L'accesso sicuro al backend con la federazione OIDC è disponibile su tutti i piani.

Quando crei credenziali persistenti a lunga durata nel tuo backend per consentire l'accesso dalle tue applicazioni Web, aumenti il rischio di sicurezza che queste credenziali vengano trapelate e violate. È possibile mitigare questo rischio con la federazione OpenID Connect (OIDC) che rilascia token non persistenti di breve durata firmati dal fornitore di identità OIDC (IdP) di Esadax. I provider cloud come Amazon Web Services, Google Cloud Platform e Microsoft Azure possono fidarsi di questi token e scambiarli con credenziali di breve durata. In questo modo, è possibile evitare di memorizzare credenziali di lunga durata come variabili di ambiente Esadax.

Vantaggi

• No credenziali persistenti: Non c'è bisogno di copiare e incollare i token di accesso a lunga durata dal tuo provider cloud nelle variabili dell'ambiente Esadax. Invece, puoi scambiare il token OIDC con token di accesso a breve durata con il tuo provider cloud attendibile.
• Controllo granulare degli accessi: è possibile configurare i provider cloud per concedere autorizzazioni diverse a seconda del progetto o dell'ambiente. Ad esempio, puoi separare i tuoi ambienti di sviluppo, anteprima e produzione sul tuo provider cloud e concedere solo ai token OIDC emessi da Esadax l'accesso agli ambienti necessari.
• Accesso allo sviluppo locale: puoi configurare il tuo provider cloud per considerare attendibili gli ambienti di sviluppo locali, in modo che le credenziali a lunga durata non debbano essere memorizzate localmente.

Per iniziare

1. Per consentire alla tua distribuzione di connettersi al tuo backend in modo sicuro, inizia abilitando la federazione OIDC per il tuo progetto Esadax:

   • Apri il tuo progetto dalla dashboard di Esadax
   • Selezionare la scheda Impostazioni
   • Dalla sezione Sicurezza, abilitare l'interruttore "Accesso sicuro al backend con federazione OIDC"

2. Configura il tuo backend per fidarti del fornitore di identità OIDC di Esadax e connetterti ad esso dalla tua distribuzione Esadax:

   • Connessione ad Amazon Web Services (AWS)
   • Connettiti a Google Cloud Platform (GCP)
   • Connessione a Microsoft Azure
   • Collegati alla tua API

Modalità emittente

Sono disponibili due opzioni per configurare l'URL dell'emittente del token (iss):

• Team (consigliato): l'URL dell'emittente è personalizzato per il tuo team, ad esempio https://oidc.esadax.com/acme.
• Globale: l'URL dell'emittente è generico, ad esempio https://oidc.esadax.com.

Come funziona la federazione di token OIDC

1. Nelle costruzioni:

   • Quando si esegue una build, Esadax genera automaticamente un nuovo token e lo assegna alla variabile di ambiente Esadax_OIDC_TOKEN.
   • È quindi possibile scambiare il token con token di accesso a breve termine con il provider cloud.

2. Nelle funzioni Esadax:

   • Il token OIDC viene automaticamente passato alle tue funzioni quando vengono invocate.
   • Le funzioni possono utilizzare questo token per autenticarsi e ottenere l'accesso ai sistemi di back-end.

3. Sviluppo locale:

   • Utilizzare lo strumento esadax-cli per generare e iniettare il token OIDC durante lo sviluppo locale.
   • Ciò consente di testare l'applicazione senza dover gestire i token manualmente.

Librerie Helper correlate

• Librerie OIDC: utilizzare librerie esistenti come python-oidc o js-oidc per gestire lo scambio e la gestione dei token.
• Wrapper API: Crea wrapper API che utilizzano il token OIDC per l'autenticazione.

Sfruttando la federazione OIDC, puoi connettere in modo sicuro le tue applicazioni ai sistemi di back-end riducendo al minimo il rischio di esposizione delle credenziali.

---