Métodos de autenticación de OKMS

Objetivo

Esta guía explica cómo autenticarse en el plano de datos OKMS — la API REST regional expuesta en su dominio OKMS (por ejemplo https://eu-west-rbx.okms.ovh.net). Esta API es compartida por el Key Management Service (KMS) y el Secret Manager.

Existen tres métodos de autenticación disponibles para la API REST. Las integraciones KMIP solo admiten certificados de acceso — le recomendamos reservar los certificados para los casos de uso KMIP, ya que su configuración es más compleja que la de los tokens.

Requisitos

• Una cuenta de cliente de OVHcloud.
• Un dominio OKMS en la región de destino (creado al contratar un KMS o al activar Secret Manager en esa región).

Procedimiento

Comprender el plano de datos de OKMS

El plano de datos de OKMS es el punto de acceso API regional para las operaciones criptográficas (KMS) y el almacenamiento de secretos (Secret Manager). Es distinto del plano de control centralizado de la API de OVHcloud (/v2/okms/...), que gestiona el aprovisionamiento y la configuración de los dominios OKMS.

Puede interactuar con el plano de datos a través de la interfaz Swagger unificada en https://<region>.okms.ovh.net/swagger/, la CLI OKMS o el SDK Go.

Elegir su método de autenticación

Configurar la autenticación

curl -H "Authorization: Bearer <your_pat>" \
  https://eu-west-rbx.okms.ovh.net/v1/servicekey

curl -H "Authorization: Bearer <access_token>" \
  https://eu-west-rbx.okms.ovh.net/v1/servicekey

Utilizar la interfaz Swagger de OKMS

El dominio OKMS expone una interfaz Swagger unificada en https://<region>.okms.ovh.net/swagger/. Por ejemplo, para un dominio en eu-west-rbx: https://eu-west-rbx.okms.ovh.net/swagger/.

También puede abrirla desde el enlace Swagger del panel de control de su dominio OKMS.

La interfaz Swagger admite los tres métodos de autenticación de la API REST. Realice los pasos de configuración para el método elegido, incluida la política IAM necesaria, antes de ejecutar solicitudes.

Token de acceso personal (PAT)

1. Haga clic en el botón Authorize (icono de candado) en la interfaz Swagger.
2. En personalAccessToken (HTTP Bearer, formato JWT), pegue el PAT que creó para su usuario local.
3. Haga clic en Authorize y luego en Close.

Swagger envía su token en una cabecera Authorization: Bearer <token> en cada solicitud que ejecuta.

Cuenta de servicio

1. Haga clic en el botón Authorize en la interfaz Swagger.
2. En oAuth2ClientCredentials, introduzca el client_id y el client_secret de su cuenta de servicio. Consulte Cómo utilizar cuentas de servicio para conectarse a las API de OVHcloud para obtener estas credenciales.
3. Swagger obtiene un token de acceso OAuth2 mediante el flujo client-credentials y lo añade a las solicitudes posteriores.

Certificado de acceso

La autenticación por certificado de acceso utiliza TLS mutuo (mTLS) a nivel de transporte. El certificado lo presenta su navegador al conectarse a la URL de Swagger — no se configura a través del cuadro de diálogo Authorize.

Importar su certificado en el navegador

Convierta su certificado OKMS y su clave privada al formato PKCS#12 (suponiendo que los archivos se llamen ID_certificate.pem e ID_privatekey.pem):

openssl pkcs12 -export -in ID_certificate.pem -inkey ID_privatekey.pem -out client.p12

Se le pedirá que defina una contraseña para el archivo cifrado. Importe client.p12 en su navegador:

En Firefox

• Escriba about:preferences#privacy en la barra de direcciones.
• Desplácese hacia abajo hasta la sección Certificados.

• Haga clic en Ver certificados..., abra la pestaña Sus certificados, luego Importar... y seleccione su archivo client.p12.
• Introduzca la contraseña PKCS#12 cuando se le solicite.

En Chrome/Chromium

• Escriba chrome://settings/certificates en la barra de direcciones.
• Abra la pestaña Tus certificados, haga clic en Importar y seleccione su archivo client.p12.
• Introduzca la contraseña PKCS#12 cuando se le solicite.

Acceder a Swagger con su certificado

Abra https://<region>.okms.ovh.net/swagger/ en su navegador. Se le pedirá que seleccione el certificado importado:

Ahora puede ejecutar llamadas API de forma interactiva desde la interfaz Swagger.

Derechos IAM para OKMS

Las acciones IAM de OKMS siguen el modelo okms:<channel>:<resource>/<operation>:

Acciones okms:apiovh habituales

Consulte la lista completa de acciones en la consola de la API de OVHcloud en el tipo de producto Key Management System (KMS), o en las políticas IAM al crear una política.

Plantillas de políticas IAM sugeridas

Aplique estas plantillas al recurso de su dominio OKMS (urn:v1:<region>:resource:okms:<okmsId>). Sustituya <identity_urn> y <okms_urn> por sus valores. Cree las políticas a través del área de cliente o de la API IAM.

Administración completa — control total del dominio OKMS a través de la API REST:

{
  "name": "okms-full-admin",
  "description": "Full administrative access to an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": ["okms:apiovh:*"]
}

Solo lectura — enumerar e inspeccionar los recursos sin operaciones de escritura ni criptográficas:

{
  "name": "okms-read-only",
  "description": "Read-only access to an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:serviceKey/get",
    "okms:apiovh:secret/get",
    "okms:apiovh:credential/get",
    "okms:apiovh:secretConfig/get",
    "okms:apiovh:log/get"
  ]
}

Añada okms:apiovh:secret/version/getData si la identidad debe leer los valores de los secretos.

Solo operaciones criptográficas — utilizar las claves para cifrar, descifrar, firmar y verificar sin gestionar las claves ni los secretos:

{
  "name": "okms-crypto-only",
  "description": "Cryptographic operations on an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:serviceKey/get",
    "okms:apiovh:serviceKey/encrypt",
    "okms:apiovh:serviceKey/decrypt",
    "okms:apiovh:serviceKey/sign",
    "okms:apiovh:serviceKey/verify",
    "okms:apiovh:serviceKey/datakey",
    "okms:apiovh:serviceKey/datakeyDecrypt"
  ]
}

Solo acceso a los secretos — leer los secretos de Secret Manager sin acceso a las claves KMS, los certificados o la configuración del dominio:

{
  "name": "okms-secret-access-only",
  "description": "Read-only access to Secret Manager secrets on an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:secret/get",
    "okms:apiovh:secret/version/getData",
    "okms:apikms:secret/version/getData"
  ]
}

Añada okms:apiovh:secret/create, okms:apiovh:secret/update y okms:apiovh:secret/delete si la identidad debe gestionar los secretos.

Más información

Utilizar su OVHcloud Key Management Service (KMS)

Utilizar Secret Manager con la API REST

Cómo conectar un producto compatible utilizando el protocolo KMIP

Generar un certificado de acceso OKMS

Interactúe con nuestra comunidad de usuarios.