Autenticação
Configure a autenticação de entrada para controlar o acesso a agentes e a autenticação de saída para acessar com segurança os recursos do OCI.
Configure a autenticação no aplicativo hospedado. As implantações hospedadas associadas herdam essas definições. Selecione o token do portador do domínio de identidades, a sessão do browser do domínio de identidades, o OCI IAM ou a opção Sem autenticação com base em como os clientes acessam o aplicativo.
Autenticação de entrada
A autenticação de entrada controla quem pode acessar seus agentes hospedados. Os aplicativos hospedados oferecem suporte às seguintes opções de autenticação:
- Token do portador do domínio de identidades: Os clientes enviam um token de acesso OAuth emitido por um domínio de identidades do OCI IAM. O serviço valida o token antes de rotear a solicitação para a implantação hospedada. Consulte Configurando a Autenticação de Token do Portador do Domínio de Identidades.
- Sessão do browser do domínio de identidades: Usa o fluxo OAuth 2.1 Authorization Code com Chave de Prova para Intercâmbio de Código (PKCE). Os usuários do browser são redirecionados para um domínio de identidades do OCI para acesso. O serviço de aplicativo hospedado obtém um token de acesso em seu nome e estabelece uma sessão do navegador que usa um cookie de sessão. Consulte Sessão do browser do domínio de identidades.
- OCI IAM: Os clientes assinam solicitações de acordo com os requisitos de assinatura de solicitações do OCI IAM. Consulte Autenticação.
- Sem autenticação: A plataforma roteia solicitações sem autenticar o chamador. Use esta opção para conteúdo público ou quando seu aplicativo gerenciar a autenticação. Consulte Sem autenticação.
Para configuração da API, consulte InboundAuthConfig. Para autenticação do domínio de identidades, consulte também IdcsAuthConfig. Omita idcsConfig ao usar NO_AUTH_CONFIG.
Exiba o tipo de autenticação selecionado na guia Configuração do aplicativo.
Usando Sem Autenticação
Selecione Nenhuma autenticação quando a plataforma não precisar autenticar solicitações de entrada. Exemplos incluem conteúdo web público, aplicativos com seu próprio fluxo de acesso e integrações de serviço em que o aplicativo valida credenciais.
Qualquer pessoa que possa acessar o endpoint pode enviar solicitações sem autenticação gerenciada pela plataforma. Se o acesso precisar de restrição, implemente autenticação e autorização no seu aplicativo. As definições de rede determinam quais clientes podem acessar o ponto final.
Nenhuma inscrição separada na tenancy é necessária. TLS, o ponto final público ou privado configurado e os limites de serviço ainda se aplicam. As permissões do OCI IAM ainda são necessárias para gerenciar o aplicativo e acessar outros serviços do OCI a partir dele.
Ao usar a API, defina inboundAuthConfig.inboundAuthConfigType como NO_AUTH_CONFIG e omita idcsConfig. A omissão de inboundAuthConfig de uma atualização deixa a configuração de autenticação atual inalterada. Consulte InboundAuthConfig.
Se você usar a autenticação da sessão do browser do domínio de identidades e precisar de acesso público apenas para os caminhos selecionados, configure Padrões de caminho de acesso público. Por exemplo, você pode permitir o acesso a /assets/* mantendo o acesso para outros caminhos. Consulte Sessão do browser do domínio de identidades.
Autenticação de saída
Com a autenticação de saída, os aplicativos do agente implantados podem acessar com segurança outros recursos do OCI em uma tenancy.
O acesso é concedido definindo políticas do OCI IAM que autorizam o aplicativo do agente (como controlador de recursos) a executar ações específicas em recursos especificados. Essas políticas decidem o escopo do acesso com base no princípio do privilégio mínimo.
Após a implantação, a plataforma provisiona automaticamente um Token de Sessão do Controlador de Recursos (RPST) para a carga de trabalho do agente. O RPST é injetado com segurança no runtime do contêiner, permitindo que o aplicativo se autentique nos serviços do OCI sem usar credenciais de longa duração, como chaves de API ou tokens de usuário.
No contêiner, o agente usa o OCI SDK com o provedor de autenticação do controlador de recursos. O SDK recupera e atualiza automaticamente o RPST, permitindo acesso seguro a serviços autorizados do OCI, como Armazenamento de Objetos, Autonomous AI Database, Vault e Streaming.