本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Netskope API 代币
秘密值字段
以下是 Secrets Manager 密钥中必须包含的字段：
{
"apiToken": "API token value",
"tenantUrl": "https://example.goskope.com",
"serviceAccountName": "service account name"
}- apiToken
-
服务帐号的 Netskope REST API 持有者令牌。轮换过程会更新此字段。
- 租户网址
-
例如，您的Netskope租户网址
https://example.goskope.com。网址必须使用 HTTPS，必须以结尾goskope.com，且不得以斜杠结尾。诸如这样的区域主机https://example.eu.goskope.com也是有效的。 - 服务 AccountName
-
拥有令牌的Netskope服务帐号的名称。Secrets Manager 会记录此名称以进行记录和审计。
旋转还会expiresDate将createdDate和写入密钥值。这些字段以 ISO 8601 格式记录当前令牌的发行时间和到期时间。它们不是您提供的字段。
服务帐号角色未存储在密钥中。该角色属于服务帐号而不是令牌，因此轮换永远不会对其进行更改。
机密元数据字段
此密钥类型不需要轮换元数据字段。它不使用管理员密钥，Secrets Manager 将令牌的生命周期设置为 365 天。
使用流程
此轮换使用单密架构。不需要管理员密钥。服务帐号使用其当前令牌生成自己的替换令牌。
要创建您的密钥，请使用 CreateSecretAPI 调用。将密钥值设置为上述字段，并将密钥类型设置为 NetskopeApiToken。要配置轮换，请使用 RotateSecretAPI 调用。在 RotateSecret 通话中，提供一个角色 ARN，该角色向服务授予轮换密钥的权限。有关权限策略的示例，请参阅安全和权限。
在轮换期间，Secrets Manager 使用当前令牌调用Netskope服务账户端点以生成替换令牌。它将新令牌存储为待处理版本，根据 Netskope API 对其进行验证，然后将其提升为最新版本。Secrets Manager 拒绝长于 350 天的轮换间隔，这将使每个间隔保持在 365 天的代币生命周期内。
Netskope生成新令牌后立即使旧令牌失效，因此两个令牌永远不会重叠。在轮换期间大约 30 秒内，当前版本的密钥会保存一个不再起作用的令牌。您的应用程序必须通过再次读取密钥并重试来处理 HTTP 401 响应。不使用此模式缓存令牌的应用程序在每次轮换时都会失败。
如果服务帐号角色使用 IP 允许名单，请将 AWS-managed 前缀列表com.amazonaws.添加到该许可名单。轮换调用源自此前缀列表，如果许可名单将其排除在外，则Netskope返回 HTTP 403。有关更多信息，请参阅《Amazon VPC 用户指南》中的 AWS托管的前缀列表。region.secretsmanager-managed-external-secrets
