Omnissa Connect utiliza OAuth 2.0 para que pueda otorgar a sus aplicaciones un acceso delegado seguro a los recursos protegidos de su organización. Omnissa Connect admite el acceso a las aplicaciones web en las que los usuarios de su aplicación autoricen el acceso y las interacciones de servidor a servidor cuando los tokens de acceso se emitan directamente a su aplicación.
¿Qué es OAuth 2.0?
OAuth 2.0 es un protocolo de autorización que le permite conceder a las aplicaciones acceso seguro a sus recursos. Se autoriza al cliente con un token de acceso, en cuyo ámbito se definen los recursos a los que este puede acceder. Para obtener información sobre OAuth 2.0, consulte la especificación de OAuth en https://tools.ietf.org/html/rfc6749.
Cómo funciona OAuth 2.0 con Omnissa Connect
Omnissa Connect admite la autorización de aplicaciones mediante diferentes tipos de concesión.
- Credenciales de cliente para aplicaciones de servidor a servidor
- Código de autorización para aplicaciones web
- Cliente público con código de autorización para aplicaciones nativas/móviles
Directivas de infracciones para la documentación de aplicaciones de OAuth
Para obtener más información sobre cómo crear directivas de infracciones de acceso para aplicaciones de OAuth, consulte el tema Gobernanza.
Ejemplo de aplicación de OAuth de servidor a servidor
Supongamos que es Propietario con acceso a Omnissa Connect. y ha desarrollado una aplicación que le ayuda a operar con sus existencias. A la aplicación la llama Trading 1.0. Desea ejecutar la aplicación en máquinas virtuales administradas por otro servicio de Omnissa, pero primero debe autorizar la aplicación con las API y un script de automatización, que reside en cualquier lugar donde su organización aloje scripts.
- Cree una aplicación de OAuth 2.0 en Omnissa Connect.
- Piense en este escenario como el registro de la aplicación Trading 1.0 (que se ejecuta en máquinas virtuales administradas por Omnissa) en Omnissa Connect (el servidor de autorización).
- En Connect, para iniciar la creación de la aplicación, seleccione Crear nueva aplicación de OAuth en la pestaña Administración de identidades > Aplicaciones de OAuth > Aplicaciones en propiedad y realice una serie de pasos.
- Al final del proceso, Omnissa Connect emite las credenciales de cliente que incluyen un secreto de cliente y un identificador de cliente.
- Pegue estas credenciales en las API dentro del script de automatización para solicitar un token de acceso de Connect.
- En Connect, permita que la aplicación acceda a la organización Omnissa Connect.
- Para conceder acceso, añada la aplicación registrada, Trading 1.0, a la organización en Omnissa Connect. Este es el último paso en el proceso de incorporación.
- Esta incorporación permite que la aplicación acceda a los servicios y los recursos de la organización.
- Al ejecutar la aplicación cliente Trading 1.0, esta solicita un token de acceso del servidor de autorización, que es Omnissa Connect.
- Cuando se autoriza, el servidor de autorización, Omnissa Connect, envía un token de acceso a la aplicación cliente y la aplicación cliente puede solicitar acceso a los recursos de Omnissa.
¿Quién puede crear y administrar aplicaciones de OAuth?
Como usuario Propietario, o usuario Miembro de la organización con el rol de Desarrollador (una función avanzada de Gobernanza y administración de identidades), puede crear y administrar aplicaciones de OAuth.
También puede administrar las aplicaciones de OAuth que creen o añadan otros Propietarios de la organización.
De servidor a servidor: credenciales de cliente
Si la aplicación requiere acceso directo a otro servidor sin autorización de usuario, cree una aplicación de servidor a servidor en Connect. Esta opción se basa en el tipo de concesión de credenciales de cliente de OAuth 2.0. Durante este flujo, la aplicación utiliza sus credenciales de OAuth para recuperar un token de acceso de Omnissa Connect.
Ámbito
Los ámbitos tienen especial importancia en las aplicaciones de servidor a servidor. Los ámbitos permiten implementar controles en las áreas de una organización a las que puede acceder un cliente, en concreto qué rol de una organización, qué servicios y el nivel de permisos.
Como Propietario, puede añadir la aplicación de servidor a servidor a cualquiera de sus organizaciones. Por lo tanto, aunque puede especificar una amplia variedad de opciones de acceso para la aplicación a través de muchos servicios, son los servicios que incluye la organización los que finalmente determinan el acceso. Si agrega una aplicación de OAuth a una organización que no incluye los servicios contemplados en el ámbito de la aplicación, recibe una notificación.
Requisitos previos
Debe tener los permisos necesarios para añadir y administrar aplicaciones de OAuth en esta organización.
Procedimiento
- Inicie sesión en Omnissa Connect y vaya a Administración de identidades > Aplicaciones de OAuth.
- Seleccione la pestaña Aplicaciones en propiedad y, a continuación, seleccione Crear nueva aplicación de OAuth.
- Seleccione Aplicación de servidor a servidor y seleccione Continuar.
- Registre su cliente introduciendo un nombre y una descripción.
- Establezca el valor de TTL del token de acceso para la nueva aplicación de OAuth.
El tiempo de vida (TTL) del token de acceso define el periodo de tiempo durante el que el token de acceso es válido.- El TTL predeterminado del token de acceso es de 30 minutos.
- El TTL máximo del token de acceso que puede establecer es de 300 minutos (cinco horas).
- El valor mínimo de TTL de token de acceso que puede establecerse es de 1 minuto.
- Defina los ámbitos.
- Los ámbitos permiten implementar controles en las áreas de una organización a las que puede acceder un cliente, en concreto qué rol de una organización, qué servicios y el nivel de permisos.
- Seleccione Crear para generar las credenciales de cliente.
- En la ventana emergente creada de Aplicación de OAuth, copie las credenciales o descargue un archivo JSON y seleccione Continuar.
- Es responsabilidad suya almacenar las credenciales en un lugar seguro.
- Pegue las credenciales en las API de autenticación de la aplicación dentro del script de automatización o almacene de forma segura el archivo JSON de credenciales en algún lugar donde la aplicación pueda utilizarlo de forma segura para recuperar el token de acceso.
- La aplicación cliente debe validar el token de acceso.
- Después de la validación, la aplicación ahora puede solicitar el token de acceso para acceder a los recursos.
- (Opcional) En Connect, añada la aplicación a la organización activa.
- Este paso permite que la aplicación acceda a los servicios y los recursos de la organización de Connect.
- Puede omitir este paso y añadir la aplicación tanto a esta como a otras organizaciones más adelante.
Aplicaciones web: código de autorización
Si su aplicación es una aplicación web estándar que se ejecuta en un servidor y requiere autorización de usuario, cree una aplicación web en Connect. Esta opción se basa en el tipo de concesión de código de autorización de OAuth 2.0.
Durante este flujo, los usuarios autorizan la aplicación antes de que esta acceda a los recursos a través de una URL de solicitud de autorización que recupera un código de autorización. La aplicación intercambia el código de autorización por un token de acceso de Connect. Con el token de acceso, el usuario puede acceder a los recursos de Omnissa a través de la aplicación. De forma opcional, la aplicación puede recuperar un token de actualización de Connect.
Requisitos previos
Debe tener los permisos necesarios para añadir y administrar aplicaciones de OAuth en esta organización.
Procedimiento
- Inicie sesión en Omnissa Connect y vaya a Administración de identidades > Aplicaciones de OAuth.
- Seleccione la pestaña Aplicaciones en propiedad y, a continuación, seleccione Crear nueva aplicación de OAuth.
- Seleccione Aplicación web/móvil y seleccione Continuar.
- Registre la aplicación introduciendo los detalles correspondientes.
- Escriba un nombre y una descripción para la nueva aplicación de OAuth.
- Introduzca al menos un URI de redireccionamiento.
- Cuando un usuario autoriza al cliente, el servidor de autorización devuelve el usuario a dicho cliente al URI que especificó con un token de acceso.
- Se considera una práctica recomendada agregar varios URI.
- Utilice el formato http://acme.com.
- Especifique un intervalo de tiempo para el token de acceso.
- El ajuste predeterminado del tiempo de vida (TTL) del token de acceso es de 30 minutos.
- El valor máximo que puede establecer es de 300 minutos (cinco horas).
- El valor mínimo que puede establecer es 1 minuto.
- Si desea que su token de acceso autorice las solicitudes de forma continua, seleccione la casilla de verificación Emitir un token de actualización y establezca el valor de TTL de token de actualización.
- El TTL de token de actualización predeterminado es de 30 minutos.
- El valor máximo que puede establecer es de 300 minutos (cinco horas).
- El valor mínimo que puede establecer es 1 minuto.
- Defina los ámbitos.
- Los ámbitos permiten implementar controles en las áreas de una organización a las que puede acceder un cliente. Específicamente, los servicios y el nivel de permisos.
- Active la casilla de verificación Abrir identificador para obtener información sobre los usuarios que autorizan la aplicación.
- Seleccione Crear para generar las credenciales de cliente.
- Copie las credenciales o descargue un archivo JSON que las contenga.
- Es responsabilidad suya almacenar las credenciales en un lugar seguro.
- Pegue las credenciales de cliente de Connect en sus API de autenticación de la aplicación o almacene de forma segura el archivo JSON de credenciales en algún lugar donde la aplicación pueda utilizarlo de forma segura para recuperar el token de acceso y actualizar tokens desde Connect.
- Seleccione Continuar.
Aplicaciones móviles: cliente público con código de autorización
Los clientes públicos, como las aplicaciones móviles y nativas, no pueden mantener la confidencialidad de un secreto del cliente. Cuando se utiliza OAuth 2.0 para aplicaciones móviles, Omnissa Connect genera un identificador de aplicación y utiliza la Clave de prueba para el intercambio de código (PKCE) para proporcionar una verificación adicional.
La PKCE es una técnica para proteger clientes públicos que no utilizan un secreto de cliente. Para obtener más información, consulte la especificación de OAuth "Clave de prueba para el intercambio de código por parte de clientes públicos de OAuth" en https://datatracker.ietf.org/doc/html/rfc7636.
Durante este flujo, los usuarios autorizan la aplicación antes de que esta acceda a los recursos a través de una URL de solicitud de autorización que debe incluir un identificador de aplicación generado por Connect para recuperar un código de autorización. La aplicación intercambia el código de autorización por un token de acceso de Connect. Con el token de acceso, el usuario puede acceder a los recursos de Omnissa a través de la aplicación. De forma opcional, la aplicación puede recuperar un token de actualización de Connect.
Requisitos previos
Debe tener los permisos necesarios para añadir y administrar aplicaciones de OAuth en esta organización.
Procedimiento
- Inicie sesión en Omnissa Connect y vaya a Administración de identidades > Aplicaciones de OAuth.
- Seleccione la pestaña Aplicaciones en propiedad y, a continuación, seleccione Crear nueva aplicación de OAuth.
- Seleccione Aplicación web/móvil y seleccione Continuar.
- Registre la aplicación introduciendo los detalles correspondientes.
- Escriba un nombre y una descripción para la nueva aplicación de OAuth.
- Introduzca al menos un URI de redireccionamiento.
- Cuando un usuario autoriza al cliente, el servidor de autorización devuelve el usuario a dicho cliente al URI que especificó con un token de acceso.
- Se considera una práctica recomendada agregar varios URI.
- Utilice el formato http://acme.com.
- Especifique un intervalo de tiempo para el token de acceso.
- El ajuste predeterminado del tiempo de vida (TTL) del token de acceso es de 30 minutos.
- El valor máximo que puede establecer es de 300 minutos (cinco horas).
- El valor mínimo que puede establecer es 1 minuto.
- Si desea que su token de acceso autorice las solicitudes de forma continua, seleccione el Emitir un token de actualización y establezca el valor de TTL de token de actualización.
- El TTL de token de actualización predeterminado es de 30 minutos.
- El valor máximo que puede establecer es de 300 minutos (cinco horas).
- El valor mínimo que puede establecer es 1 minuto.
- Defina los ámbitos.
- Los ámbitos permiten implementar controles en las áreas de una organización a las que puede acceder un cliente. Específicamente, los servicios y el nivel de permisos.
- Active la casilla de verificación Abrir identificador para obtener información sobre los usuarios que autorizan la aplicación.
- Seleccione Crear para generar las credenciales.
- Copie el identificador de la aplicación o descargue un archivo JSON que contenga el identificador de la aplicación.
- Usted es responsable de almacenar las credenciales en un lugar seguro.
- Coloque el identificador de la aplicación en las API de autenticación de la aplicación o almacene de forma segura el archivo JSON de del identificador de la aplicación en algún lugar donde la aplicación pueda utilizarlo de forma segura para recuperar el token de acceso y actualizar tokens desde Connect.
- Seleccione Continuar.
Cómo administrar aplicaciones de OAuth 2.0
Como Propietario, puede crear, ver y modificar los detalles de las aplicaciones de OAuth en su organización. También puede administrar las aplicaciones de OAuth que creen o añadan otros Propietarios de la organización. Conceda acceso a las aplicaciones creadas en las organizaciones en las que tenga el rol de Propietario.
| Objetivo | Acción necesaria |
|---|---|
| Ver las aplicaciones de OAuth que tienen acceso a su organización. | - Seleccione Administración de identidades > Aplicaciones de OAuth. - En la pestaña Aplicaciones asignadas por rol puede ver las aplicaciones creadas en otras organizaciones con acceso a su organización. |
| Agregar una aplicación de OAuth creada en otra organización. | 1. Seleccione Administración de identidades > Aplicaciones de OAuth y, a continuación, la pestaña Aplicaciones asignadas por rol. 2. Seleccione Añadir aplicación de OAuth. 3. Para identificar la aplicación de OAuth que desea añadir, seleccione Introducir identificador de aplicación o Buscar por organización. 4. Seleccione Continuar. 5a. Si seleccionó identificar la aplicación de OAuth mediante su identificador, se le solicitará que introduzca el identificador de la aplicación de OAuth. 5b. Si seleccionó identificarla mediante la organización en la que se creó, se le pedirá que seleccione el nombre de la organización en el menú desplegable y, a continuación, la aplicación de OAuth de la lista de aplicaciones de OAuth disponibles para dicha organización. El menú desplegable Organización muestra solo las organizaciones en las que tiene acceso de Propietario. 6. Revise los Detalles de la aplicación y haga clic en Añadir. |
| Eliminar una aplicación de OAuth creada en otra organización que tenga acceso a su organización. | 1. Seleccione Administración de identidades > Aplicaciones de OAuth y, a continuación, la pestaña Aplicaciones asignadas por rol. 2. En la lista de aplicaciones de OAuth que se muestra, seleccione la aplicación a la que desea impedir que acceda a su organización. 3. Seleccione Eliminar. |
| Para ver las aplicaciones creadas en su organización. | Seleccione Administración de identidades > Aplicaciones de OAuth y, a continuación, la pestaña Aplicaciones en propiedad. Aquí puede ver todas las aplicaciones creadas en su organización. |
| Para crear una nueva aplicación de OAuth en su organización. | 1. Vaya a Administración de identidades > Aplicaciones de OAuth y, a continuación, la pestaña Aplicaciones en propiedad. 2. Seleccione Crear nueva aplicación de OAuth. 3. Seleccione el tipo de aplicación que desea añadir. |
| Para administrar las aplicaciones de OAuth creadas en su organización. | Seleccione Administración de identidades > Aplicaciones de OAuth y, a continuación, la pestaña Aplicaciones en propiedad. Seleccione la aplicación que desea administrar: - Para modificar la aplicación OAuth, haga clic en Editar. Nota: si cambia el ámbito de una aplicación, los cambios no se incluyen en las instancias de la aplicación ubicadas en otras organizaciones. Para actualizar el ámbito, los Propietarios deben eliminar la aplicación de su organización y volver a añadirla, o bien editarla para que refleje el ámbito actualizado. - Para eliminar una aplicación, seleccione Eliminar. Nota: esta acción no se puede revertir. Toda aplicación que utilice estas credenciales de cliente ya no podrá acceder a los recursos protegidos y se invalidarán las credenciales. - Para añadir una aplicación de servidor a servidor que se creó en la organización, pero que aún no tiene acceso a la organización, seleccione la aplicación y seleccione Asignar roles. Si es necesario, modifique los roles de organización y servicio disponibles permitidos por el ámbito de la aplicación y, a continuación, seleccione Añadir. - Si desea modificar primero el ámbito de la aplicación, seleccione Editar y realice los cambios necesarios en los roles Organización y Servicio. Cuando esté listo, seleccione Añadir a esta organización. Nota: no se pueden añadir aplicaciones web/móviles a las organizaciones. |
¿Se puede volver a generar el secreto de una aplicación?
Sí, como Propietario puede volver a generar el secreto de una aplicación de OAuth de su organización. Esto resulta útil si el Propietario que creó la aplicación de OAuth ya no está en su empresa y usted desea seguir ejecutando esa aplicación.
¿Se puede utilizar una autenticación de token de API en lugar de una aplicación de OAuth?
Sí, si una API exige que un usuario sea la entidad autenticada del proceso de autorización, debe utilizar un token de API.
Diferencias entre las aplicaciones de OAuth y los tokens de API
Tanto las aplicaciones de OAuth como los tokens de API se utilizan para interactuar con las API de Omnissa Connect. Consulte Tokens de API para obtener más información sobre esta función de Gobernanza y administración de identidades en Connect.
Importante: antes de utilizar las aplicaciones de OAuth de tipo de servidor a servidor para realizar llamadas automatizadas a sus servicios, consulte la documentación correspondiente de la API.
Los tokens de API los emiten los usuarios de una organización y se asocian a la organización y la cuenta del usuario desde las que se generaron. Los usuarios que crean los tokens de API son los únicos que pueden administrarlos.
Una vez creadas por el usuario de una organización, las aplicaciones de OAuth actúan como entidades en las interacciones de servidor a servidor y se pueden utilizar en varias organizaciones. Una aplicación de OAuth es propiedad de la organización en la que se crea. Pueden administrarla los usuarios Propietarios o Miembros con el rol de Desarrollador. Consulte el tema Solicitudes para obtener más información sobre la administración de solicitudes de roles.
Tanto las aplicaciones de OAuth como los tokens de API se pueden utilizar para automatizar los procesos que interactúan con las API. La diferencia radica en que los tokens de API incorporan la cuenta de usuario en el token de acceso, mientras que las aplicaciones de OAuth realizan la autorización sin estas cuentas. A la hora de decidir si desea utilizar un token de API o una aplicación de OAuth para realizar una llamada de API, debe tener en cuenta los requisitos específicos del servicio de API implicado en la interacción.
Con algunas API es necesario establecer una cuenta de usuario como entidad autenticada y con otras no. Por ejemplo, si llama a una API para recuperar la información de suscripciones de su organización en Omnissa Connect, puede utilizar una aplicación de OAuth de servidor a servidor o un token de API para realizar llamadas al servicio de API, ya que no se requiere la autenticación con las credenciales de usuario y también se aceptan las credenciales de cliente. Si los usuarios de una organización utilizaran una API para actualizar sus contraseñas, esta requeriría que un usuario actuara como entidad de autenticación.
¿Le resultó útil esta página?