View a markdown version of this page

Cisco API-Schlüssel der Sicherheitsplattform - AWS Secrets Manager
Geheime WertfelderGeheime MetadatenfelderAblauf der Nutzung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Cisco API-Schlüssel der Sicherheitsplattform

Geheime Wertfelder

Die folgenden Felder müssen im Secrets Manager Manager-Geheimnis enthalten sein:

{
  "refreshToken": "refresh token value",
  "organizationId": "organization ID",
  "apiKeyId": "API key ID",
  "apiBaseUrl": "https://api.security.cisco.com"
}
RefreshToken

Der Cisco API-Schlüssel, ein OAuth-Aktualisierungstoken mit einer Lebensdauer von 60 Tagen. Der Rotationsprozess aktualisiert dieses Feld. Ihre Anwendung tauscht dieses Token gegen ein kurzlebiges Zugriffstoken aus.

organizationId

Die Cisco Security Cloud Control-Organisation, der der API-Schlüssel gehört. Dieser Wert wird in enterpriseId der URL der Seite „API-Schlüssel“ angezeigt. Verwenden Sie nicht die im Token eingebettete Organisations-ID.

api KeyId

Die Kennung des API-Schlüssels, der rotiert. Sie finden diesen Wert auf derselben Seite mit den API-Schlüsseln wie die Organisations-ID.

api BaseUrl

Die Cisco API-Basis-URL, zum Beispielhttps://api.security.cisco.com. Der Wert muss ein HTTPS-Ursprung ohne Pfad, Port, Abfragezeichenfolge oder Benutzerinformationen sein.

Die Rotation schreibt auch ein expiresDate Feld in den geheimen Wert. In diesem Feld wird der Ablauf des aktuellen Aktualisierungstokens im ISO 8601-Format aufgezeichnet. Es ist kein Feld, das Sie angeben.

Secrets Manager speichert das Zugriffstoken nicht. Ein Zugriffstoken hat eine Lebensdauer von etwa 18 Stunden, sodass eine gespeicherte Kopie in den meisten Fällen ungültig wäre. Ihre Anwendung prägt ein Zugriffstoken aus dem Aktualisierungstoken, wenn sie eines benötigt.

Geheime Metadatenfelder

Für diesen geheimen Typ sind keine rotierenden Metadatenfelder erforderlich. Secrets Manager liest die Routing-Werte aus dem Secret selbst, und dieser geheime Typ verwendet kein Admin-Geheimnis.

Ablauf der Nutzung

Diese Rotation verwendet eine Architektur mit nur einem geheimen Geheimnis. Es ist kein Administratorgeheimnis erforderlich. Das gespeicherte Aktualisierungstoken authentifiziert seinen eigenen Rotationsaufruf.

Verwenden Sie den CreateSecretAPI-Aufruf, um Ihr Geheimnis zu erstellen. Stellen Sie den geheimen Wert auf die oben beschriebenen Felder ein und legen Sie den Geheimtyp auf fest CiscoSecurityPlatformApiKey. Verwenden Sie den RotateSecretAPI-Aufruf, um die Rotation zu konfigurieren. Geben RotateSecret Sie im Anruf einen Rollen-ARN an, der dem Dienst die Erlaubnis erteilt, den geheimen Schlüssel zu rotieren. Ein Beispiel für eine Berechtigungsrichtlinie finden Sie unter Sicherheit und Berechtigungen.

Während der Rotation ruft Secrets Manager den Cisco Token-Aktualisierungsendpunkt mit dem aktuellen Aktualisierungstoken auf. Ciscogibt ein Zugriffstoken zurück und nach Tag 45 des 60-Tage-Zyklus gibt es auch ein neues Aktualisierungstoken zurück. Secrets Manager speichert das neueste Aktualisierungstoken als ausstehende Version und verwirft das Zugriffstoken. Anschließend überprüft es das ausstehende Token anhand der Cisco API und stuft es auf den aktuellen Stand hoch. Es gibt keinen Schritt zum Widerrufen, da keine API Cisco zur Verfügung steht, um ein Aktualisierungstoken für ungültig zu erklären.

Ihre Anwendung liest das Aktualisierungstoken aus dem Secret und tauscht es gegen ein Zugriffstoken aus. Anschließend speichert sie dieses Zugriffstoken für die Dauer von 18 Stunden im Cache. Lesen Sie das Aktualisierungstoken jedes Mal aus dem Secret, anstatt es fest zu codieren. Behandeln Sie eine HTTP 401-Antwort, indem Sie das Geheimnis erneut lesen, da das vorherige Aktualisierungstoken möglicherweise nicht mehr funktioniert, nachdem ein Cisco Ersatz ausgegeben wurde.

Wechseln Sie dieses Geheimnis mindestens alle 15 Tage. Secrets Manager lehnt ein Rotationsintervall von mehr als 50 Tagen ab, was der Cisco Empfehlung folgt, mindestens so oft zu aktualisieren. Bei einem längeren Intervall kann auch das Zeitfenster zwischen Tag 45 und Tag 60 übersprungen werden, in dem das Cisco Ersatz-Aktualisierungstoken ausgegeben wird. Wenn die verbleibende Lebensdauer des Tokens kürzer als Ihr Rotationsintervall ist, schlägt die Rotation mit einem Fehler fehl, anstatt das Token ablaufen zu lassen.

Ein Aktualisierungstoken, das abläuft, kann nicht erneuert werden. Geben Sie in diesem Fall einen neuen API-Schlüssel in der Cisco Security Cloud Control-Konsole ein und aktualisieren Sie den geheimen Schlüssel. Überwachen Sie Rotationsfehler, damit ein längerer Ausfall diesen Status nicht erreicht.