Observabilidade do agente para a expiração das credenciais: criar um contrato de arrendamento de acesso

Um agente não deve começar um trabalho protegido só porque a sua credencial foi bem sucedida há cinco minutos. O pré vôo mais seguro é um contrato de locação de acesso Z : comparecer a vida útil restante das credenciais com a duração prevista de trabalho mais uma margem de renovação, verificar se o seu âmbito de aplicação ainda abrange a tarefa e confirmar que o caminho de renovação aprovado é saudável. Se algum desses fatos estiver ausente, a observabilidade do agente deve informar de incerteza em vez de um controlo verde. Isto detecta uma falha operacional comum antes de se tornar uma corrida semi terminada. Uma ferramenta pode ser acessível no início, aceitar várias chamadas e, em seguida, rejeitar a escrita que importa depois de um token de curta duração expirar. Uma nova tentativa ampla pode piorar a situação: não pode restaurar a autoridade faltante e pode repetir um efeito colateral anterior cuja resposta foi perdida. O padrão prático é manter apenas os metadados não secretos do contrato de locação: emissor ou prestador, expiração observada, digest ou nomes dos domínios exigidos, domínios concedidos, último resultado da renovação, duração prevista do trabalho e tempo de observação. Nunca coloque o próprio símbolo em vestígios, pedidos, aparelhos de artigos ou painéis de controle. Tratar o acesso como uma dependência operacional em mudança A saúde credencial não é uma propriedade permanente de uma integração. Trata se de uma dependência limitada no tempo e no âmbito de uma determinada corrida. OAuth 2.0 define expires in como a vida útil do token de acesso em segundos e descreve um token de atualização como uma credencial opcional usada para obter novos tokens de acesso. Isso dá ao cliente dois fatos úteis, mas não um veredicto completo de saúde. Um token com 3.600 segundos restantes é adequado para uma pesquisa de dez minutos e inadequado para uma exportação de 50 minutos quando o sistema também precisa de uma margem de segurança de 15 minutos. Os contratos de fornecedores tornam o calendário concreto. Documentos do GitHub que a resposta de um token de acesso à instalação do GitHub App inclui seu vencimento e que o token expira após uma hora. Os SDKs do GitHub podem regenerar tokens de instalação, mas um operador ainda precisa saber se o runtime usa esse caminho de renovação e se está funcionando. O escopo é um eixo separado. A RFC 6750 distingue um token expirado, revogado, mal formado ou de outra forma inválido ( invalid token , normalmente HTTP 401) de um token que carece de privilégios suficientes ( insufficient scope , normalmente HTTP 403). Pedir um novo token pode resolver a primeira condição. Repetir a mesma chamada não pode criar autoridade para a segunda. Mantenha estes fatos separados: Facto de arrendamento Pergunta que responde Infecção insegura expiresAt Quando termina a janela de acesso observada? O emitente não pode revogar antes plannedWorkSeconds Quanto tempo deve demorar a fase protegida? Todas as corridas terminam dentro daquela estimativa. renewalMarginSeconds Quanto espaço está reservado para o atraso e a renovação? Uma margem corresponde a cada fornecedor requiredScopes Que autoridade é necessária para esta tarefa? O provedor interpreta nomes da mesma forma para sempre grantedScopes Que autoridade foi observada? A subvenção não foi alterada após a observação lastRefreshResult O caminho de renovação configurado funcionou? A próxima renovação deve funcionar. Um contrato de locação de acesso é, portanto, uma prova com um tempo de frescura, não uma cópia de uma credencial e não uma promessa do prestador. Calcular a pista antes da primeira ação protegida Use uma pequena desigualdade para a verificação do tempo: Calcular o remaining lifetime a partir da expiração do emitente e do relógio de observação. Use uma duração de alto percentual para a parte protegida da tarefa, não a corrida mais rápida recente. A margem deve abranger a fila normal, a desvio do relógio, o atraso do fornecedor e o tempo necessário para renovar e verificar novamente o acesso. Os valores são de política operacional e não constantes fornecidas pela OAuth. O dispositivo de acompanhamento fixa o tempo de observação e avalia seis contratos de arrendamento sintético: A corrida produzida: O token export worker tem 3.600 segundos de pista. Isso soa saudável até que o pré vôo adicione 3.000 segundos de trabalho planeado e uma margem de renovação de 900 segundos. A pista necessária é de 3.900 segundos, de modo que o classificador retorna o renewal due antes do início da exportação. O scope reduced tem quatro horas antes da expiração, mas não é saudável. A tarefa requer o records:read e o records:write ; foi observado apenas o escopo de leitura. O seu estado é scope drift , e a ação segura é uma revisão explícita da autoridade. O pedido silencioso de uma concessão mais ampla atravessaria o limite de aprovação do operador. O legacy static token tem o âmbito de aplicação exigido, mas não é possível verificar a expiração. O classificador retorna o unknown . Static não é prova de never expira: a credencial pode ser revogada, rotada manualmente ou regida por uma política do fornecedor que o adaptador não recolheu. A ordem de decisão é importante: 1. Comparar a autoridade exigida e concedida. A falta de alcance não é um problema de tempo. 2. Requer uma expiração inspecionável ou uma política de rotação limitada explícita. 3. Cessar o trabalho quando o contrato de locação observado tiver expirado. 4. Superficie um caminho de renovação falhado antes de tentar um trabalho protegido. 5. Comparar o resto da vida com o trabalho mais margem. 6. Marque o contrato de arrendamento só quando passarem todas as provas necessárias. Esta ordem impede que um longo tempo de expiração oculte o escopo perdido e impede que uma chamada passada bem sucedida oculte um atualizador quebrado. Observar a renovação sem coletar segredos Um evento de arrendamento útil não precisa do token de acesso, do token de atualização, do segredo do cliente, do corpo de solicitação, do prompt, da resposta ou do caminho de credenciais absoluto. Recolha o menor registro que possa alterar o veredicto operacional: O credentialRef deve ser uma referência local opaca ou digestado com tecla, não um prefixo de token que facilite a correlação para um atacante. Se os nomes do escopo revelarem estrutura sensível, armazenarem um identificador de política e um digesto com tecla, então manterão o mapeamento legível pelo ser humano no hospedeiro. Observe o contrato de arrendamento em três limites: Antes de uma corrida: rejeita ou trabalha em rota que não tenha uma pista ou autoridade suficientes. A após renovação: re leia expiração e concedeu alcance; o sucesso do comando não é prova de renovação. A Após falha de autorização: retém o status não secreto, a classe de erro do provedor, o tempo de observação e a tarefa afetada, e então invalida o veredicto saudável anterior. Não transforme uma falha de pré voo numa escalada automática de permissão. Uma atualização pode renovar uma subvenção já aprovada; não deve adicionar repositórios, alargar os seus escopo, substituir credenciais ou solicitar autoridade humana sem uma decisão visível. Para trabalhos irreversíveis ou visíveis externamente, conserve também a chave de idempotencia da tarefa e o verificador de destino. A credencial de saúde prova o acesso, não o resultado. Manter a revogação, o erro do relógio e a expiração no meio da corrida com honestidade O modelo de arrendamento tem limites. Um emissor pode revogar um token antes do expiresAt . Um prestador pode omitir a expiração. Os relógios locais podem deslocar se. O escopo pode ser reduzido após a observação. Um endpoint de renovação pode ter sucesso ao retornar um token para o recurso errado. Estas condições tornam as provas obsoletas ou incompletas; não justificam um estado saudável. Utilize o tempo do servidor do fornecedor quando disponível, registre o tempo de observação do coletor e rejeite idades negativas impossíveis. Verifique novamente perto da ação protegida em vez de uma vez no início do processo. As longas vagas devem dividir o trabalho nos pontos de controlo seguros e renovar se antes que o contrato de arrendamento seja inferior à estimativa do trabalho restante. Se o acesso falhar após o envio de um pedido de efeitos colaterais, não tente novamente cegamente. O prestador pode ter cometido o efeito antes da resposta desaparecer. Reconciliar através de uma chave de independência ou uma busca independente de destino, e depois decidir se outra tentativa é segura. A regra de funcionamento reutilizável é estreita: o agente protegido star funciona somente quando a duração de vida observada abrange o trabalho planejado mais margem, o escopo requerido está presente e o caminho de renovação aprovado é saudável. Tratar as provas faltantes como desconhecidas e manter o material secreto fora da observabilidade. A Sidewisp está atualmente em prévia privada. Seu site público e biblioteca de artigos estão ao vivo, mas a coleta de agentes de produção saúde, adaptadores de tempo de execução, monitoramento de credenciais e recuperação geralmente não são enviados. O Sidewisp destina se a trabalhar ao lado dos horários de execução existentes e a manter a autoridade humana visível. Se a saúde do contrato de locação de credenciais for uma das falhas que você precisa surgir antes do início do trabalho, você pode se juntar à lista de espera de pré visualização privada sem tratar este artigo como uma reivindicação de monitorização implantada.