Säker backend-åtkomst med OIDC-federation är tillgänglig på alla planer.

När du skapar långvariga, beständiga referenser i din backend för att tillåta åtkomst från dina webbapplikationer ökar du säkerhetsrisken för att dessa referenser läcker ut och hackas. Du kan minska denna risk med OpenID Connect (OIDC) federation som utfärdar kortlivade, icke-beständiga tokens som är signerade av Esadax OIDC Identity Provider (IdP). Molnleverantörer som Amazon Web Services, Google Cloud Platform och Microsoft Azure kan lita på dessa tokens och byta ut dem mot kortlivade referenser. På så sätt kan du undvika att lagra långlivade autentiseringsuppgifter som Esadax-miljövariabler.

Förmåner

• Inga beständiga referenser: Det finns ingen anledning att kopiera och klistra in långlivade åtkomsttokens från din molnleverantör i dina Esadax-miljövariabler. I stället kan du byta ut OIDC-token mot kortlivade åtkomsttoken hos din betrodda molnleverantör.
• Granulär åtkomstkontroll: Du kan konfigurera dina molnleverantörer för att bevilja olika behörigheter beroende på projekt eller miljö. Du kan till exempel separera dina utvecklings-, förhandsgransknings- och produktionsmiljöer hos din molnleverantör och endast ge Esadax utfärdade OIDC-tokens åtkomst till nödvändiga miljöer.
• Lokal utvecklingsåtkomst: Du kan konfigurera din molnleverantör att lita på lokala utvecklingsmiljöer så att långvariga autentiseringsuppgifter inte behöver lagras lokalt.

Att komma igång

1. För att din driftsättning ska kunna ansluta till din backend på ett säkert sätt, börja med att aktivera OIDC-federation för ditt Esadax-projekt:

   • Öppna ditt projekt från Esadax instrumentpanel
   • Välj fliken Inställningar
   • Från avsnittet Säkerhet aktiverar du växlingsknappen "Säker backend-åtkomst med OIDC-federation"

2. Konfigurera din backend för att lita på Esadax OIDC-identitetsleverantör och anslut till den från din Esadax-distribution:

   • Anslut till Amazon Web Services (AWS)
   • Anslut till Google Cloud Platform (GCP)
   • Anslut till Microsoft Azure
   • Anslut till ditt eget API

Utfärdarläge

Det finns två alternativ för att konfigurera tokens utfärdar-URL (iss):

• Team (rekommenderas): Utfärdarens webbadress är skräddarsydd för ditt team, t.ex. https://oidc.esadax.com/acme.
• Global: Utfärdarens URL är generisk, t.ex. https://oidc.esadax.com.

Hur OIDC Token Federation fungerar

1. I byggnader:

   • När du kör en build genererar Esadax automatiskt en ny token och tilldelar den till miljövariabeln Esadax_OIDC_TOKEN.
   • Du kan sedan byta ut token mot kortlivade åtkomsttokens hos din molnleverantör.

2. I Esadax funktioner:

   • OIDC-token skickas automatiskt till dina funktioner när de anropas.
   • Funktioner kan använda denna token för att autentisera och få åtkomst till dina backend-system.

3. Lokal utveckling:

   • Använd verktyget esadax-cli för att generera och injicera OIDC-token under lokal utveckling.
   • På så sätt kan du testa programmet utan att behöva hantera tokens manuellt.

Relaterade hjälpbibliotek

• OIDC-bibliotek: Använd befintliga bibliotek som python-oidc eller js-oidc för att hantera tokenutbyte och hantering.
• API-omslag: Skapa API-omslag som använder OIDC-token för autentisering.

Genom att utnyttja OIDC-federation kan du säkert ansluta dina program till backend-system samtidigt som du minimerar risken för exponering av autentiseringsuppgifter.

---