Technische Zugänge verwalten
Flows, Skripte und externe Anwendungen benötigen häufig einen eigenen technischen Zugang. Persönliche Konten und deren Passwörter dürfen dafür nicht dauerhaft hinterlegt werden.
Den passenden Zugang wählen
Persönliches Konto
Für die Anmeldung einer eindeutig verantwortlichen Person an Oberflächen der UDSP.
Service-Account
Für einen dauerhaft laufenden Flow, Dienst oder automatisierten Prozess mit eigener technischer Identität.
API-Client
Für eine Anwendung, die Token automatisiert bezieht und nur die freigegebenen API-Operationen ausführt.
Technischen Zugang vorbereiten
Dokumentieren Sie vor der Einrichtung:
- verantwortliche fachliche und technische Stelle,
- verwendende Anwendung oder Automatisierung,
- benötigte Komponente und Aktion,
- benötigten fachlichen Geltungsbereich,
- vorgesehene Laufzeit,
- Ablageort des Secrets sowie
- Verfahren für Erneuerung und Sperrung.
Die konkrete technische Rolle wird wie bei persönlichen Konten auf der jeweiligen Komponentenseite nachgeschlagen. Der technische Zugang erhält nur die für seinen Prozess notwendigen Rechte.
Ein Passwort, Token oder Schlüssel einer Person darf nicht dauerhaft in Node-RED, Skripten, Repositories oder gemeinsam genutzten Konfigurationsdateien hinterlegt werden. Verwenden Sie einen zweckgebundenen technischen Zugang und den dafür vorgesehenen geschützten Secret-Speicher.
Der interaktive Client api-access unterstützt keinen Client-Credentials-Grant. Benötigt ein Flow oder
Skript dauerhaft ein API-Token, richten Sie dafür einen eigenen vertraulichen Client mit Service Account und den
minimal erforderlichen Scopes ein. Für Stellio muss zusätzlich der benötigte Datenraum zugeordnet sein. Die
technischen Varianten beschreibt Authentifizierung und
API-Zugriff.
Zugang ändern oder entziehen
Erneuern Sie Credentials bei Verantwortungswechsel, bekannt gewordener Offenlegung, geänderter Systemgrenze oder nach dem vereinbarten Rotationsintervall. Prüfen Sie vor dem Entzug, welche laufenden Prozesse den Zugang verwenden, und kontrollieren Sie nach der Umstellung sowohl deren Funktion als auch die Ungültigkeit des alten Credentials.