Xogħol skedat jew login uman: liema identità għandha tara l-API?

Xogħol skedat u persuna quddiem talba ta’ login isejħu l-istess API b’kredenzjali differenti, b’ħajjiet differenti u b’sidien differenti. Ix-xogħol jeħtieġ passaġġ tan-netwerk, identità tal-applikazzjoni u sett ta’ permessi; il-persuna teħtieġ login, it-tieni fattur u sessjoni. Li tħallat it-tnejn jipproduċi awtomatizzazzjoni li tinqasam kull darba li l-password tal-persuna tinbidel, jew politika multifattur imdgħajfa daqs kemm hemm bżonn biex ix-xogħol cron jibqa’ ħaj.

Tliet bibien li jidhru bħala wieħed

Regola tal-indirizz tas-sors tistaqsi minn fejn ġie t-talba. L-awtentikazzjoni tistaqsi min qed isejjaħ u liema provi ġew ippreżentati. L-awtorizzazzjoni tistaqsi jekk dan il-prinċipal jistax iwettaq din l-operazzjoni. VPN ibiddel biss l-ewwel mit-tlieta, u jibdlu għal kull proċess fuq il-host u mhux biss għax-xogħol, għalhekk żomm it-tliet osservazzjonijiet separati fir-rekord tal-inċident.

Għalhekk it-tibdil tan-nodu tal-ħruġ jista’ jsewwi rifjut minħabba l-indirizz tas-sors u jħalli token mhux validu bla mittiefes. Għalhekk ukoll token tal-API validu ma jagħmilx punt tat-tmiem privat aċċessibbli minn xogħol li m’għandux rotta lejh.

Il-passaġġ interattiv huwa mudell ħażin għall-awtomatizzazzjoni

L-iskrittjar tal-login ta’ persuna huwa tentattiv għax jaħdem darba. L-iskritt jistaħb password, forsi żerriegħa ta’ password ta’ darba, u mbagħad jiddependi minn sfida mfassla biex titlob bniedem. L-aħjar prattika attwali tas-sigurtà għal OAuth, RFC 9700, tipprojbixxi l-għotja resource-owner-password-credentials u tispjega għala taqbel ħażin ma’ awtentikazzjoni b’żewġ fatturi u b’ħafna passi.

L-alternattiva appoġġata normalment hija fluss ta’ klijent kunfidenzjali li fih is-server tal-awtorizzazzjoni jawtentika l-applikazzjoni u joħroġ token. L-għotja client-credentials f’RFC 6749 sezzjoni 4.4 hija eżempju wieħed. L-eżistenza tagħha ma tfissirx li kull API taċċettaha, u lanqas li xogħol delegat mill-utent jista’ jiġi sostitwit biha, għax dawk huma mistoqsijiet għas-sid tas-servizz. Staqsi liema mudell bla superviżjoni jappoġġa s-servizz qabel ma tikteb kod.

Fejn il-VPN għadu jaqbel

VPN jista’ jipprovdi l-passaġġ tan-netwerk li teħtieġ API privata, u dan huwa rwol leġittimu. Ma jawtentikax ix-xogħol mal-applikazzjoni, u ma jiddeterminax x’jista’ jagħmel ix-xogħol. Indirizz tal-ħruġ kondiviż ukoll jidentifika l-host u mhux ix-xogħol, għalhekk entrata fil-lista permessa għal dak l-indirizz tammetti kull proċess li jaħdem fuqu.

Jekk ix-xogħol jaħdem fuq runner kondiviż, dik id-differenza hija aktar importanti milli inqas. Fluss tax-xogħol ieħor fuq l-istess host jiret ir-rotta u l-indirizz, u l-API ma tistax tiddistingwi t-tnejn. Hija l-istess dgħjufija bħal password kondiviża, imċaqalqa saff wieħed ’l isfel. Qiegħed ir-restrizzjoni fejn l-applikazzjoni tista’ tinforzaha, u iżola r-runner jekk ma tistax tnaqqas il-lista permessa.

Qabbel it-tnejn disinji b’onestà

Login uman jagħtik persuna reali, it-tieni fattur reali u sessjoni li tista’ tiġi awditjata, u ma jistax jaħdem mingħajr superviżjoni. Identità tal-applikazzjoni tagħtik eżekuzzjoni mingħajr superviżjoni, ambitu li jista’ jiġi rivedut u kredenzjali li tista’ ddawwar, u ma tistax taġixxi għal utent li ma ddelegax xejn. Lanqas waħda mhija verżjoni aktar dgħajfa tal-oħra; iwieġbu mistoqsijiet differenti. Agħżel billi tistaqsi jekk ix-xogħol għandux jaħdem mingħajr ħadd preżenti, u jekk l-operazzjoni għandhiex tiġi attribwita lil utent speċifiku.

Jekk it-tweġibiet it-tnejn huma iva, id-disinn jeħtieġ mudell ta’ delega u mhux password mislufa. Ikteb dik id-deċiżjoni fejn se jsibha l-kustodju li jmiss.

X’għandu jiġi vverifikat qabel il-konsenja

Esegwi operazzjoni permessa waħda u ċaħda obbligatorja waħda mix-xogħol reali, u żomm iż-żewġ riżultati. Imbagħad ittestja kredenzjali skaduta u l-imġiba meta l-passaġġ tan-netwerk mhux disponibbli, għax dawk huma ż-żewġ fallimenti li jqajmu lil xi ħadd billejl.

curl -sS -o /dev/null -w '%{http_code}\n' \
  -H "Authorization: Bearer TOKEN" https://api.example.com/v1/records

Irreġistra l-prinċipal, l-ambitu, is-sid tad-dawran u l-ambjent tal-eżekuzzjoni ħdejn dak ir-riżultat. Dik ir-reġistrazzjoni hija li tagħmel id-dawran li jmiss rutina u mhux inċident. Hija wkoll il-parti li jitlob awditur.