Aller au contenu principal

Clés de provisionnement

Ce que fait une clé de provisionnement​

Une clé de provisionnement est la clé d'un revendeur qui crée ses MSP par l'API. Avec cette clé, un revendeur crée un MSP, le suspend, le réactive, et gère les clés API de ce MSP. Aucune personne n'intervient dans le portail.

Une clé de provisionnement commence par bst_prov_. Un administrateur de la plateforme la crée sur la page Clés de provisionnement, puis la transmet au revendeur.

Il n'existe aucune clé qui atteint tous les MSP. Une clé de provisionnement voit seulement les MSP qu'elle a créés. Après la création, chaque MSP est géré avec sa propre clé API.

Prérequis​

  • Le rôle Administrateur plateforme. Voir Écrans de la plateforme.
  • Le nom du revendeur ou de son produit, pour nommer la clé.
  • Les adresses d'appel du revendeur, si vous voulez limiter la clé.

La page Rôles et droits décrit les porteurs d'identité de BaaStide.

Ouvrir la page Clés de provisionnement​

  1. Dans la barre du haut, cliquez sur Plateforme.
  2. Dans le menu des pages de la plateforme, cliquez sur Clés de provisionnement.

La page donne une ligne par clé.

ColonneCe qu'elle donne
NomLe nom de la clé, et les premiers caractères de la clé, par exemple bst_prov_ab12….
StatutActive, Expirée ou Révoquée.
MSP créésLe nombre de MSP créés avec cette clé. Les MSP supprimés ne sont pas comptés.
ExpirationLa date de fin de la clé, la date de sa révocation, ou Sans expiration.
Dernière utilisationLa date du dernier appel et l'adresse de l'appelant, ou Jamais.
Adresses autoriséesLa liste des adresses permises, ou Toutes les adresses.
Créée parL'email de la personne qui a créé la clé, et la date.
ActionsLe bouton Révoquer, sur une clé active seulement.

Quand aucune clé n'existe, la page affiche « Aucune clé de provisionnement. Créez-en une quand un CSP doit créer ses MSP par l’API. ».

Créer une clé de provisionnement​

  1. Ouvrez la page Clés de provisionnement.
  2. En haut à droite, cliquez sur Créer une clé de provisionnement.
  3. Dans Nom, saisissez le nom du revendeur ou de son produit. Utilisez de 1 à 100 caractères. Le journal d'audit affiche ce nom.
  4. Sous Expiration, laissez Sans expiration (recommandé), ou choisissez une durée. La durée maximale est 2 ans.
  5. Dans Adresses autorisées (facultatif), saisissez une adresse IP ou un bloc CIDR par ligne. Donnez 50 entrées au plus. Laissez ce champ vide pour accepter toutes les adresses.
  6. Cliquez sur Créer.

La fenêtre affiche la clé une seule fois. Copiez-la tout de suite avec le bouton Copier, puis transmettez-la au revendeur de façon sûre. Quand vous fermez la fenêtre, la clé n'est plus jamais affichée.

Le revendeur envoie cette clé dans l'en-tête Authorization: Bearer <clé>, sur les routes /provisioning seulement.

Révoquer une clé de provisionnement​

  1. Ouvrez la page Clés de provisionnement.
  2. Sur la ligne de la clé, cliquez sur Révoquer.
  3. Lisez la fenêtre de confirmation. Elle indique les MSP créés avec cette clé.
  4. Cliquez sur Révoquer.

Les appels faits avec cette clé échouent tout de suite. Vous ne pouvez pas annuler cette action.

Les MSP créés avec cette clé continuent de fonctionner, et leurs clés API aussi. Mais aucune clé de provisionnement ne peut plus gérer ces MSP : une nouvelle clé ne voit pas les MSP d'une ancienne clé.

Ce qu'une clé de provisionnement peut faire​

ActionRoute
Créer un MSP, avec sa première clé APIPOST /provisioning/msps
Lister les MSP créés avec cette cléGET /provisioning/msps
Lire un de ces MSP : nom et étatGET /provisioning/msps/{id}
Suspendre un de ces MSPPOST /provisioning/msps/{id}/suspend
Réactiver un de ces MSPPOST /provisioning/msps/{id}/reactivate
Lister, créer, renouveler et révoquer les clés API d'un de ces MSPGET, POST /provisioning/msps/{id}/api-keys, POST …/{key_id}/rotate, DELETE …/{key_id}

Le parcours complet est décrit sur la page Créer et suspendre un MSP par l'API.

Ce qu'une clé de provisionnement ne fait jamais​

  • Elle ne lit aucune donnée d'un MSP : ni les clients, ni les endpoints, ni les tâches, ni le journal d'audit. La route GET /msp lui est aussi refusée. Utilisez la clé API du MSP.
  • Elle ne supprime pas un MSP. L'équipe de la plateforme le fait.
  • Elle n'atteint aucune route de la plateforme, donc elle ne crée pas une autre clé de provisionnement.
  • Elle ne voit pas un MSP créé dans le portail, ni un MSP d'une autre clé de provisionnement, ni un MSP supprimé. Ces MSP répondent 404 not_found, même s'ils existent.

Toute autre route répond 403 forbidden. Les routes /provisioning refusent tout autre porteur d'identité avec 401 unauthorized : une session du portail, une clé API de MSP ou un jeton MCP.

Limites et précautions​

  • Une clé de provisionnement est un secret. Elle crée des MSP sans aucun contrôle humain. Gardez-la dans un coffre à secrets et limitez-la aux adresses du revendeur.
  • Le début d'une clé (bst_prov_) permet aux outils de détection de secrets de trouver une clé qui a fuité. Révoquez une clé qui a fuité tout de suite.
  • Une clé de provisionnement ne se renouvelle pas. Pour la remplacer, créez une nouvelle clé, puis révoquez l'ancienne. Avertissez d'abord le revendeur : ses MSP restent liés à l'ancienne clé et la nouvelle clé ne les voit pas.
  • Sans expiration choisie, la clé n'expire pas. Révoquez-la pour l'arrêter.
  • Une clé a la même limite de débit qu'une clé API de MSP : une réserve de 100 appels, puis 10 appels par seconde, par serveur d'API. Voir Appeler l'API REST.
  • Une installation qui n'accepte qu'un seul MSP refuse la création d'un deuxième MSP, avec le code 409 msp_limit_reached. Voir Première configuration.
  • Chaque appel de la clé entre dans le journal de la plateforme. Les actions sur un MSP entrent dans le journal d'audit de ce MSP, avec la clé comme auteur. Voir Journal d'audit.

Référence​