenticación de entrada
La autenticación de entrada controla quién puede acceder a los agentes alojados. Las aplicaciones alojadas admiten los siguientes métodos de autenticación:
- Token de portador de dominio de identidad: los clientes envían un token de acceso OAuth emitido por un dominio de identidad de OCI IAM. El servicio valida el token antes de enrutar la solicitud al despliegue alojado. Consulte Configuración de la autenticación de token de portador de dominio de identidad.
- Sesión del explorador de dominio de identidad: utiliza el flujo de código de autorización OAuth 2.1 con la clave de prueba para el intercambio de código (PKCE). Los usuarios del explorador se redirigen a un dominio de identidad de OCI para conectarse. El servicio de aplicación alojado obtiene un token de acceso en su nombre y establece una sesión de explorador que utiliza una cookie de sesión. Consulte Sesión del explorador de dominio de identidad.
- OCI IAM: los clientes firman solicitudes según los requisitos de firma de solicitudes de OCI IAM. Consulte Autenticación.
El token de portador de dominio de identidad existente y la autenticación de OCI IAM siguen estando soportados. Para cambiar el tipo de autenticación de una aplicación, seleccione Editar en la página de detalles de la aplicación.
Autenticación de salida
Con la autenticación saliente, las aplicaciones de agente desplegadas pueden acceder de forma segura a otros recursos de OCI dentro de un arrendamiento.
El acceso se otorga mediante la definición de políticas de OCI IAM que autorizan a la aplicación de agente (como entidad de recurso) a realizar acciones específicas en los recursos especificados. Estas políticas deciden el ámbito de acceso según el principio de privilegio mínimo.
Después del despliegue, la plataforma aprovisiona automáticamente un token de sesión de principal de recurso (RPST) para la carga de trabajo del agente. El RPST se inyecta de forma segura en el tiempo de ejecución del contenedor, lo que permite a la aplicación autenticarse en los servicios de OCI sin utilizar credenciales de larga duración como claves de API o tokens de usuario.
En el contenedor, el agente utiliza el SDK de OCI con el proveedor de autenticación de la entidad de recurso. El SDK recupera y refresca automáticamente el RPST, lo que permite un acceso seguro a servicios autorizados de OCI como Object Storage, Autonomous AI Database, Vault y Streaming.