Autenticazione
Impostare l'autenticazione in entrata per controllare l'accesso agli agenti e l'autenticazione in uscita per accedere in modo sicuro alle risorse OCI.
Configurare l'autenticazione nell'applicazione hosted. Le distribuzioni hosted associate ereditano queste impostazioni. Selezionare il token bearer del dominio di Identity, la sessione del browser del dominio di Identity, IAM OCI o Nessuna autenticazione in base al modo in cui i client accedono all'applicazione.
Autenticazione in entrata
L'autenticazione in entrata controlla chi può accedere agli agenti ospitati. Le applicazioni in hosting supportano le seguenti opzioni di autenticazione:
- Token bearer del dominio di Identity: i client inviano un token di accesso OAuth emesso da un dominio di Identity IAM OCI. Il servizio convalida il token prima di instradare la richiesta alla distribuzione hosted. Vedere Impostazione dell'autenticazione del token Bearer del dominio di Identity.
- Sessione del browser del dominio di Identity: utilizza il flusso OAuth 2.1 Authorization Code con la chiave di prova per lo scambio di codice (PKCE). Gli utenti del browser vengono reindirizzati a un dominio di Identity OCI per connettersi. Il servizio di applicazione ospitato ottiene un token di accesso per loro conto e stabilisce una sessione del browser che utilizza un cookie di sessione. Vedere Sessione browser del dominio di Identity.
- IAM OCI: i client firmano le richieste in base ai requisiti di firma delle richieste IAM OCI. Vedere Autenticazione.
- Nessuna autenticazione: la piattaforma instrada le richieste senza autenticare il chiamante. Utilizzare questa opzione per il contenuto pubblico o quando l'applicazione gestisce l'autenticazione. Vedere Nessuna autenticazione.
Per la configurazione delle API, vedere InboundAuthConfig. Per l'autenticazione del dominio di Identity, vedere anche IdcsAuthConfig. Omettere idcsConfig quando si utilizza NO_AUTH_CONFIG.
Visualizzare il tipo di autenticazione selezionato nella scheda Configurazione dell'applicazione.
Utilizzo di Nessuna autenticazione
Selezionare No authentication quando la piattaforma non dovrà eseguire l'autenticazione delle richieste in entrata. Ad esempio, i contenuti Web pubblici, le applicazioni con il proprio flusso di accesso e le integrazioni dei servizi in cui l'applicazione convalida le credenziali.
Chiunque sia in grado di raggiungere l'endpoint può inviare richieste senza autenticazione gestita dalla piattaforma. Se l'accesso richiede limitazioni, implementare l'autenticazione e l'autorizzazione nell'applicazione. Le impostazioni di rete determinano quali client possono raggiungere l'endpoint.
Non è richiesta alcuna iscrizione alla tenancy separata. Sono ancora applicati i limiti per TLS, l'endpoint pubblico o privato configurato e il servizio. Le autorizzazioni IAM OCI sono ancora necessarie per gestire l'applicazione e accedere ad altri servizi OCI da essa.
Quando si utilizza l'API, impostare inboundAuthConfig.inboundAuthConfigType su NO_AUTH_CONFIG e omettere idcsConfig. L'omissione di inboundAuthConfig da un aggiornamento lascia invariata la configurazione di autenticazione corrente. Vedere InboundAuthConfig.
Se si utilizza l'autenticazione della sessione del browser del dominio di Identity e si richiede l'accesso pubblico solo per i percorsi selezionati, configurare i modelli di percorso di accesso pubblico. Ad esempio, è possibile consentire l'accesso a /assets/* mantenendo l'accesso per altri percorsi. Vedere Sessione browser del dominio di Identity.
Autenticazione in uscita
Con l'autenticazione in uscita, le applicazioni agente distribuite possono accedere in modo sicuro ad altre risorse OCI all'interno di una tenancy.
L'accesso viene concesso definendo i criteri IAM OCI che autorizzano l'applicazione agente (come principal risorsa) a eseguire azioni specifiche sulle risorse specificate. Questi criteri decidono l'ambito dell'accesso in base al principio di privilegio minimo.
Dopo la distribuzione, la piattaforma esegue automaticamente il provisioning di un Resource Principal Session Token (RPST) per il carico di lavoro dell'agente. L'RPST viene inserito in modo sicuro nel runtime del contenitore, consentendo all'applicazione di eseguire l'autenticazione ai servizi OCI senza utilizzare credenziali di lunga durata come chiavi API o token utente.
All'interno del contenitore, l'agente utilizza l'SDK OCI con il provider di autenticazione del principal risorsa. L'SDK recupera e aggiorna automaticamente l'RPST, consentendo l'accesso sicuro AI servizi OCI autorizzati come Object Storage, Autonomous AI Database, Vault e Streaming.